Version classiqueVersion mobile

Droit de l'espace extra−atmosphérique

 | 
Clémentine Bories
, 
Marina Eudes
, 
Lucien Rapp
, 
et al.

Seconde partie : Espace et guerre

Cyberattaques et espace extra-atmosphérique : interférences et régime juridique

Delphine Miramont

Texte intégral

  • 1 Ces nouveaux risques sont multiples : collisions de satellites avec des débris/autres objets spati (...)
  • 2 Cela peut dépendre de la nature de l’attaque, de ses auteurs et de son degré d’intensité ; voir no (...)
  • 3 La Convention de Budapest sur la cybercriminalité (en date du 23 novembre 2001) regroupe les États (...)
  • 4 Résolution adoptée par consensus par la 132e Assemblée des Nations unies, Hanoï, 1er avril 2015 : (...)

1Les constellations de réseaux de satellites sont indispensables pour soutenir les activités humaines et participent à l’équilibre global de la défense, de l’économie et de la vie des citoyens. Pourtant, des menaces inquiétantes et nouvelles émergent et de nouveaux risques1 apparaissent et pèsent sur les patrimoines spatiaux. La cybersécurité est ainsi devenue une préoccupation croissante pour le secteur spatial, du fait notamment des interférences dans les transmissions par satellite et de la menace liée à l’accès non autorisé aux données stockées sur les satellites. Les systèmes à satellites sont en effet des infrastructures sensibles dont le piratage par le biais d’une attaque informatique pourrait avoir des conséquences graves. Les attaques informatiques peuvent déclencher l’application de différents types de corpus juridiques nationaux ou internationaux2. Alors que la cybercriminalité « ordinaire » ou « organisée » est largement encadrée par la Convention de Budapest3, le cyberespace en tant que tel n’est défini par aucun texte à valeur juridique, tout comme la cyberguerre4. Les termes de « cyberespace », « cybersécurité » et « cyberattaque » semblent souvent interchangeables et il demeure une confusion sémantique propre à ces différents termes. Cet article se concentre sur les cyberattaques, que nous pouvons définir comme des atteintes à des systèmes informatiques dans un but malveillant, ayant lieu dans l’espace extra-atmosphérique.

2L’entrecroisement entre le cyberespace et l’espace extra-atmosphérique permet de mettre en évidence l’émergence de nouvelles menaces spécifiques touchant les systèmes à satellites, et plus particulièrement les données stockées à bord des satellites (I). Le régime juridique applicable à ces actions informatiques offensives ayant lieu dans l’espace extra-atmosphérique fait appel à différents corpus juridiques dont il est intéressant de soulever les apports et les lacunes (II).

I. Espace extra-atmosphérique et cyberespace : l’entrecroisement de deux espaces face à de nouvelles menaces

3Le recours croissant aux systèmes satellitaires pour les télécommunications, la connectivité des réseaux et la télédétection a étendu le cyberespace à un plus grand nombre de dispositifs et de technologies, se situant souvent en orbite et dans d’autres zones situées en dehors du territoire d’un État. Le lien entre le cyberespace et l’espace extra-atmosphérique est alors évident, malgré l’absence d’un consensus clair et définitif quant à la délimitation de l’espace extra-atmosphérique (A). Cet entrecroisement entre ces deux espaces permet de mettre en exergue des menaces nouvelles, plus particulièrement pour les données stockées à bord des satellites (B).

A. Le cyberespace et l’espace extra-atmosphérique, des espaces interconnectés

4Selon l’agence nationale de la sécurité des systèmes d’information (ANSSI), le cyberespace est l’espace de communication constitué par l’interconnexion mondiale d’équipements de traitement automatisé de données numérisées.

  • 5 J. Klein, « Space Warfare. Strategy, Principles and Policy », Coll. Space Power and Politics, Broc (...)

