Face à la « cyberguerre froide », une Europe de la cyberdéfense en construction

Simple épisode des désaccords actuels entre la Turquie et l’Europe ou nouvelle étape démontrant qu’une véritable cyberguerre froide est en marche dans un contexte international bouleversé, notamment à cet endroit du globe ? Il semblerait en tout cas que l’Union européenne se décide à considérer sérieusement cette seconde option, en témoigne la déclaration de 2017 de Jean-Claude Juncker, ex-président de la Commission européenne : « Au cours des dernières années, nous avons fait des progrès notables dans la sécurisation de l’Internet. […] Mais l’Europe reste mal équipée face aux cyberattaques. Les cyberattaques sont parfois plus dangereuses pour la stabilité des démocraties et des économies que les fusils et les chars. ».

De la guerre à la cyberguerre

Depuis une trentaine d’années, un nouvel espace de conflictualité est venu s’ajouter aux côtés des champs traditionnels de bataille que sont la terre, l’air, la mer et l’espace stratosphérique : il s’agit du cyberespace.

Cette notion de cyberespace demeure floue, mais on peut néanmoins dire qu’elle désigne globalement l’ensemble des plates-formes virtuelles connectées par ordinateurs via lesquelles sont stockées et circulent de façon dématérialisée de gigantesques quantités de données gérées par des robots et des algorithmes informatiques d’une grande complexité. Il inclut également toutes les infrastructures d’échanges et d’organisation de travail dématérialisées, tels que les réseaux sociaux ou encore les espaces numériques de travail propres à chaque structure publique comme privée.

Ce cyberespace s’est tellement développé depuis trente ans que son contrôle, sa maîtrise et sa surveillance sont devenus pour tous les États (mais aussi pour les structures privées, légales, comme les entreprises, et illégales, comme les organisations mafieuses, terroristes, rebelles, séparatistes, etc.) un enjeu de première importance.

En effet, la cyber-technologie, en plus d’avoir la capacité de transmettre d’énormes quantités d’informations de façon bien plus rapide que la presse écrite, et sans presque aucun contrôle du fait justement de cette extrême rapidité, possède une forte capacité d’influence politique, économique, sociale et culturelle, aussi bien à l’échelle locale que nationale et internationale. À ce jour, la fermeture définitive des comptes Twitter et Facebook du président sortant Donald Trump est une preuve de l’emprise des géants du web sur la liberté d’opinion et d’information. Il est alors légitime de craindre que des entreprises privées possédant un certain pouvoir dans le cyberespace profitent de celui-ci pour favoriser des camps et opinions politiques contre d’autres.

Par ailleurs, la toile, en particulier par les réseaux sociaux et « web-médias », est devenue le premier espace via lequel les jeunes s’informent ou produisent et transmettent de l’information, ce qui démontre son intérêt stratégique dans le domaine médiatique vis-à-vis des jeunes générations et celles du futur. En outre, il est devenu à la fois le premier outil de stockage d’informations à la fois privées et publiques, dont des informations relevant du secret d’entreprise ou du secret défense et l’un des principaux outils d’organisation des structures publiques ou privées.

Un levier de puissance militaire indéniable

On comprend, au vu de tous ces éléments, que disposer d’une force de « frappe » au sein du cyberespace, par le biais d’équipements et d’individus spécialisés dans ce domaine, constitue une arme redoutable d’influence médiatique, d’espionnage et de déstabilisation géopolitique et structurelle pouvant impliquer des conséquences considérables tant sur le plan civil que militaire.

Elle pourrait permettre de déclencher une guerre, générer d’importants troubles sociopolitiques déstabilisateurs dans un État rival, de « capturer » nombre d’informations ultra-sensibles (via un piratage informatique qui viendrait forcer, à titre d’exemple, « l’enceinte numérique » d’un ministère pour récupérer des données), etc. Elle pourrait même permettre de gagner une guerre ! De fait, une cyberattaque contre les structures informatiques d’un État pourrait déstabiliser profondément celui-ci, voire le paralyser momentanément, ce qui le rendrait vulnérable en cas de conflit. L’exemple estonien qui fut la cible de cyberattaques russes en 2007 à la fois contre ses structures étatiques, comme le site du Parlement estonien, ou encore des structures privées, comme des banques, suite à un sérieux désaccord avec la Russie sur fonds de nationalisme russe, illustre cette menace.

Aujourd’hui, un pays ou un groupe de pays ayant l’intention de prétendre au titre de puissance mondiale doit se doter d’une législation et d’un arsenal d’armes cyber-militaires à même d’assurer sa protection voire d’organiser des attaques.

