Les cyberattaques en mer : quel espace pour la légitime défense de l’Etat visé ?

Par Federica MUSSO
Docteur en Droit international et de l’Union européenne de l’Université de Macerata (Italie),
Chercheure invitée du Programme Human Sea

Le nombre de cyberattaques en mer a augmenté au cours des dernières années1, ce qui prouve que la sécurité des réseaux informatiques n’est pas exclusivement une problématique terrestre. Ce n’est pas par hasard que, très récemment, le Comité de la sécurité maritime de l’Organisation Maritime Internationale a approuvé des directives intérimaires sur la gestion des cyber-risques maritimes2. L’une des questions que les cyberattaques soulèvent, et peu importe s’il s’agit du domaine terrestre, maritime ou aérien, concerne la possibilité pour l’Etat visé d’invoquer la légitime défense au titre de l’article 51 de la Charte des Nations Unies. L’hypothèse du déclenchement d’un conflit armé suite à une attaque informatique contre un Etat n’est pas plus seulement une utopie. Il suffit de rappeler que, très récemment, le secrétaire général de l’Organisation du Traité de l’Atlantique Nord, Jens Stoltenberg, a déclaré qu’une cyberattaque doit être considérée au même titre qu’une attaque militaire et que l’OTAN pourrait donc activer l’article 5 du Traité de Washington3 dans le cas d’une attaque informatique4. Il faut admettre, cependant, que la question concernant la légitime défense en réponse à une cyberattaque se complique lorsque ladite attaque survient en mer, ayant par exemple comme objet les systèmes d’information et communication des navires, en raison des difficultés liées à l’applicabilité du régime de la légitime défense aux espaces marins.

Il ne fait guère de doute que les cyberattaques représentent un risque pour la sécurité des Etats. En ce sens, le concept stratégique adopté par l’OTAN en 2010 souligne que les cyberattaques, dont la fréquence et la sophistication augmentent, « risquent d’atteindre un seuil pouvant menacer la prospérité, la sécurité et la stabilité des États et de la zone euro-atlantique »5. Ainsi, l’encadrement juridique des cyberattaques soulève des questions : les cyberattaques sont-elles une atteinte au principe de non-intervention dans les affaires intérieures des Etats6 ? Ou s’agit-il d’attaques pouvant constituer une violation de l’interdiction de l’usage de la force dans les relations internationale visée à l’article 2(4) de la Charte de l’ONU7 ? La question n’est pas sans fondement. En effet, selon la doctrine dominante, la notion de « force » contenue dans l’article 2(4) doit être entendue comme synonyme de « force armée »8, et il existe des arguments favorables à une interprétation extensive de cette même notion. En particulier, il a été avancé que nous sommes en présence de l’emploi de la force en violation de l’article 2(4) à chaque fois que des dommages aux personnes ou aux biens sont causés. Il faut donc regarder les conséquences provoquées par une action et non pas l’action en elle-même9. Il semble irraisonnable d’affirmer qu’une cyberattaque occasionnant une collision entre navires, et ayant des conséquences catastrophiques, tant en terme de pertes humaines, de personnes blessées et de dégâts matériels, n’équivaut pas à l’utilisation de la force armée.

Dire que l’interdiction de l’usage de la force est susceptible d’être violée, en cas de lancement de cyberattaques mettant en péril la sécurité des Etats, ne résout pas tous les problèmes. Au contraire, nous pouvons même dire que les problèmes les plus difficiles découlent de cette conclusion et concernent les conditions sur lesquelles se fonde la légitime défense aux termes de l’article 51 de la Charte de l’ONU10. En particulier, se pose la question de savoir quand il est légitime de répondre militairement à une cyberattaque.