5Le cyberespace peut être défini comme un ensemble de réseaux interconnectés d’ordinateurs (et de plus en plus d’objets mobiles tels que des téléphones, tablettes bracelets...) de réseaux humains, de flux de données. Tout comme le cyberespace peut être découpé selon un niveau physique et un niveau immatériel, de même faut-il analyser un système spatial en prenant en compte trois composantes majeures : le satellite en orbite, les liaisons montantes et descendantes entre l’objet spatial et les stations au sol, et la station terrienne qui contrôle le satellite et exploite et distribue les informations. En outre, l’espace est composé de deux « lignes de communication célestes »5 : les routes « matérielles » de communication (les trajectoires des objets lancés vers l’espace) et les lignes « immatérielles » (la capacité de l’espace à transmettre de l’information).

  • 6 F. Douzet, « La géopolitique pour comprendre le cyberespace », Hérodote, vol. 152-153, no. 1, 2014 (...)
  • 7 O. Kempf, « Stratégie du cyberspace », Diploweb.com : la revue géopolitique, 13 février 2013, p. 2
  • 8 Il est ici fait référence à la Convention sur la cybercriminlaité, aussi connue sous la dénominati (...)
  • 9 Directive (EU) 2016/1148 du Parlement européen et du Conseil du 6 Juillet 2016 sur la sécurité des (...)

6Il y a donc un lien évident entre le cyberespace et les satellites placés dans l’espace extra-atmosphérique. Le cyberespace est en effet un « espace d’information et d’échanges déterritorialisés constitué par une infrastructure matérielle installée sur le territoire physique, ainsi que dans l’espace extra-atmosphérique pour les satellites »6. Le terme de cyberespace désigne ainsi tout à la fois l’infrastructure physique (c’est à dire les différents éléments qui composent l’internet tels que les câbles, les serveurs, les routeurs et par conséquent les satellites également et tous les appareils connectés qui sont ancrés dans le territoire géographique physique et politique) et l’espace immatériel dans lequel circulent les données, l’information et les idées. On ne saurait donc « réduire le cyberespace à Internet seulement puisque tous les réseaux interconnectés, qu’ils soient publics ou privés, et quels que soient le moyen de leur interconnexion (fils, fibres, ondes de proximité, ondes satellites) participent du cyberespace »7. Si initialement, les documents relatifs à la cybersécurité étaient limités aux seuls réseaux informatiques8, ils ont progressivement inclus la notion plus large de « réseau et des systèmes d’information »9. L’élément « cyber » englobe donc toute technologie moderne dans la mesure où elle fonctionne avec une communication à distance, incluant de ce fait les technologies et applications spatiales.

B. De nouvelles menaces pesant sur les patrimoines10 spatiaux

  • 10 La notion de « patrimoine » permet tout à la fois de saisir les infrastructures spatiales (physiqu (...)

7Les systèmes spatiaux sont soumis de plus en plus à des menaces de type cyber. De manière plus précise, il est possible d’identifier deux types de menaces auxquels ils peuvent être confrontés : des menaces externes (habituellement bien contrées par des procédures de chiffrement) et des menaces internes (initialisées depuis l’intérieur des systèmes par des malwares, au travers de données importées dans le système). Ajoutons que les menaces de type cyber sont plus importantes sur les données stockées à bord des satellites plutôt que sur les transmissions des données.

8Dans la mesure où les données spatiales sont la plupart du temps générées pour des applications spécifiques ou pour être mises à la disposition d’autres utilisateurs, elles sont soumises à un cycle qui les fait « transiter » par différents appareils et « circuler » entre différents utilisateurs. Cette chaîne de transfert des données s’appuie sur la « cyberinfrastructure » à plusieurs étapes, et notamment dans le processus de collecte et de génération des données, car la communication entre le dispositif de collecte ou de génération et le système de réception s’effectue par l’intermédiaire d’Internet. Même si l’interférence avec la transmission de données peut avoir des résultats tout aussi perturbateurs, le stockage des données constitue la partie la plus vulnérable du cycle de vie de la donnée. Les conséquences pour les données sont plus graves, tant en termes de dommages ou de pertes potentiels qu’en termes de fréquence ou de durée de l’attaque.

II. Cyberattaques et moyens satellitaires : à la recherche de règles adaptées

9Il n’existe pas de régime juridique unifié en matière de cyberespace. En conséquence, la question relative au régime juridique applicable aux cyberattaques survenant dans l’espace extra-atmosphérique et/ou utilisant des technologies satellitaires est déterminante.

