Le rapport de la mission flash de l’Assemblée nationale sur les défis de la cyberdéfense souligne que c’est le droit international et ses grands principes qui s’appliquent en la matière. Il indique comment sont prises en compte, dans le processus d’élaboration des normes, les spécificités des opérations militaires dans le cyberespace et rappelle les fondements juridiques des techniques de recueil du renseignement dans ce domaine.
La commission de la Défense nationale et des forces armées de l’Assemblée nationale a créé une mission flash sur les défis de la cyberdéfense le 15 mars 2023 à l’issue de laquelle a été publiée un rapport d’information (n° 2028). Ce rapport s’intéresse aux concepts, doctrines et acteurs de la cyberdéfense (partie I) et à six défis à relever pour doter la France d’une « cyberdéfense de premier plan » (partie II). Parmi ces derniers, figure le défi juridique dont l’enjeu principal est de sécuriser les actions des armées françaises par le droit.
Le droit international s’applique dans les opérations militaires dans le cyberespace
Le droit international s’applique aux cyberopérations, en temps de paix et en contexte de conflit armé. Dans le premier cas, les opérations dans le cyberespace sont régies par les règles du droit international public, notamment la Charte des Nations unies : tout emploi de ces moyens doit donc respecter la souveraineté des États, l’égalité souveraine entre ces entités, l’obligation de régler les différends de manière pacifique ou encore la non-intervention dans les affaires intérieures des États. Dans le second cas, les opérations militaires conduites dans le cyberespace par les forces armées sont soumises au droit international humanitaire (i.e. le droit des conflits armés) ; sont ainsi applicables les principes régissant la conduite des hostilités.
Les grands principes du droit international s’appliquent dans le domaine de la cyberdéfense
Le principe du respect de la souveraineté des Etats est pleinement opérant. Il est notamment admis que les États exercent leur souveraineté sur les infrastructures situées sur leur territoire. Le droit international interdit les atteintes à certains principes qui dérivent du principe de souveraineté (intégrité territoriale, non-intervention dans les affaires intérieures, non-recours à la force), et ces interdictions s’étendent au cyberespace.
La position de la France est aujourd’hui largement connue et partagée : les normes du droit international existantes s’appliquent au cyberespace et suffisent à encadrer les activités dans le cyberespace aussi bien en temps de paix qu’en contexte de conflit armé.
Les fondements juridiques des techniques de recueil du renseignement
Il n’existe pas de cadre juridique propre au recours aux techniques de recueil de renseignement (TRR) dans le cyberespace et le cadre juridique de droit commun prévu par les dispositions du livre VIII du code de la sécurité intérieure (CSI) trouve à s’appliquer en la matière. Ainsi, chaque recours à une TRR suppose le respect des principes de nécessité et de proportionnalité. Doit également être pris en compte le droit au respect de la vie privée, au sens de l’article L. 801-1 du CSI.
Parmi les 35 recommandations du rapport, quatre ont trait à la sécurisation juridique du cyberespace
18/ Veiller à la prise en compte des spécificités des actions des armées dans le cyberespace dans le processus d’élaboration des normes ;
19/ Réfléchir aux voies juridiques envisageables pour mieux encadrer le recours aux réseaux sociaux des personnels du ministère des Armées ;
20/ Mieux encadrer le processus d’exportation des biens à double usage dans le domaine cyber, et singulièrement des armes cyber offensives et des logiciels à base d’intelligence artificielle dans le domaine informationnel ;
21/ Procéder à une évaluation juridique pour déterminer notre capacité à répondre par notre corpus juridique national et international actuel au mercenariat dans le domaine de la cyberdéfense.