Le Bundestag adopte une loi autorisant les services de sécurité allemands à riposter aux cyberattaques

Le Bundestag approuve la défense cyber active

Le Bundestag a adopté une loi qui permet pour la première fois aux autorités de sécurité allemandes de répondre activement aux attaques venues d'internet. La CDU/CSU et le SPD ont voté pour, l'AfD, Die Linke et les Verts contre. Le texte accorde à l'Office fédéral de la sécurité des technologies de l'information (BSI), à la police fédérale et à l'Office fédéral de police criminelle (BKA) des outils supplémentaires pour repousser les cyberattaques. Le BKA et la police fédérale peuvent restreindre le fonctionnement de systèmes informatiques, rediriger le trafic de données et mettre hors service des serveurs à l'étranger qui lancent les attaques. En dernier recours, ils peuvent accéder aux systèmes des attaquants pour lire, supprimer ou modifier des données, y compris par des moyens techniques et à l'insu des personnes concernées. Le texte interdit également d'exploiter des systèmes informatiques capables de rediriger du trafic et de lire, supprimer ou modifier des données.

Les mesures ne sont pas des « hackbacks » classiques, c'est-à-dire des représailles pour elles-mêmes. Elles visent uniquement les serveurs depuis lesquels les attaques sont lancées.

Justification du gouvernement et coût pour les entreprises

Le gouvernement fait valoir que l'Allemagne, première économie d'Europe, est de plus en plus visée par des cyberattaques susceptibles d'avoir des effets importants. La fédération sectorielle Bitkom a chiffré le plus récemment les dommages causés à l'économie allemande par les cyberattaques sur un an entre 160,4 et 205,8 milliards d'euros (une fourchette, et non un chiffre unique). Lors du débat final, le ministre de l'Intérieur Alexander Dobrindt (CSU) a déclaré :

« Nous nous armons dans le cyberespace. »

Fourchette basse de l'estimation Bitkom160,4

Fourchette haute de l'estimation Bitkom205,8

Fourchette basse de l'estimation Bitkom

160.4 mds d'euros

Fourchette haute de l'estimation Bitkom

205.8 mds d'euros

Données tirées du texte de l’article

Alexander Dobrindt a rattaché ces pouvoirs à un ensemble plus large de menaces, citant les attaques contre les infrastructures, l'approvisionnement alimentaire et les banques de sang. Il a déclaré devant l'assemblée :

« Nous ripostons, nous détruisons son infrastructure numérique et nous le sortons du jeu par des moyens numériques. »

Modifications apportées lors du processus parlementaire

Le Parlement a ajouté des points au projet du gouvernement. Le BKA peut désormais utiliser les nouveaux instruments contre des dangers du monde réel, par exemple en coupant la liaison avec les unités de commande de drones ou d'engins explosifs pilotés par internet. Les exigences de proportionnalité et la protection des systèmes informatiques privés ont été renforcées. En cas de doute sur l'usage privé ou professionnel d'un système, celui-ci est considéré comme privé et bénéficie de normes de protection plus élevées.

Critiques de l'opposition

Les critiques de l'opposition ont estimé que les responsabilités des autorités sont floues pendant une contre-attaque et que les nouveaux pouvoirs vont trop loin avec trop peu de contrôle. Le député AfD Steffen Janich a plaidé pour une compétence exclusive du BSI et jugé qu'on ne peut pas demander aux entreprises d'arrêter longtemps leurs systèmes informatiques sur ordre d'une autorité de sécurité, les intérêts des clients comptant aussi. Le député SPD Daniel Baldy a répondu que le texte ne prévoit aucune interruption de longue durée et que le principe de proportionnalité s'applique. Il a ajouté que la cybersécurité concerne tout le monde, les pirates attaquant désormais jusqu'aux réfrigérateurs des supermarchés. L'expert du renseignement des Verts Konstantin von Notz a qualifié le plan de la coalition de contre-productif, décrivant des « structures en double » et estimant que le texte arrivait trop tard et était sous-développé. Alexander Dobrindt a rejeté ces critiques et déclaré que l'objectif est de désarmer les attaquants, avertissant que quiconque ne veut pas de désarmement provoque la prochaine attaque.

La suite

L'accord du Bundesrat reste nécessaire avant l'entrée en vigueur de la loi. Par ailleurs, un projet d'Alexander Dobrindt concerne les services de renseignement, le BND et la protection de la Constitution devant recevoir des pouvoirs supplémentaires, notamment pour perquisitionner et riposter.