10Dès lors, il convient de s’interroger sur les sources de droit fournissant des éléments de réponse. Peut-on trouver des éléments dans des normes de droit international général, de droit de l’espace (A) ou bien dans d’autres corpus juridiques (B) ?

A. L’application délicate du droit international aux opérations de cyberattaques

  • 11 M.J Sklerov, « Solving the Dilemna of State Responses to Cyberattacks : a Justification for the Us (...)
  • 12 S.J Schackelford, « From Nuclear War to Nuclear War: Analogizing Cyber Attacks in Interntional Law (...)
  • 13 L.S Barbara, « La dimension juridique du cyberespace », La Revue internationale et stratégique, (...)
  • 14 En application de l’article 2 paragraphe 4 de la Charte des Nations-Unies interdisant le recours à (...)
  • 15 S. WATTS, « Combatant Status and Computer Network Attack », Virginia Journal of International Law,(...)

11Le droit international serait-il « anachronique »11 ou « sous-développé »12 pour faire face à une attaque dans le cyberespace ou bien au contraire est-il pertinent d’affirmer qu’« il n’y a (…) pas de vide juridique dans le cyberespace »13 ? La possibilité d’appliquer le droit international aux conflits survenant dans le cyberespace est importante pour justifier le recours à la légitime-défense d’un État14. Naturellement, le juriste se trouve rapidement confronté à des difficultés dans sa recherche car la qualification d’agression et l’identification de l’agresseur15 sont nécessaires pour transposer les règles de droit international et surtout de droit des conflits armés (1). L’analyse des textes fondateurs du droit de l’espace nous démontre également les limites de ce corpus juridique quant à l’encadrement des cyberattaques dans l’espace extra-atmosphérique (2).

1) Les obstacles liés à l’application du droit international

  • 16 E. Akoto, « Les cyberattaques étatiques constituent-elles des actes d’agression en vertu du droit (...)
  • 17 Ibid, p. 20.

12Le juriste se heurte à un certain nombre d’obstacles techniques et juridiques qui rendent toute application du droit international compliquée en matière d’attaques dans le cyberespace. En effet, les auteurs des cyberattaques utilisent plusieurs méthodes de camouflage telles que l’infiltration de logiciels malveillants par le biais d’Internet et le recours à des techniques d’usurpation d’adresses internet ou par prise de contrôle à distance. Aussi « la localisation dans un pays donné du serveur ayant permis le lancement d’une cyberattaque ne signifie pas forcément que les auteurs de l’attaque se trouvent dans cet État et encore moins que cet État est à l’origine de l’attaque »16. L’attribution d’une quelconque responsabilité à un État est donc de fait très compliquée pour l’État ayant subi les cyberattaques. En outre, la particularité de ces opérations est qu’elles sont conduites en secret et ne sont pas reconnues publiquement en tant que partie de la politique étrangère d’un État. De manière générale, même lorsque l’implication d’un État est révélée et démontrée, l’État impliqué n’admet jamais avoir participé à de pareilles activités clandestines ni de les avoir commanditées17. Cela renforce la difficulté de la détermination d’une responsabilité internationale. Jusqu’à présent, la plupart des cyberattaques ont résulté en des dommages peu sérieux et apparents. Cette faible intensité inhérente aux cyberattaques explique l’impossibilité pour les États de les considérer comme des « faits de guerre ». Pourtant, les cyberattaques représentent de nouveaux défis pour les États dans un contexte de relations internationales avec des conséquences humaines et matérielles potentiellement très graves. Du brouillage de signaux numériques de communication jusqu’à la perturbation, voire la neutralisation des infrastructures de l’État, les cyberattaques menacent à la fois le patrimoine étatique et les particuliers.

  • 18 L. Simonet, « L’usage de la force dans le cyberespace et le droit international », Annuaire frança (...)

13Se pose alors la question de l’opportunité et de l’utilité d’un régime juridique spécialement dédié au cyberespace, notamment aux règles d’utilisation de la force dans cet espace, dont le principe et la faisabilité suscitent néanmoins quelques réserves18. Faut-il repenser le droit ou bien seulement l’interpréter à la lumière des nouvelles technologies ?

