[ 2 juin 2022 ]

Le nouveau Code de la cybersécurité est arrivé

Quelle est la définition de la cybersécurité ? 

Telle qu’on l’entend en France, la cybersécurité est une situation, c’est un état de sécurité. La définition de la cybersécurité qui fait autorité est d’origine administrative. Elle provient de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), et tient en ces mots : « État recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles. La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense ».

Quelles sont les trois couches de la cyberstructure ? 

Il y a tout d’abord la couche matérielle (les infrastructures que sont les câbles sous-marins, mais aussi les centres de données, les ordinateurs et serveurs en tous genres, les satellites qui font circuler les signaux, etc.). Ensuite, la couche logicielle porte bien son nom : elle est constituée de tous les programmes informatiques qui forment les outils et le langage de communication entre les usagers. Enfin, la troisième est la plus développée, c’est la couche cognitive (également dite sémantique ou informationnelle) : il s’agit des données. Une cyberattaque peut toucher une ou plusieurs de ces trois couches. Sectionner un câble sous-marin, modifier le code source d’un logiciel ou chiffrer des données d’un utilisateur sans son consentement sont autant d’exemples de cyberattaques lorsque les agissements sont volontaires.

Quels sont les principaux textes réunis dans ce nouveau code annoté et commenté ? 

Le Code comporte trois Livres. Le premier rassemble les règles du droit de la sécurité des systèmes d’information, qui évoquent la certification de produits de sécurité, la protection des données personnelles, la compliance pour prévenir et réagir aux cyberattaques, et bien d’autres thèmes. Le Livre II reprend les textes relatifs à la lutte contre la cybercriminalité. Enfin, le Livre III porte sur la cyberdéfense et coordonne des textes sur la protection des opérateurs d’importance vitale (OIV), des opérateurs de services essentiels (OSE), la Loi de Programmation militaire (LPM), la loi Renseignement, etc. Dans chaque Livre, les règles de droit interne, de droit européen et le cas échéant de droit international sont intégrées avec des renvois qui rappellent que ces Livres ne doivent pas être vus comme des silos étanches. Il y a un continuum entre les trois Livres.

À quels usages destinez-vous ce code « éditeur » ? 

Ce Code va permettre de faire « monter » le sujet de la cybersécurité dans toutes les entités. Imaginons des juristes et des informaticiens qui peinent à obtenir le soutien de leur gouvernance afin de prévenir les cyberattaques. Ils pourront pousser le sujet de manière plus efficace. N’est-ce pas convaincant de montrer à ses dirigeants que le sujet doit devenir une priorité, puisque les risques juridiques font la taille d’un Code Dalloz ? Ultimement, si ce code pouvait susciter la création d’une matière enseignée à l’Université et que des promotions entières s’en dotaient pour leurs études, ce serait le plus beau des progrès pour la cybersécurité.