Wortlaut

Le cyberespace est un espace virtuel dans lequel des données sont générées, stockées, modifiées et échangées à l'aide de technologies numériques de l'information et de la communication, par l'intermédiaire de systèmes en réseaux. L'internet est une composante de l'infrastructure cybernétique. Le développement continu de l'interconnexion à l'échelle mondiale et notre dépendance croissante à l'égard de technologies complexes entraînent une vulnérabilité inédite qui concerne toutes les activités étatiques, économiques et sociales. Le spectre des menaces possibles s'étend de la cybercriminalité traditionnelle aux activités terroristes sur internet en passant par l'espionnage systématique de données privées et le cyberespionnage (dans ces deux derniers cas, la pratique peut être directement abusive ou non), pour aller jusqu'au sabotage d'infrastructures critiques, dont les conséquences peuvent être catastrophiques pour la sécurité d'un État. À cela s'ajoutent les activités de propagande (comme les "fake news"). Le risque est encore accru par le fait qu'un nombre croissant d'États développent leurs capacités en matière de guerres cybernétiques et se dotent ainsi des moyens d'imposer leurs intérêts stratégiques ou géostratégiques.

Le droit international public constitue le cadre juridique international qui régit le comportement des États. Dans ce contexte, on peut se demander si le droit international humanitaire (aussi dénommé droit de la guerre) règle le comportement des États dans le cyberespace. Le Centre d'excellence de coopération en cyberdéfense de l'OTAN a d'ailleurs produit la version 2.0 du Manuel de Tallinn en 2017, avec pour but d'éviter que les cyberévénements ne continuent de se produire dans un vide juridique.

Je prie le Conseil fédéral de répondre aux questions suivantes :

1. Quelles règles générales le droit international prévoit-il pour le cyberespace ? (par ex.: l'espionnage de personnes et de réseaux informatiques, ainsi que l'utilisation de mouchards informatiques sont-ils autorisés ? Pour se défendre, la Suisse peut-elle répliquer à une attaque ?)

2. Quelles conclusions le Conseil fédéral tire-t-il du Manuel de Tallinn 2.0 (règles non contraignantes de l'OTAN applicables à la cyberguerre)?

3. Quels sont les effets du mandat constitutionnel relatif à l'indépendance et à la neutralité (art. 173 et 185 Cst.) sur les questions 1 et 2 ?

4. L'armée met sur pied des cybertroupes. Le mandat de prestations confié à l'armée en matière de cyberdéfense est-il aujourd'hui clairement défini, compte tenu du droit international, neutralité comprise ? Qu'est-ce qui est permis ? Qu'est-ce qui ne l'est pas ?

Stellungnahme des Bundesrates

1. Au regard du droit international, il n'y a pas de vide juridique en ce qui concerne le cyberespace. Il est généralement reconnu que le cadre fourni actuellement par ce dernier, défini notamment par la Charte de l'ONU, les traités fondamentaux relatifs aux droits de l'homme ainsi que le droit international coutumier, s'applique également au cyberespace. Il en résulte qu'une cyberattaque perpétrée par un État, comparable dans ses conséquences à celles d'une agression armée, peut justifier le recours à la légitime défense conformément à la Charte de l'ONU. Lorsque des cyberopérations sont menées dans le cadre de conflits armés, le droit international humanitaire doit être respecté ; en cas d'opérations ayant pour seul objectif d'obtenir des informations, les principes des droits de l'homme s'appliquent. Les spécificités du cyberespace représentent cependant un défi pour l'application concrète de ces normes de droit international. Comme énoncé dans la Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC) 2018-2022, la Suisse s'engage pour la reconnaissance, le respect et l'application du droit international sur le terrain de la cybersécurité, et contribue à ce que les modalités d'application du droit public dans le cyberespace soient précisées.

2. Un groupe d'experts a étudié le droit international applicable à la guerre électronique et aux opérations électroniques en dessous du seuil de la guerre ("Tallinn Manual 2.0 on International Law applicable to Cyber Operation"). Le Manuel de Tallinn n'est pas contraignant pour les États. Il fournit pourtant une vue d'ensemble sur l'application du droit international au cyberespace et, pour la Suisse, il représente une base pour les discussions internationales en cours.

3. La Suisse s'engage pour que les relations internationales soient régies par le droit et non par la puissance politique ou militaire. Cela correspond aux objectifs de politique extérieure consistant à assurer l'indépendance et la prospérité du pays et à oeuvrer en faveur d'un ordre international juste et pacifique. C'est pourquoi la Suisse participe activement à la définition du droit international appliqué au cyberespace. La neutralité, en tant qu'instrument de la politique étrangère et de sécurité, s'appliquerait en principe également lors de cyberopérations équivalentes à des conflits armés entre États. Même la Genève internationale en profite et peut ainsi revendiquer un rôle plus important en matière de cybersécurité, ce qu'illustre l'initiative diplomatique de la Suisse en faveur d'un comportement responsable dans le cyberespace.

4. Dans le cyberespace, l'armée a pour mission première de protéger ses propres systèmes d'information et réseaux informatiques. En vertu de la loi sur l'armée, elle peut, en cas d'agressions visant les systèmes et réseaux militaires, également intervenir dans les systèmes et réseaux informatiques utilisés pour mener les attaques afin de perturber, empêcher ou ralentir l'accès aux informations. De telles actions nécessitent l'accord du Conseil fédéral. Outre les conditions requises par le droit national, chaque action militaire menée dans le cyberespace doit toujours respecter le droit international et la neutralité de la Suisse. L'armée connaît ces principes et les applique. Il s'agit par ailleurs de rappeler que la Suisse ne peut pas définir seule les normes juridiques applicables au cyberespace. L'application concrète du droit international conventionnel au cyberespace doit encore être clarifiée dans les procédures internationales, afin de contribuer finalement à une meilleure sécurité du droit aussi bien pour les autorités suisses que pour les entreprises domiciliées en Suisse et la population.

Réponse du Conseil fédéral.