  • 19 Ibid, p. 139.
  • 20 Traité sur les principes régissant les activités des États en matière d’exploration et d’utilisati (...)

14Un nouveau régime juridique devrait prendre en compte le caractère « transnational » du cyberespace et englober les acteurs non-étatiques19. Il serait donc indispensable d’envisager des dispositions d’extra-territorialité autorisant à poursuivre les auteurs de cyber-attaques, et ce, peu importe le lieu où ces attaques ont eu lieu. En ce sens, le régime de certains espaces, comme l’espace extra-atmosphérique, pourrait être utile pour inspirer la réflexion consacrée à la règlementation du cyberespace. En effet, quelques principes majeurs du droit de l’espace, consacrés par le traité de de l’espace de 196720 peuvent être transposables aux problématiques que pose le cyberespace : usage pour le bien et dans l’intérêt de tous les pays, coopération internationale, préservation de toute « militarisation de l’espace »…

2) Droit de l’espace et cyberattaques

15L’adoption des traités fondateurs du droit de l’espace par les Nations-Unies a eu lieu dans un contexte international bien particulier. En effet, ces traités ont été adoptés dans les années 1960 en pleine Guerre froide. Il est donc évident que les risques et attaques envisagées dans l’espace extra-atmosphérique à cette époque ne correspondent plus au contexte technologique aujourd’hui à l’œuvre du fait des pirates informatiques. Il n’est donc pas étonnant qu’aucun article ne mentionne ou ne fasse référence à des « cyberattaques ».

  • 21 Traité sur les principes régissant les activités des États en matière d’exploration et d’utilisati (...)
  • 22 Il subsiste ici un doute quant à ce qu’englobe précisément la notion d’« armes de tous type ». 

16Pour autant, différents principes présents dans le Traité de l’espace de 196721 pourraient être appliqués dans l’éventualité d’une cyberattaque. L’article IV du traité de 1967 fait référence à une utilisation « pacifique » de l’espace extra-atmosphérique en interdisant l’aménagement de bases militaires et de fortifications sur les corps célestes et les « essais d’armes de tous types »22 mais n’exclut pas l’utilisation du personnel militaire « à des fins de recherche scientifique ou à toute autre fin pacifique ». Ce principe d’utilisation pacifique de l’espace impose une utilisation pacifique des objets en orbite, dont font partie les infrastructures de l’Internet, et assurent leur protection. Par ailleurs, le principe de non-agression dans l’espace, présent dans l’article III du traité précité, vise également à protéger l’intégrité des infrastructures spatiales.

17Enfin, le principe de responsabilité de l’État de lancement pour dommage (Articles VI et VII) pourrait permettre à un État victime d’une attaque malveillante de déclencher ce mécanisme afin d’obtenir réparation.

B. La pertinence de textes encadrant la cybersécurité pour la protection des patrimoines spatiaux

  • 23 Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesu (...)

18D’autres textes faisant référence de manière plus spécifique au cyberespace méritent également notre intérêt. La directive Network and Information Security (NIS)23(1), et le Manuel de Tallinn (2) ont en commun de viser spécifiquement la question de la sécurité, que ce soit sous le prisme de la « cybersécurité » ou bien de la « sécurité des systèmes d’information ». L’analyse de ces textes est pertinente car les réglementations en matière de cybersécurité sont conçues pour protéger l’intégrité des systèmes de données contre toute altération externe. Pourtant, il n’a pas encore été établi si le champ d’application de ces règles s’étend en dehors de la souveraineté territoriale des États ou dans l’espace extra-atmosphérique, alors que les cyber-opérations dans le cadre des activités spatiales peuvent apparaître sous diverses formes. Pour autant il n’est pas certain que ces textes s’appliquent aux activités spatiales ayant lieu dans l’espace extra-atmosphérique. Il est donc intéressant d’analyser dans quelle mesure ces textes peuvent encadrer les cyberattaques dans l’espace extra-atmosphérique, notamment pour les données stockées à bord des satellites.

