Vers une doctrine de contre-offensive cyber française ? Les questions à résoudre
📩 Pour nous contacter: redaction@frenchweb.fr
Une réussite opérationnelle, mais une doctrine encore floue
Les services français, ANSSI, SGDSN, COMCYBER, VIGINUM, ont jusqu’ici privilégié une ligne de défense fondée sur l’anticipation, la coordination inter institutionnelle, et la réponse silencieuse. Démanteler des infrastructures adverses, partager rapidement des indicateurs de compromission, renforcer la capacité de réaction des opérateurs d’importance vitale, jusqu’à présent la méthode semble fonctionner. Aucun black-out aux JO, aucune perturbation significative du vote électronique, malgré un environnement international très instable.
Mais derrière cette réussite, une question de fond reste posée: la France a-t-elle besoin d’une doctrine formalisée de riposte offensive ?
Que signifierait une doctrine offensive ?
Parle-t-on de capacités de “contre-attaque technique” à but dissuasif ? D’actions coordonnées de neutralisation d’infrastructures hors du territoire national ? D’un engagement dans des coalitions internationales menant des opérations ciblées, comme les États-Unis avec leur Cyber Command ou certaines agences européennes lors du démantèlement de botnets ? L’expression reste floue.
Mais avant même de définir ce qu’il serait légitime de faire, se pose une première série de questions :
- Le droit français actuel permet-il de mener des contre-mesures actives sans franchir le seuil de la guerre numérique ?
- Qui décide d’un éventuel passage à l’action offensive ? Le Premier ministre, le Président, le Conseil de défense ?
- Quelles garanties juridiques seraient nécessaires pour encadrer une telle posture ?
Frapper suppose-t-il de nommer ?
La question de l’attribution publique reste elle aussi non tranchée. Lors des dernières auditions du Sénat, Stéphane Bouillon (SGDSN) et Vincent Strubel (ANSSI) ont rappelé la complexité d’un “Name and Shame” en contexte cyber. L’imputation n’est pas toujours certaine, et sa portée dissuasive demeure pour sa part incertaine. Certains États, à l’image des États-Unis ou du Royaume-Uni, nomment régulièrement leurs agresseurs, quand la France agit souvent en retrait.
Dès lors, faut-il envisager une évolution du discours public ? Ou préserver une approche discrète pour protéger les capacités de renseignement et éviter les surenchères diplomatiques ? Et comment articuler cette posture avec les attentes croissantes en matière de transparence politique, notamment vis-à-vis du Parlement ou des opérateurs économiques ?
La montée en charge réglementaire change-t-elle la donne ?
Avec la transposition de la directive NIS 2, le champ d’intervention de l’ANSSI s’élargit à plusieurs milliers d’entités. Le rapport de dépendance à la sécurité nationale s’étend désormais bien au-delà des OIV traditionnels. Ce changement d’échelle rend-il tenable une stratégie purement défensive ? Et surtout, la France peut-elle continuer à assurer seule la protection d’un périmètre aussi vaste sans prendre l’initiative dans certains cas ?
Là encore, plusieurs options coexistent. Si une posture offensive n’implique pas nécessairement de rupture stratégique, elle suppose, au minimum, un débat clair sur les capacités, les seuils, et la coordination avec les partenaires européens.
Quelles marges d’autonomie technologique ?
Agir, c’est aussi disposer d’outils souverains. La maîtrise des moyens offensifs (infiltration, perturbation, effacement) dépend de la capacité à développer ou à contrôler des technologies critiques. La France dispose-t-elle de l’écosystème nécessaire pour agir sans dépendre de solutions extraterritoriales ? Et si ce n’est pas le cas, faut-il accélérer l’investissement dans une BITD cyber à vocation offensive, ou mutualiser ces capacités au niveau européen ?
Une doctrine offensive pour quoi faire ?
Enfin, se pose la question du sens, car la riposte offensive n’est pas une fin en soi. Elle peut viser à dissuader, à empêcher une récidive, à signaler une limite stratégique, mais elle peut aussi fragiliser des équilibres diplomatiques ou techniques si elle est mal calibrée.
Avant de décider, il faudra probablement répondre à une série de questions simples, mais structurantes :
- Quelle est la finalité recherchée ?
- Quels sont les risques d’escalade ?
- Quels seraient les critères de légitimité d’une riposte offensive ?
- Et qui en porterait la responsabilité politique ?
Ce qui reste à écrire
La réussite opérationnelle ouvre plus le débat qu’elle ne le clot d’un satisfecit. Car si la résilience a fonctionné, c’est peut-être aussi parce que l’adversaire n’a pas encore véritablement franchi le seuil. Et à l’heure de l’IA, rien ne garantit que ce statu quo tienne face à un changement brutal d’intensité ou de méthode.
Le moment est propice à se poser la question, car une doctrine offensive, si elle doit exister, ne peut se construire dans l’urgence.
