QUESTION ÉCRITE P-0780/03

posée par Elly Plooij-van Gorsel (ELDR) à la Commission

(7 mars 2003)

Objet: Droit du président Bush de procéder à des attaques cybernétiques

Il y a peu encore l'attention attachée aux éventuelles attaques cybernétiques et à leurs conséquences était minimale. Ainsi, en Europe, la lutte contre la vulnérabilité des systèmes informatiques a été considérée, y compris par le Parlement européen, comme une mission incombant essentiellement aux entreprises et aux organisations elles-mêmes. Depuis les attentats terroristes commis aux États-Unis, en septembre 2001, et les mises en garde constantes contre d'éventuelles attaques cybernétiques, l'attention attachée à la sécurité a fortement augmenté.

En l'occurrence, il ne faut pas uniquement se méfier des dommages que causeraient des attaques cybernétiques de la part de l'Irak ou de groupements islamiques, comme Unix Security Guards ou Anti-India Crew. En effet, dans le contexte de la lutte contre le terrorisme sur Internet, le Président Bush a signé, voici six mois, une loi spéciale, qui lui permet d'effectuer des attaques cybernétiques, qui ne doivent pas forcément viser l'Irak et qui peuvent aussi concerner le fonctionnement total du World Wide Web. En d'autres termes, Bush peut paralyser complètement le réseau s'il le souhaite. Seuls des objectifs revêtant une importance militaire pourraient être attaqués. Le grand problème que posent les attaques en ligne réside dans les nombreux dommages collatéraux qu'elles peuvent provoquer. Internet étant un écheveau serré, de telles actions peuvent également confronter d'autres pays et entreprises à des difficultés. Une attaque du type refus de service, méthode classique permettant de casser un réseau, a aussi des conséquences pour les réseaux situés entre l'agresseur et l'objectif.

1. La Commission a-t-elle connaissance de cette nouvelle loi, qui habilite le président Bush à réaliser des attaques cybernétiques? Dans l'affirmative, qu'en pense-t-elle?

2. Comment la Commission compte-t-elle protéger les entreprises et citoyens européens contre de telles attaques et contre leurs conséquences?

3. Selon elle, qui doit prendre en charge les dommages que ces attaques peuvent causer et comment ces dommages doivent-ils être réparés?

Réponse donnée par M. Liikanen au nom de la Commission

(7 avril 2003)

La Commission a connaissance d'un article paru dans le Washington Post du 7 février 2003 selon lequel, aux dires de fonctionnaires de l'administration américaine, le président Bush aurait signé, en juillet 2002, un ordre secret intitulé directive présidentielle 16 sur la sécurité nationale (National Security Presidential Directive 16). D'après le Washington Post, cette directive enjoint le gouvernement des États-Unis d'élaborer des lignes directrices nationales pour déterminer à quel moment et de quelle manière les États-Unis pourraient lancer des attaques cybernétiques contre des réseaux informatiques ennemis. Les stratèges militaires envisageraient que des experts en informatique piratent des réseaux électroniques ennemis, par exemple pour désactiver des radars, perturber le fonctionnement d'équipements électriques ou interrompre des services téléphoniques.

La Commission n'a connaissance d'aucune publication ou confirmation officielle de cette directive par le gouvernement américain.

Les moyens de défense en cas de guerre cybernétique présentent des similarités avec les mesures visant à promouvoir la sécurité sur la toile et à combattre la criminalité informatique, domaines dans lesquels la Commission a oeuvré très activement au développement d'une politique.

La Commission a adopté, le 26 janvier 2001, une communication intitulée Créer une société de l'information plus sûre en renforçant la sécurité des infrastructures de l'information et en luttant contre la cybercriminalité(1) qui reconnaît le rôle stratégique que jouent les infrastructures d'information et de communication, y compris l'internet, dans les économies et qui propose des mesures spécifiques.

Le 19 avril 2002, dans la ligne de cette communication, la Commission a adopté une proposition de décision-cadre du Conseil relative aux attaques visant les systèmes d'information(2). En vertu de cette proposition, les États membres sont tenus d'instaurer dans le droit national un délit d'accès illicite à un système d'information et d'interférence illicite avec un tel système. Le texte contient également des dispositions concernant les sanctions pénales, les règles de responsabilité des personnes morales et les sanctions qui les accompagnent, les règles de compétence et l'obligation pour les États membres de rejoindre le réseau en place de points de contact opérationnels sur la criminalité utilisant les technologies avancées, disponibles 24 heures sur 24, 7 jours sur 7. Le Parlement a rendu un avis sur la décision-cadre en octobre 2002(3) et le Conseil est parvenu à un accord politique sur le contenu de ses principaux articles le 28 février 2003.

Le plan d'action eEurope 2005 vise à dynamiser les services de sécurité et à contribuer ainsi à la sécurisation de l'infrastructure de l'information. L'amélioration de la cybersécurité figurait déjà parmi les objectifs prioritaires des précédents plans d'action eEurope.

En février 2003, la Commission a proposé la création d'une Agence européenne chargée de la sécurité des réseaux et de l'information(4). La finalité de cette agence est de constituer un centre d'expertise auprès duquel les États membres et la Commission peuvent chercher conseil en matière de cybersécurité. L'agence fournira également son aide aux autorités des États membres, et notamment aux diverses équipes d'intervention en cas d'urgence (CERTS).

Par ailleurs, la Commission vient de lancer le 6e programme-cadre de recherche et de développement technologique (RDT), au sein duquel la R & D sur les technologies garantissant la sécurité et la fiabilité constitue une composante clé du domaine prioritaire Technologies pour la société de l'information (IST). Le 5e programme-cadre accordait déjà une grande attention aux technologies garantissant la sécurité et à la fiabilité de l'infrastructure de l'information, et prévoyait notamment des activités de recherche sur les interdépendances.

En vertu du droit civil et pénal des États membres, les attaquants sont passibles de sanction dans la plupart des cas où des systèmes d'information ont été pris pour cible. Lorsque la décision-cadre relative aux attaques visant les systèmes d'information aura pris effet, la liste des attaques entraînant une responsabilité pénale sera étendue pour inclure notamment le refus de service dans tous les États membres.

En cas d'actes perpétrés par un État tiers ou pour son compte (y compris des actes de guerre), la question pourrait se poser de savoir si cet État bénéficierait de l'immunité de juridiction face aux tribunaux des autres États. La réponse à cette question dépendrait néanmoins de l'état précis du droit international dans ce domaine en constante évolution et des circonstances particulières des actes en cause.

(1) COM(2000) 890 final.

(2) JO C 203 E du 27.8.2002.

(3) A5-0328/2002 final.

(4) COM(2003) 63 final.