1) Directive « Network and Information Security » et menaces sur les patrimoines spatiaux

19La directive NIS a été adoptée par le Parlement européen en juillet 2016 et est entrée en vigueur en août 2016. C’est un texte contraignant pour tous les États membres de l’Union européenne qui ont dû la transposer dans leur système juridique. La directive reconnaît dans son préambule que les capacités existantes en termes de protection des systèmes d’information contre les cybermenaces ne sont pas suffisantes puisque chaque État membre dispose de prérogatives différentes en la matière. L’objectif du texte est donc d’établir un cadre commun pour la mise en œuvre de ces mesures en assurant un niveau minimum de sécurité par le renforcement des capacités, l’échange d’informations, et la coopération entre les États membres. La directive ne prévoit pas de mécanismes spécifiques pour la sécurité des systèmes d’information, mais elle souligne la nécessité de maintenir un niveau de sécurité commun dans toute l’Union européenne en encourageant la coopération entre les États membres. La directive prévoit notamment le renforcement des capacités nationales de cybersécurité, la mise en œuvre d’un cadre formel de coopération entre États membres ainsi que l’instauration de règles européennes communes en matière de cybersécurité des prestataires de services numériques dans les domaines de l’informatique en nuage, des moteurs de recherche et places de marché en ligne. Elle pose un cadre européen en accord avec la Loi de Programmation militaire que chaque pays aura la responsabilité de transposer et de déployer sur son territoire.

  • 24 Article 4.1 Directive NIS.
  • 25 Article 4.2 Directive NIS.

20L’un des apports majeurs du texte réside dans la définition détaillée et inclusive des notions. La directive ne fait pas directement référence au terme « cyber », mais à « système d’information en réseau », qui sont décrits par une double définition.24 Le « réseau » est décrit comme un « réseau de communications électroniques » ou un « dispositif de traitement numérique des données ». On entend par « réseau de communications électroniques » le mécanisme de transmission d’un signal, qui peut être effectuée par fil, par radio, par voie optique ou par d’autres moyens électromagnétiques. Un « dispositif de traitement » désigne tout dispositif ou groupe de dispositifs interconnectés ou apparentés, dont un ou plusieurs effectuent un traitement automatique de données numériques, conformément à un programme. Les « informations » sont définies quant à elles comme des données numériques stockées, traitées, récupérées ou transmises par un réseau, aux fins de son fonctionnement, de son utilisation, de sa protection et de son entretien. La directive décrit la cybersécurité comme la capacité des systèmes d’information en réseau à résister à toute action qui compromet leur disponibilité, leur authenticité, leur intégrité et leur confidentialité en ce qui concerne les données stockées, transmises ou traitées ou les services connexes offerts par ces réseaux ou accessibles par leur intermédiaire25. En ce qui concerne la sécurité, la directive définit également les menaces, incidents et risques correspondants. Un incident est tout événement qui a un effet négatif réel sur la sécurité des systèmes d’information en réseau, tandis que le risque désigne toute circonstance ou tout événement raisonnablement identifiable ayant un effet négatif potentiel sur la sécurité de ces systèmes.

  • 26 Article 3, Directive NIS.
  • 27 Articles 14.1 et 16.1, Directive NIS.
  • 28 Articles 14.2 et 16.2, Directive NIS.
  • 29 Articles 11-13 Directive NIS.
  • 30 Articles 19 et 20, Directive NIS.

21Ajoutons que dans le but de produire une harmonisation minimale26, la directive prescrit des obligations spécifiques pour les opérateurs de services essentiels et pour les fournisseurs de services numériques. Ces deux acteurs devraient prendre des mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques à l’égard des systèmes d’information en réseaux utilisés dans le cadre de leurs opérations27. Par ailleurs, ils devraient s’efforcer de minimiser l’impact des incidents afin de garantir la continuité des services28. En dehors des définitions précédemment citées, la directive prévoit une stratégie nationale pour la sécurité des systèmes d’information en réseaux, des mécanismes de coopération entre les États29 ainsi qu’un mécanisme de notification pour les infractions à la sécurité détectées et le développement de processus de normalisation30.