L’article 51 stipule que la Charte « ne porte atteinte au droit naturel de légitime défense, individuelle ou collective, dans le cas où un Membre des Nations Unies est l’objet d’une agression armée […] ». Il résulte du libellé de la règle que l’emploi de la force est permis seulement en réaction à une agression armée. Et, comme la Cour Internationale de Justice l’a montrée dans différentes affaires11, toutes les violations de l’interdiction du recours à la force ne constituent pas nécessairement une attaque armée selon les termes de l’article 51. En effet, une distinction peut être faite entre les emplois de la force graves et ceux de moindre gravité et seulement les dernières, en constituant des agressions armées, sont susceptibles de déclencher la légitime défense. Malheureusement, force est de constater que, contrairement aux attaques « conventionnelles », l’individuation de la ligne de démarcation entre les cyberattaques en fonction de leur gravité – et donc des cyberattaques qui peuvent être repoussées militairement – reste incertaine. De plus, les hypothèses contenues dans la définition de l’agression, annexée à la résolution 3314 (XXIX) de l’Assemblée générale des Nations Unies12, ne se prêtent pas à être adaptées aux attaques informatiques. Il s’agit d’une question extrêmement délicate, puisque les Etats ont tendance à abuser de la légitime défense « en faisant passer par mesures de légitime défense des actes de représailles et d’autres actions militaires à caractère punitif »13. Il va sans dire que le risque d’abus sera plus grand par rapport aux cyberattaques qui sont, par nature, moins perceptibles que les attaques militaires traditionnelles.

Le texte de l’article 51 de la Charte de l’ONU ne dit rien en ce qui concerne les sujets dont les attaques armées permettent d’invoquer la légitime défense. Cela ne pose naturellement aucun problème si une cyberattaque est lancée par un Etat, soit directement, à travers ses organes de jure, soit indirectement, à travers son engagement substantiel dans une action d’individus14 à condition que le lien avec l’Etat commanditaire soit démontré15. Il n’en va pas de même pour les attaques qui sont lancées par des acteurs non étatiques. La possibilité d’exercer la légitime défense à l’encontre de ces acteurs est une question d’une importance particulière par rapport aux cyberattaques au motif que les individus peuvent pénétrer avec facilité dans les systèmes informatiques des gouvernements, alors que pour eux il est plus difficile d’organiser une attaque armée conventionnelle sans le soutien d’un Etat. La Cour Internationale de Justice a statué sur des affaires se rapportant au sujet en question en adoptant une position plutôt restrictive16. La doctrine, quant à elle, afin de permettre à l’Etat attaqué par des acteurs non étatiques de se défendre en employant la force, a développé la théorie suivante. Quand un groupe d’individus, auquel des attaques armées sont imputables, a le contrôle d’une partie du territoire d’un Etat, il doit être considéré comme un Etat et cela suffit pour appliquer l’article 51 de la Charte des Nations Unies. Cependant, comme il est facile de s’en rendre compte, cette théorie ne se prête pas à être étendue aux attaques informatiques qui n’exigent en aucune façon que leurs auteurs aient le contrôle d’une partie du territoire de l’Etat d’où ils lancent des cyberattaques.

Les difficultés liées au déclenchement de la légitime défense s’accroissent si les cyberattaques ont lieu dans les espaces maritimes. Réfléchissons au principe de nécessité. Conformément à ce principe, l’emploi de la force fondé sur la légitime défense doit être indispensable à la cessation de l’attaque armée ; sinon on tombe dans les représailles armées. Comme le montre la doctrine, le respect dudit principe devient problématique dans le domaine maritime, où bien souvent les attaques armées sont ponctuelles et isolées17. La situation se complique davantage par rapport aux cyberattaques, compte tenu du fait que, à la différence du recours à la force militaire, les effets de ces attaques peuvent ne pas être immédiats. Par ailleurs, on peut se demander quels sont les actes qui donnent lieu à une agression armée contre un Etat dans les zones maritimes, ne constituant pas le territoire d’un Etat. Au sens de l’article 29 de la Convention des Nations Unies sur le droit de la mer, les navires de guerre font partie des forces armées d’un Etat. S’il est évident qu’une attaque menée contre un navire de guerre pourrait permettre à l’Etat du pavillon d’invoquer l’article 51 de la Charte de l’ONU, ce n’est pas aussi clair en ce qui concerne le droit international lorsque les attaques sont dirigées contre un navire marchand. La question, discutée par la doctrine, s’était posée devant la Cour Internationale de Justice dans l’affaire des plates-formes pétrolifères18 : les Etats Unis affirmèrent qu’une attaque sur un navire marchand ouvrait le droit à la légitime défense tandis que l’Iran s’était opposé à cette prise de position au motif que, selon lui, les navires privés ne s’identifiaient pas au territoire de l’Etat dont ils battaient le pavillon. Malheureusement, la Cour a laissé la question en suspens19. Cette incertitude est particulièrement ressentie vis-à-vis des cyberattaques pouvant viser des navires privés.

