Le gouvernement vient de dévoiler son projet de loi « relatif à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ». Au travers de ce texte, l’exécutif met l’accent sur les problématiques liées à la cyberdéfense des intérêts de la France. L’ANSSI devrait ainsi voir ses pouvoirs renforcés.

C’est vendredi dernier que le ministre de la Défense, Jean-Yves Le Drian, a présenté en grandes pompes son projet de loi relatif à la programmation militaire pour les années 2014 - 2019. En clair, il s’agit d’un texte donnant un cap sur plusieurs années et censé refléter les priorités de la Défense nationale. Parmi celles-ci, l’on retrouve sans surprise les traditionnelles forces de dissuasion nucléaire, le renouvellement des missiles, etc.

Toutefois, force est de constater que les nouvelles technologies sont elles aussi au rendez-vous. L’on observe ainsi parmi ces priorités pour 2014 - 2019 :

• « La montée en puissance de la cyberdéfense »,
• « La préparation de futurs programmes spatiaux d’écoute, d’observation et de communication ; la poursuite de l’effort sur le traitement des images, la guerre électronique, l’exploitation et le traitement des données de renseignement, la numérisation de l’environnement géophysique, les évolutions des systèmes de radionavigation ».

Accès en temps réel aux données de connexion

Désormais devant le Sénat, ce projet de loi comporte plusieurs articles importants. Le premier d’entre eux, l’article 13, a pour objectif d’autoriser « expressément les services de police et de gendarmerie chargés de la prévention du terrorisme à accéder en temps réel à des données de connexion mises à jour ». Dans l’exposé des motifs, il est ainsi indiqué que cette évolution va permettre aux forces de l’ordre « de géolocaliser un terminal téléphonique ou informatique et de suivre ainsi en temps réel certaines cibles ». Pour ce faire, il est proposé de modifier la LCEN ainsi que le code des postes et des communications électroniques.

Le premier alinéa de l'article L. 34-1-1 du CPCE pourrait ainsi être remplacé de la sorte :

« Afin de prévenir les actes de terrorisme, les agents individuellement désignés et dûment habilités des services de police et de gendarmerie nationales spécialement chargés de ces missions peuvent exiger des opérateurs et personnes mentionnés au II de l'article L. 34 - 1 la communication des données traitées par les réseaux ou les services de communications électroniques de ces derniers, après conservation ou en temps réel, impliquant le cas échéant une mise à jour de ces données. »

Renforcement des pouvoirs de l’ANSSI

Ensuite, plusieurs dispositions de ce projet de loi viennent préciser les pouvoirs du Premier ministre, et ce, au nom de la protection contre les cybermenaces des systèmes d’information identifiés comme étant d’importance vitale. « Dans le cadre de la stratégie de sécurité nationale et de la politique de défense, le Premier ministre définit la politique et coordonne l'action gouvernementale en matière de sécurité et de défense des systèmes d'information » devrait ainsi indiquer l’article L. 2321 - 1 du Code de la défense si ce texte était adopté en l’état.

À travers le chef du gouvernement, il faut surtout voir les services qui sont mis à sa disposition, et plus particulièrement l’Agence nationale de la sécurité des systèmes d’information (ANSSI). À cet égard, l’article 14 du projet de loi vise à l’insertion d’un article L. 2321 - 2 au Code de la défense, lequel prévoirait que « pour répondre à une attaque informatique de systèmes d'information portant atteinte au potentiel de guerre ou économique, à la sécurité ou à la capacité de survie de la Nation, les services de l'État peuvent, dans les conditions fixées par le Premier ministre, procéder aux opérations techniques nécessaires à la caractérisation de l'attaque et à la neutralisation de ses effets en accédant aux systèmes d'information qui en sont à l'origine ».

Il est également prévu que les services de l’État puissent détenir dans ce cadre « des équipements, des instruments, des programmes informatiques et toute donnée susceptibles de permettre la réalisation d'une ou plusieurs des infractions prévues par les articles 323 - 1 à 323 - 3 du code pénal [relatifs aux atteintes portant sur les systèmes d’informations, ndlr] en vue d'analyser leur conception et d'observer leur fonctionnement ». En clair, l’ANSSI pourrait notamment étudier l’action d’un logiciel malveillant ou bien accéder à un serveur informatique à l’origine d’une attaque, et ce afin de le rendre inopérant.

Des amendes pouvant aller jusqu’à 750 000 euros pour les opérateurs

Par ailleurs, l’article 15 du texte de Jean-Yves Le Drian confère à Matignon le pouvoir d’imposer certaines obligations aux opérateurs en matière de sécurisation de leur réseau, de qualification de leurs systèmes de détection, d’information relatives aux attaques qu’ils peuvent subir, de soumission à des contrôles de leur niveau de sécurité informatique ou de l’application des règles édictées. Et pour éviter que certains opérateurs traînent des pieds, des sanctions pénales sont prévues pour ceux qui refuseraient de se plier à leurs obligations : 150 000 euros d’amende, voire cinq fois plus dans le cas d’une personne morale. Tout ceci signifie que l’ANSSI, qui avait jusqu’ici un rôle de prévention et de conseil, devrait se voir confier des pouvoirs et une marge de manoeuvre bien plus étendus qu’auparavant.

On remarquera au passage que ce renforcement des pouvoirs de l’institution était l’une des priorités formulées dans un rapport parlementaire rendu l’année dernière par le sénateur UDI Jean-Marie Bockel. Ce dernier, indisponible, n’a pas pu faire de commentaire à PC INpact à ce sujet. Sa permanence parlementaire a néanmoins tenu à saluer le fait que plusieurs de ses recommandations avaient été prises en compte.

Enfin, on notera que l’exécutif prévoit de renforcer ses moyens humains consacrés à la cyberdéfense. « Plusieurs centaines de spécialistes seront recrutés » promet ainsi le ministère de la Défense. De même, un réseau de réservistes citoyens devrait être constitué.

Le texte doit désormais être débattu devant le Sénat à la rentrée, en octobre selon nos informations.