22La directive ne fait pas directement référence à la technologie spatiale dans son champ d’application. Toutefois, certains des termes décrits peuvent être pertinents pour le patrimoine spatial. Tout d’abord, la directive considère la transmission par satellite comme l’un des moyens électroniques de transmission de données numériques dans les dispositifs connectés. Par conséquent, les transmissions d’un satellite à un autre satellite ou à une station au sol, sont définies comme des systèmes d’information en réseau et relèvent donc du champ d’application de la directive. De plus, les données à bord des satellites et les données stockées au sol seraient couvertes par les prérogatives relatives au niveau de sécurité imposé par la directive. Une interprétation large permettrait de conclure que d’autres étapes du cycle de la donnée spatiale pourraient également être considérées comme des dispositifs connectés dans le cadre d’un système d’information en réseaux. Les stations au sol pourraient correspondre à des réseaux terrestres fixes ; dès lors, les stations terrestres et les satellites pourraient faire partie des dispositifs interconnectés qui traitent les données. Ainsi, les données spatiales pourraient elles-mêmes relever des données numériques mentionnées à l’article 4.1.c) de la directive et entrer dans son champ d’application.

2) Manuel de Tallin 

23Le Manuel de Tallinn sur le droit international applicable aux cyberopérations est l’œuvre du groupe d’experts indépendants invités par le Centre d’excellence OTAN pour la cyberdéfense en coopération. Sa deuxième édition actualisée, publiée en 2017, comprend un recueil d’avis sur la manière dont le droit international existant pourrait s’appliquer aux cyberopérations et des recommandations pour une éventuelle réglementation future pertinente. Bien que n’ayant pas une valeur juridique contraignante, ce document présente un intérêt certain dans la mesure où il fournit des définitions utiles concernant les cyberopérations dans différents domaines d’activités. Son objectif consiste à identifier dans quelle mesure le droit existant s’applique au contexte cybernétique et à ses aspects spécifiques. Le manuel fait la distinction entre les cyberopérations en temps de paix (qui entrent dans son champ d’analyse) et les cyberopérations en temps de guerre, qui relèvent du droit de la guerre et du droit international humanitaire et pénal (jus ad bellum et jus in bello) et restent en dehors de son champ d’application. Le Manuel met l’accent sur les relations entre les États et les acteurs étatiques, raison pour laquelle sa portée est limitée aux notions qui sont rattachées à l’État, telles que la souveraineté, la juridiction et l’attribution.

24La première partie du Manuel est consacrée à l’analyse des outils de droit international public dans le cadre des cyberopérations. Le Manuel met en exergue la souveraineté des États et souligne que ces derniers conservent l’autorité sur la cyberinfrastructure rattachée à leur territoire et sur les cyberactivités de ses ressortissants, sur le territoire ou à l’étranger. L’analyse du droit international public opérée dans le Manuel est utile pour établir un lien entre un État et les cyberopérations menées dans sa sphère de compétence. Toutefois, toute implication territoriale est d’une utilité limitée dans le cadre de la cybersécurité. Souvent, les technologies spatiales mettent en œuvre des connexions diverses qui sont le produit d’infrastructures situées sur les territoires de plus d’un État, et la circulation des données concernées se fait par-delà les frontières. Les utilisateurs et les opérateurs de données peuvent également être situés dans des parties différentes du monde. Il est donc difficile, en pratique, d’identifier l’infrastructure ou les individus impliqués dans une cyberopération donnée, tout comme il s’avère compliqué de déterminer une connexion à un certain État. Un autre obstacle réside dans le fait qu’une partie de la cyberinfrastructure est située dans l’espace extra-atmosphérique, espace sur lequel les États ne peuvent revendiquer de souveraineté. Nous pourrions arguer que les États conservent toutefois le contrôle et la juridiction sur les objets qu’ils lancent dans l’espace.