En l’état actuel, trop d’incertitudes entourent l’exercice de la légitime défense à la suite d’attaques informatiques, surtout lorsque ces attaques ont lieu en mer. Il ne semble pas que l’emploi de la force armée soit une solution efficace pour assurer la sûreté maritime des Etats et il ne reste qu’à souhaiter l’élaboration d’une réglementation pertinente du sujet par la communauté internationale.

  1. Safety & Shipping Review 2017, p. 34-35, http://www.agcs.allianz.com/insights/white-papers-and-case-studies/safety-and-shipping-review-2017/ []
  2. OMI, MSC.1/Circ.1526, 1er juin 2016, DIRECTIVES INTÉRIMAIRES SUR LA GESTION DES CYBER-RISQUES MARITIMES: http://www.imo.org/en/OurWork/Securitè/Guide_to_Maritime_Security/Documents/MSC.1-CIRC.1526%20%28E%29.pdf []
  3. http://www.nato.int/cps/fr/natohq/official_texts_17120.htm []
  4. https://www.informanews.net/otan-importance-aux-cyberattaques/ []
  5. http://www.nato.int/lisbon2010/strategic-concept-2010-fra.pdf []
  6. Pour en savoir plus voir E. David, « Portée et limite du principe de non-intervention », Revue Belge de Droit International, 1990, pp. 351-367. []
  7. Le paragraphe 4 de l’Article 2 de la Charte interdit la menace ou l’emploi de la force contre la souveraineté, l’intégrité territoriale et l’indépendance politique du tout État. []
  8. Voir M.C. Waxman, « Cyber-Attacks and the Use of Force: Back to the Future of Article 2(4) », Yale Journal of International Law, p. 426 s. []
  9. Voir M.N. Schmitt, « Computer Network Attack and the Use of Force in International Law: Thoughts on a Normative Framework », Columbia Journal of Transnational Law, 1998-99, p. 913. []
  10. Pour un commentaire voir A. Randelzhofer, « Article 51 », B. Simma (ed.), The Charter of the United Nations. A Commentary, Oxford, 2002, pp. 662-678. []
  11. Voir l’arrêt dans l’Affaire des activités militaires et paramilitaires au Nicaragua et contre celui-ci, par. 195, http://www.icj-cij.org/files/case-related/70/070-19860627-JUD-01-00-FR.pdf et l’arrêt dans l’Affaire des plates-formes pétrolières, http://www.icj-cij.org/files/case-related/90/090-20031106-JUD-01-00-FR.pdf par. 51-64, []
  12. http://www.un.org/french/documents/view_doc.asp?symbol=A/RES/3314%28XXIX%29&Lang=F []
  13. A. Cassese, « Article 51 », J.P. Cot, A. Pellet (dirigé par), La Charte des Nations Unies, Paris, 2006, p. 1352. []
  14. Sur l’agression indirecte, voir l’arrêt de la Cour international de justice dans l’Affaire des activités militaires et paramilitaires au Nicaragua et contre celui-ci, par. 195, http://www.icj-cij.org/files/case-related/70/070-19860627-JUD-01-00-FR.pdf []
  15. Voir A. Bufalini, « Les cyber-guerres à la lumière des règles internationales sur l’interdiction du recours à la force », M. Arcari, L. Balmond (eds.), La gouvernance globale face aux défis de la sécurité collective, Napoli, 2012, p. 104 s. []
  16. Voir l’avis consultatif dans l’Affaire des Conséquences juridiques de l’édification d’un mur dans le territoire palestinien occupé, par. 139, http://www.icj-cij.org/files/case-related/131/131-20040709-ADV-01-00-FR.pdf et l’arrêt dans l’Affaire des activités armées sur le territoire du Congo, par. 146-147, http://www.icj-cij.org/files/case-related/126/126-20060203-JUD-01-00-FR.pdf []
  17. Voir K. Neri, L’emploi de la force en mer, Bruylant, Bruxelles, 2013, p. 426-429 []
  18. http://www.icj-cij.org/files/case-related/90/090-20031106-JUD-01-00-FR.pdf []
  19. Par. 64. Voir K. Neri, cit., p. 419 []

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *