Une nouvelle dimension de la cyberdéfense : le BKA obtient des pouvoirs élargis
L'architecture de sécurité allemande s'apprête à connaître une évolution majeure : avec le projet de loi de renforcement de la cybersécurité, l'Office fédéral de police criminelle (BKA) doit être habilité à agir activement contre les infrastructures des attaquants. Le ministre fédéral de l'Intérieur Alexander Dobrindt (CSU) a qualifié le projet de « jalon pour l'architecture de sécurité de l'Allemagne » et a annoncé : « Nous ripostons, nous neutralisons la menace. Si nous sommes attaqués, nous pourrons perturber les attaquants et détruire leur infrastructure. »
Cette nouvelle forme de « cyberdéfense active » marque un changement de paradigme dans la stratégie allemande de cybersécurité. Alors que les mesures défensives primaient jusqu'ici, il sera désormais possible d'agir préventivement contre des menaces potentielles.
De la protection passive à la défense active
Jusqu'à présent, la cyberdéfense allemande se limitait principalement à des mesures réactives. « Jusqu'ici, nous réagissions aux attaques en tentant de les rediriger vers des zones inoffensives du réseau », a expliqué le ministre Dobrindt à propos de la démarche antérieure. Ces méthodes étaient certes efficaces, mais représentaient le maximum des mesures actives de défense possibles.
À l'avenir, les logiciels et serveurs d'attaquants situés à l'étranger pourront eux aussi être visés. Cet élargissement des pouvoirs est justifié politiquement par l'évolution de la situation sécuritaire et l'urgence accrue dans le cyberespace.
Scénarios concrets d'utilisation des nouveaux pouvoirs
Selon les nouvelles dispositions, le BKA doit être habilité à combattre différents types d'infrastructures d'attaquants :
- Objets connectés détournés pour des cyberattaques
- Serveurs faisant office de centres de commande et de contrôle
- Instances cloud détournées
- Serveurs de commande et de contrôle servant à coordonner des attaques DDoS
L'objectif est de pouvoir intervenir tôt afin d'empêcher d'emblée des attaques telles que les attaques DDoS, avant qu'elles ne causent des dommages.
Distinction avec le concept controversé de « hackback »
Le ministre Dobrindt a souligné que les mesures envisagées ne constituent pas un « hackback ». Un hackback serait une « riposte non ciblée », alors qu'il s'agit ici d'une prévention concrète des dangers assurée par l'Office fédéral de police criminelle, la police fédérale et l'Office fédéral de la sécurité des technologies de l'information.
Pour illustrer son propos, le ministre a proposé une analogie : « Lorsqu'une valise abandonnée présente un danger, nous intervenons sans chercher d'abord à qui elle appartient. » Savoir précisément qui se cache derrière un système attaquant serait sans importance pour la prévention du danger. Seul compte le fait que la structure serveur représente une menace concrète.
Sur la base de cette distinction, le gouvernement fédéral n'estime pas nécessaire de modifier la Loi fondamentale. Les mesures envisagées devraient s'inscrire dans le cadre constitutionnel existant.
Voix critiques de la société civile
Malgré les assurances du gouvernement, des critiques voient dans cette disposition un pouvoir problématique de riposte informatique. Leur principale inquiétude : lors de cyberattaques professionnelles, des appareils tiers sont régulièrement détournés, de sorte que les mesures pourraient toucher non les véritables auteurs, mais des tiers non impliqués.
Les mesures de cybersécurité envisagées s'inscrivent dans une série de projets législatifs visant à accorder des pouvoirs élargis aux polices et aux parquets. Après les projets de conservation des données, les lois de transposition sur la préservation numérique des preuves et les prérogatives d'analyse de données et de comparaison biométrique sur Internet, il s'agit déjà du troisième grand paquet de ce type.
Le rythme prévu du processus législatif est particulièrement critiqué, les projets devant passer au pas de charge devant le Bundestag.
Mise en perspective et portée pour le secteur de la sécurité
Ces nouveaux pouvoirs constituent un élargissement considérable des mesures étatiques de cybersécurité. Pour les entreprises et les organisations, cela signifie d'un côté une protection potentiellement renforcée contre les cyberattaques, de l'autre l'apparition de nouveaux défis juridiques et techniques.
La cyberdéfense active est considérée comme un complément nécessaire aux mesures de protection existantes telles que le durcissement des systèmes informatiques ou les obligations légales de sécurité informatique issues des règles NIS 2.
Conséquences pour le secteur des technologies de sécurité
Les pouvoirs étatiques élargis pourraient modifier les exigences applicables aux solutions de sécurité privées. Les entreprises pourront peut-être s'appuyer davantage sur des mesures de défense robustes et coordonnées par l'État, tandis que la documentation et la transparence de leurs propres mesures de sécurité gagneront en importance.
Perspectives : des défis juridiques et techniques
La mise en œuvre des nouveaux pouvoirs entraînera divers défis. Les aspects de droit international devront être pris en compte, tout comme la distinction pratique entre systèmes légitimes et systèmes utilisés de manière abusive.
Pour le secteur de la sécurité, de nouvelles possibilités de coopération avec les services de l'État apparaissent, mais les exigences de documentation et de traçabilité des mesures de sécurité augmentent également.
Les prochains mois montreront comment évolue le débat sur ces pouvoirs élargis et quelles conséquences concrètes les nouvelles dispositions auront sur le paysage de la cybersécurité en Allemagne.