25Par voie de conséquence, les objets spatiaux relèveraient également de cette cyberinfrastructure. Toutefois, en raison des contraintes techniques soulevées précédemment, il reste tout de même difficile de mettre en évidence l’infrastructure impliquée dans un comportement illicite afin d’établir la responsabilité d’un ou plusieurs État(s). Le Manuel dispose d’une section relative aux activités spatiales dans sa partie sur le droit de l’espace. Cette partie tente de relier les dispositions des traités internationaux sur l’espace aux cyberopérations dans le domaine de l’espace. En particulier, elle établit ce lien en utilisant trois facteurs : le type d’activités, le but des activités et le lieu où ces activités se déroulent. Premièrement, le Manuel opère une distinction pour les activités qui relèvent des dispositions relatives au droit de l’espace. Il convient donc de distinguer d’une part les cyberopérations ayant lieu dans le cadre de cyber-activités régulières et qui n’utilisent l’espace uniquement en tant qu’infrastructure (ce ne sont pas des activités propres au secteur spatial) et les cyberopérations de nature spatiale menées avec des cyberinfratsructures. En ce qui concerne les opérations spatiales cybernétiques, le Manuel les définit comme les activités qui utilisent la cyberinfrastructure spatiale ou qui sont dirigées contre elle. Il décrit également les opérations spécifiques menées avec l’utilisation de cette infrastructure, y compris les cyberopérations visant à récupérer ou à modifier des données, à perturber les communications espace-espace, à interférer avec les communications montantes ou descendantes, à détruire du matériel ou des logiciels. Ajoutons que les activités terrestres peuvent aussi être considérées comme des opérations spatiales, à condition qu’elles fassent partie d’activités qui se déroulent dans l’espace ou qu’elles aient un effet sur ces activités. En résumé, le Manuel prend en compte un champ d’opérations large mais aussi précis dans ses considérations sur l’application du droit spatial aux cyberactivités.

26Si les deux textes présentent un intérêt certain, il convient d’ajouter qu’il subsiste toutefois des limites quant à leur champ d’application. En effet, les documents examinés régissent les activités des États et ne prennent donc pas en compte les acteurs privés impliqués dans les activités spatiales, dont la présence est en constant développement. Même si la directive NIS est directement applicable à l’UE, chaque État doit l’intégrer dans sa propre législation nationale. Quant au Manuel de Tallinn, il est axé sur le droit international qui crée des obligations pour les États et non pour les activités privées. Tout autre texte qui serait adopté par un État en matière de cybersécurité n’aurait a priori qu’une portée limitée à son propre territoire et ses ressortissants.

27La question relative au cyberespace et à l’espace extra-atmosphérique demeure complexe et confronte le juriste à des obstacles à la fois sémantiques et conceptuels. L’absence de définitions claires et harmonisées des notions rend difficile l’application d’un régime juridique. Pour autant, l’analyse de différentes sources de droit nous permet d’apporter des réponses quant aux règles applicables aux attaques informatiques offensives ayant lieu dans l’espace extra-atmosphérique. Face à des risques importants pour les patrimoines spatiaux, la nécessité de l’adoption d’un texte juridique propre à cette problématique demeure d’une grande actualité.

Notes

1 Ces nouveaux risques sont multiples : collisions de satellites avec des débris/autres objets spatiaux, hacking, armes anti-satellitaires...

2 Cela peut dépendre de la nature de l’attaque, de ses auteurs et de son degré d’intensité ; voir notamment : L.S Barbara, « La dimension juridique du cyberespace », Revue internationale et stratégique, 2012/3 (n° 87), p. 73 à 82.

3 La Convention de Budapest sur la cybercriminalité (en date du 23 novembre 2001) regroupe les États membres du Conseil de l’Europe dans le but de renforcer la coopération internationale dans ce domaine.

4 Résolution adoptée par consensus par la 132e Assemblée des Nations unies, Hanoï, 1er avril 2015 : « pleinement consciente que certains concepts, définitions et normes de la cyber-politique, en particulier ceux qui concernent la cyber-guerre ainsi que la paix et la sécurité internationales, ne sont pas communément compris et n’ont pas encore été clarifiés aux niveaux national, régional et international, et que le consensus international fait encore défaut dans certains domaines », (paragraphe 8).

