Nouvelle stratégie : de la défense passive à la cyberdéfense active
Le gouvernement allemand prévoit un changement de stratégie fondamental en matière de cybersécurité. Un projet de loi adopté en conseil des ministres doit accorder à l'Office fédéral de la sécurité des technologies de l'information (BSI), à la police fédérale et à l'Office fédéral de police criminelle (BKA) des pouvoirs élargis de « cyberdéfense active ». Ces mesures vont nettement au-delà des approches préventives antérieures et autorisent pour la première fois une intervention directe dans les structures des attaquants.
Le ministre fédéral de l'Intérieur Alexander Dobrindt (CSU) décrit cette nouvelle démarche comme proactive : « Nous ripostons, nous neutralisons la menace ; si nous sommes attaqués, nous pourrons perturber les attaquants et détruire leur infrastructure. » Cette annonce marque un changement de paradigme, d'une cyberstratégie purement défensive à une stratégie offensive.
Pouvoirs et mesures concrets en détail
Le projet de loi prévoit différents nouveaux outils à mettre à la disposition des autorités de sécurité :
- Interdiction d'exploitation de systèmes informatiques présentant un danger
- Redirection du trafic de données à des fins d'analyse et d'interruption des attaques
- Lecture, suppression ou modification de données dans des systèmes tiers
- Action contre des domaines Internet malveillants changeants
Le BSI doit être habilité, à la demande d'institutions, à rechercher et identifier dans leurs systèmes informatiques les mesures préparatoires d'attaquants. L'accent est mis en particulier sur la lutte contre la diffusion de logiciels malveillants via des domaines compromis.
La mise en œuvre des modifications prévues nécessitera au total 37 agents supplémentaires, ce qui illustre la charge de travail attendue pour ces nouvelles missions.
Justification : l'Allemagne dans le viseur des cyberattaques internationales
Le gouvernement fédéral justifie cette modification législative par l'aggravation de la menace. En tant que première économie d'Europe, l'Allemagne serait de plus en plus visée par des cyberattaques pouvant avoir des effets majeurs. Les menaces hybrides gagneraient en particulier en importance.
Des puissances étrangères, des acteurs étatiques ou des organisations qui leur sont liées seraient de plus en plus souvent à l'origine de cyberattaques contre l'Allemagne. Ces attaques viseraient l'économie, l'industrie, les services de l'État et le monde politique, avec pour objectifs :
- L'espionnage
- Le sabotage
- L'extorsion
- La démonstration de puissance dans l'espace numérique
Selon le projet de loi, « les mesures préventives dans ses propres systèmes informatiques n'offrent pas à elles seules une protection suffisante » contre des cyberattaques de grande ampleur au fort potentiel de dommages. Les autorités doivent donc obtenir des moyens complémentaires pour empêcher directement de telles attaques.
Distinction entre prévention des dangers et poursuites pénales
Les pouvoirs supplémentaires accordés à la police fédérale doivent servir exclusivement à la prévention des dangers, et non aux poursuites pénales. Des mesures de défense particulières ne sont prévues que dans certains cas, par exemple lorsque le danger vise des « autorités ou institutions dont le fonctionnement revêt une importance essentielle pour la collectivité ou la défense ».
Voix critiques du monde économique
La fédération de l'économie numérique Bitkom salue certes sur le principe l'engagement accru du gouvernement en matière de cyberdéfense, mais y voit des aspects problématiques. Bitkom juge particulièrement critiques les nouveaux pouvoirs d'intervention de la police fédérale et du BKA, qui permettent des contre-attaques contre les systèmes des attaquants.
Principal reproche : « Comme les cyberattaques ne peuvent souvent pas être attribuées techniquement avec certitude et que les auteurs brouillent les pistes, des tiers non impliqués risquent d'être touchés. » Cette appréciation renvoie à la complexité technique de l'attribution des cyberattaques et aux dommages collatéraux possibles.
La fédération de l'industrie allemande (BDI) estime également que des améliorations sont nécessaires. La critique vise l'approche centrée sur l'État : « Le projet mise jusqu'ici trop sur l'intervention étatique et trop peu sur la coopération avec l'économie. » Les obligations de coopération des entreprises devraient être formulées de manière plus précise et plus proportionnée.
Portée pour le secteur de la sécurité
Les modifications législatives envisagées ont des implications considérables pour l'ensemble du secteur de la sécurité. Les entreprises doivent se préparer à des possibilités d'intervention accrues des autorités et adapter en conséquence leurs concepts de sécurité informatique. Cela concerne aussi bien l'infrastructure technique que les exigences juridiques de conformité.
Pour les fournisseurs de technologies de sécurité, de nouveaux champs d'activité apparaissent, une activité étatique accrue rendant également nécessaires des mesures de protection correspondantes pour les entreprises. La demande de solutions de sécurité robustes devrait continuer d'augmenter.
Perspectives : un changement de paradigme avec des questions en suspens
Le projet de loi marque une évolution fondamentale de la stratégie allemande de cybersécurité. Pour la première fois, les services de l'État ne devront pas seulement agir de manière défensive, mais pourront intervenir activement dans des systèmes tiers. Cela entraîne toutefois des défis juridiques et techniques encore imparfaitement résolus.
Les critiques des fédérations économiques montrent que l'équilibre entre une cyberdéfense efficace et la protection des tiers non impliqués constitue un défi central. La manière dont cette cyberdéfense active fera ses preuves en pratique et la question de savoir si le cadre juridique est suffisamment précis ne se révéleront qu'à l'usage.
Les entreprises devraient dès à présent se préparer à cette nouvelle situation juridique et adapter en conséquence leurs concepts de sécurité. La coopération entre services de l'État et secteur privé sera à cet égard déterminante pour le succès de la nouvelle stratégie.
