Face aux menaces de la cybersécurité, une stratégie européenne ?

juin 29, 2012 Mieszko Dusautoy (BRUXELLES2)

Les attaques menées contre des structures étatiques (Estonie en 2007, Georgie en 2008, France fin 2010, etc.) ont fait prendre conscience aux responsables européens de ce qui était jusqu’ici l’apanage des spécialistes de la sécurité. Plusieurs Etats-Membres ont ainsi adopté ces dernières années des stratégies nationales spécifiques dans ce domaine (Royaume-Uni en juin 2009, France en février 2011, Luxembourg en juillet 2011, Allemagne en février 2012…). Le séminaire organisé par l’IHEDN, l’Institut des Hautes Etudes de Défense Nationale (français), jeudi (28 juin) à Bruxelles, a eu le mérite de faire le point sur ce sujet, insistant sur la nécessité d’adopter une « cyberstratégie européenne ».

« Internet ne connaît pas les frontières »…

C’est une phrase que presque chaque intervenant (et ils étaient nombreux!) a répété aujourd’hui. Qu’ils représentent le secteur privé, les Etats-Membres ou l’UE, tous sont d’accord pour dire qu’une approche européenne est indispensable. Si la cybersécurité reste une compétence des Etats-Membres « et le restera probablement », il n’y a « pas de contradiction » avec une coopération au niveau européen, comme l’explique Martin Fleischer, coordinateur des affaires « cyber » au ministère des Affaires étrangères allemand. Les cyberattaques peuvent être menées de n’importe où : « on doit pouvoir être en contact avec tous les pays à tout moment » dit Patrick Pailloux, directeur général de l’Agence nationale de sécurité des systèmes d’information (Annsi). Outre la coopération internationale, il faut aussi bien sûr agir de concert avec le secteur privé puisque c’est lui qui dispose des infrastructures. « Nous devons soutenir le secteur privé » affirme Heli Tirmaa-Klaar, experte au service diplomatique européen (SEAE).

Les Etats-Membres sont donc bien conscients qu’agir seulement au niveau national n’est pas efficace. Mais il y a un problème : tous les Etats n’ont pas les mêmes capacités pour lutter contre ces menaces, comme le rappelle un expert de la Commission Européenne. Certains Etats, comme les pays scandinaves ou le Royaume-Uni, la France et l’Allemagne, en ont fait une priorité stratégique et se sont équipées des capacités nécessaires. D’autres, plus à l’Est et au Sud, ne disposent pas de ces moyens.

Attention toutefois à la tentation purement répressive et législative

 La réaction doit être « proportionnelle », selon Sarah Lampert, coordinatrice adjointe aux affaires « cyber » du ministère des affaires étrangères britannique. Il faut veiller à ce que les droits de l’homme, notamment en termes de respect de la vie privée, soient respectés. « Notre réponse doit être créative » dit-elle. En fait, elle préconise de mettre en place des « mesures de confiance » et de travailler dans le domaine de l’éducation (former le personnel des institutions mais aussi sensibiliser le public) plutôt que de légiférer. Ainsi, un système similaire au contrôle des armements ne serait pas efficace dans le domaine de la cybersécurité. « C’est facile de compter des tanks, mais qu’en est-il des programmes, des copies de programmes ? » C’est plus difficile, d’autant qu’il y a la question du double usage de ces programmes, explique Martin Fleischer.

Les militaires concernés…

« Nous faisons partie du jeu » dit le général Pascal Roux de l’Etat-major de l’UE (EMUE). Ce qu’on appelle alors la « cyberdéfense » a été inscrite dans la version révisée de 2008 de la Stratégie Européenne de Sécurité. L’EMUE est là pour « fournir de l’expertise ». En ce qui concerne la cybersécurité, cela implique deux choses plus particulièrement. Tout d’abord, il faut adapter les capacités requises de l’UE. Un « catalogue » est en train d’être réalisé suite à une décision de novembre dernier, en coopération avec l’Agence Européenne de la Défense (AED). Il devrait être finalisé « dans semaines à venir ». Puis, sur le plan « conceptuel » : il faut former et s’entraîner. S’il est encore trop tôt pour inclure la cyberdéfense au prochain exercice de gestion de crise (impliquant toute la chaîne de commandement, qui aura lieu en octobre), ce sera « clairement » le cas pour celui d’après.

L’Agence européenne européenne de défense

Un défi à relever consiste à améliorer la coordination entre les différents services concernés, que ce soit au niveau national ou européen. Là-dessus, « nous ne sommes pas très bien préparés » constate Denis Trioulaire, directeur « capacités » à l’Agence européenne de la Défense (EDA). Une autre difficulté spécifique pour ce type de menace est la nécessité d’être rapide dans la réaction : il faut avoir des moyens et des plans adaptés, disponibles en commun et prêt à tout moment. Il y a là un « paradoxe » explique Denis Trioulaire : il faut du temps pour déterminer l’origine de la menace, alors que justement il n’y en a pas dans ce type de situation. L’EDA se voit tout de même un rôle considérable à jouer, comme « hub » entre les 26 Etats Membres qui en font partie. C’est même sa « raison d’être » que de « garantir l’interopérabilité ».

Question un poil provocatrice dans l’audience, mais tout à fait pertinente : pourquoi un Etat qui serait face à une crise majeure de cybersécurité se tournerait-il vers l’UE alors que l’OTAN est déjà bien avancée dans ce domaine ? Parce que la réponse de l’UE fait partie d’une approche globale, « c’est ça qui fait la différence », répond le général Pascal Roux. Mais « probablement, les deux [structures] prendront des mesures ».

Et la Commission Européenne, également

 On y concocte par exemple une nouvelle législation, qui reposera sur trois piliers principaux, comme l’explique Giuseppe Abbamonte de la DG Société de l’Information. Tout d’abord, « faire en sorte que tout le monde dispose des capacités adaptées » en établissant une sorte de niveau minimum européen. Les Etats Membres devraient alors par exemple développer des stratégies nationales de cybersécurité, avec des exercices réguliers. Un deuxième pan de cette législation devra rendre la coopération européenne plus systématique. En effet, elle est encore trop « spontanée [et] dépendante de la bonne volonté des Etats ». Or, « tout le monde ne fait pas partie de ce club ». Enfin, il s’agit d’élargir les règles s’appliquant à certains types d’acteurs du secteur privé : là où, aujourd’hui, seules les télécommunications doivent notifier aux autorités toute atteinte à la sécurité, la nouvelle législation impliquera que les autres fournisseurs de services (comme Skype, Amazon ou encore les boîtes mails) devront ces mêmes règles.

Outre cette nouvelle législation, il y a les différents programmes de recherche financés par la Commission. Et, comme annoncé sur ce site, la création d’un centre européen de lutte contre la cybercriminalité, l’EC3, qui viendra compléter l’action européenne déjà en place (par exemple au sein de l’Agence Européenne chargée de la sécurité des réseaux et de l’information, ENISA).

Lire aussi : Vers un centre européen de lutte contre la cybercriminalité