5 J. Klein, « Space Warfare. Strategy, Principles and Policy », Coll. Space Power and Politics, Broché, 2006, 212 p.

6 F. Douzet, « La géopolitique pour comprendre le cyberespace », Hérodote, vol. 152-153, no. 1, 2014, pp. 3-21.

7 O. Kempf, « Stratégie du cyberspace », Diploweb.com : la revue géopolitique, 13 février 2013, p. 2.

8 Il est ici fait référence à la Convention sur la cybercriminlaité, aussi connue sous la dénomination de Convention de Budapest. Il s’agit du premier accord multilatéral adopté en matière de cybercriminalité. L’article 1a et 1b considère que seuls les « réseaux informatiques » (« computer systems and computer data » dans le texte original) font partie de l’infrastructure « cyber ». Voir notamment sur cet aspect : Weber M., « The Council of Europe’s Convention on Cybercrime », 18 Berkeley Tech. L. J. 425, 2003.

9 Directive (EU) 2016/1148 du Parlement européen et du Conseil du 6 Juillet 2016 sur la sécurité des réseaux et des systèmes d’information, aussi connue sous l’appellation de « Directive NIS », JO L194, 19 Juillet 2016. L’art. 1.1 de la directive détermine l’objectif du texte de la manière suivante : « assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union afin d’améliorer le fonctionnement du marché intérieur ».

10 La notion de « patrimoine » permet tout à la fois de saisir les infrastructures spatiales (physiques) mais également les images et données recueillies dans le cadre de l’utilisation des satellites ainsi que les objets qui en résultent (comme les cartes ou d’autres types d’observations).

11 M.J Sklerov, « Solving the Dilemna of State Responses to Cyberattacks : a Justification for the Use of Active Defense against States who Neglect their Duty to Prevent », Military Law Review, vol. 201, automne 2009, p. 6.

12 S.J Schackelford, « From Nuclear War to Nuclear War: Analogizing Cyber Attacks in Interntional Law », 27 Berkeley Journal of International Law, 2009, p. 195.

13 L.S Barbara, « La dimension juridique du cyberespace », La Revue internationale et stratégique, n° 87, automne 2012, p. 74.

14 En application de l’article 2 paragraphe 4 de la Charte des Nations-Unies interdisant le recours à la force armée contre un autre État et l’article 51 n’autorisant le recours à la légitime défense qu’en cas d’agression armée.

15 S. WATTS, « Combatant Status and Computer Network Attack », Virginia Journal of International Law, 2010, vol. 50, n° 2, pp. 391-447.

16 E. Akoto, « Les cyberattaques étatiques constituent-elles des actes d’agression en vertu du droit international public ? : Première partie », Revue de droit d’Ottawa - Ottawa Law Review, Faculty of Law, Common Law Section, University of Ottawa, 2015, 46 (1), p. 19.

17 Ibid, p. 20.

18 L. Simonet, « L’usage de la force dans le cyberespace et le droit international », Annuaire français de droit international, 2012, 58, p. 121.

19 Ibid, p. 139.

20 Traité sur les principes régissant les activités des États en matière d’exploration et d’utilisation de l’espace extra-atmosphérique, signé le 27 janvier 1967, texte consultable sur le site internet du bureau des affaires spatiales de l’ONU : http://www.oosa.unvienna.org/oosa

21 Traité sur les principes régissant les activités des États en matière d’exploration et d’utilisation de l’espace extra-atmosphérique, y compris la Lune et les autres corps célestes, 27 janvier 1967, 610 UNTS 205, 18 UST 2410, TIAS N° 6347, 6 ILM 386 (entré en vigueur le 10 octobre 1967).

22 Il subsiste ici un doute quant à ce qu’englobe précisément la notion d’« armes de tous type ». 

23 Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’informations de l’Union européenne, publiée au Journal Officiel de l’Union européenne, L 194/1, 19.07.2016.

24 Article 4.1 Directive NIS.

25 Article 4.2 Directive NIS.

26 Article 3, Directive NIS.

27 Articles 14.1 et 16.1, Directive NIS.

28 Articles 14.2 et 16.2, Directive NIS.

29 Articles 11-13 Directive NIS.

30 Articles 19 et 20, Directive NIS.

Auteur

Doctorante en droit de l’espace
Chaire SIRIUS, Université Toulouse 1 Capitole

© Presses de l’Université Toulouse 1 Capitole, 2021

Conditions d’utilisation : http://www.openedition.org/6540

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search