Les puissances mondiales telles que la Chine, la Russie, les États-Unis l’ont compris, ainsi que des puissances régionales comme le Japon, la Turquie, l’Inde, la France, l’Allemagne et le Royaume-Uni. Elles l’ont compris d’autant mieux que la situation actuelle fait de plus en plus penser à une forme de néo-guerre froide (en ce sens qu’elle oppose, dans une certaine mesure, d’un côté un « bloc occidental » autour de l’Europe et des États-Unis, et de l’autre, un bloc oriental autour de la Russie et de la Chine, avec, entre les deux, des puissances régionales ascendantes qui cherchent à s’affirmer sur fonds d’ultra-nationalisme grandissant, comme le démontre les exemples de l’Inde de Modi et celui la Turquie d’Erdogan), néo-guerre froide passant justement par l’utilisation privilégiée de la cyberguerre.

Mais qu’en est-il de l’UE au moment où se pose à elle du fait d’un contexte international tendu, notamment à ses frontières, la question de son autonomie stratégique ?

Une prise de conscience progressive

Il a fallu attendre l’offensive russe de 2007-2008, qui s’est manifestée en une série de cyberattaques massives contre l’Estonie et la Géorgie, pour qu’enfin, l’UE prenne conscience de la nécessité de développer une vraie stratégie de cybersécurité, y compris sur le plan militaire. En 2013 et 2014, cadre stratégique d’action pour la cybersécurité européenne est adopté : la cyberdéfense est incluse pour la première fois dans les activités de défense de l’UE, réunies dans le cadre de la politique de sécurité et de défense commune (PSDC).

Ce cadre stratégique consiste à consolider la résilience de l’Union aux cyberattaques par le biais de la mise en place d’un équipement de sécurisation et de régulation du cyberespace, ainsi que de la mise en place d’un cadre pour une politique de coordination avec les États-membres sur le plan de la cyberdéfense. Cette coordination doit se faire dans le domaine logistique et militaire, ainsi que dans le domaine diplomatique.

Une force défensive et dissuasive en développement…

Sur le plan logistique et militaire, cette stratégie a pu se concrétiser notamment par la création, en 2017, de la Coopération structurée permanente (CSP) qui consiste en une institution de coopération entre 25 États volontaires afin de travailler en commun notamment sur les questions de cyberdéfense. Cette coopération va permettre de créer des équipes de réaction rapide et d’assistance mutuelle, avec des réalisations concrètes : en témoigne le premier grand exercice cyber-sécuritaire européen qui a eu lieu en avril 2019, face aux craintes de potentielles cyber-campagnes de désinformation et de cyberattaques ayant pour but de déstabiliser les élections européennes de mai 2019.

De plus, depuis mai 2019, l’UE peut prononcer des sanctions qui concernent des personnes ou entités responsables ou impliquées d’une façon ou d’une autre dans des cyberattaques ou des tentatives.

Par ailleurs, la législation européenne a renforcé la solidarité entre les États-membres dans le domaine de la cyberdéfense en incluant « la clause de solidarité » (article 222 du Traité sur le Fonctionnement de l’Union européenne) comme recours potentiel dans un cas de cyberattaque. Mais cet esprit de solidarité demeure encore très limité par les réalités du terrain.

… au potentiel limité par l’OTAN et les divergences entre États-membres

L’activation des outils juridiques prévus par les traités européens, tels que la clause de défense mutuelle (l’article 42§7 du Traité sur l’Union européenne invoqué notamment par François Hollande à la suite des attentats de novembre 2015), ou encore la clause de solidarité évoquée précédemment, est rendue compliquée par les divergences d’intérêts entre les États-membres. En effet, elles exigent un certain consensus entre eux pour pouvoir être utilisées de manière effective. Or, le mécanisme d’attribution d’une attaque à un État tiers vient limiter de facto la portée effective de ces clauses.

On a pu dernièrement constater ce risque par le manque de soutien manifesté par l’Allemagne à la France et à la Grèce contre les agressions turques en Méditerranée orientale, manque de soutien qui s’explique par les liens importants, notamment économiques, que partagent l’Allemagne et la Turquie.

En outre, si l’OTAN reste un partenaire essentiel pour la cyberdéfense européenne, paradoxalement, son existence affaiblit pourtant son renforcement. De fait, nombre d’Etats-membres de l’UE sont aussi membres de l’OTAN. Or celle-ci présente l’avantage de potentiellement moins risquer d’heurter leurs intérêts nationaux en tant qu’elle est d’abord une alliance militaire et ne comporte pas, au-delà de celle-ci, de nature politique fédératrice poussée comme l’UE. De plus, l’alliance atlantique est, à ce jour, l’organisation internationale la plus avancée en matière de cyberdéfense.