Le texte actuel prévoit que l’ANSSI peut placer chez certains opérateurs des dispositifs mettant en œuvre des marqueurs techniques aux seules fins de détecter des événements susceptibles d’affecter la sécurité des systèmes d’information (SI) des autorités publiques et opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 du présent code ou à l’article 5 de la loi n° 2018-133 du 26 février 2018384. Cependant, ce moyen d’action, s’il permet de prévenir certaines attaques, implique que l’ANSSI connaisse déjà en amont les modes opératoires utilisés par les attaquants et en ait tiré des marqueurs spécifiques pour pouvoir les détecter. Il ne lui permet donc pas de détecter un acteur inconnu ou non caractérisé et ne permet que des actions en réaction.
L’ANSSI doit donc pouvoir accéder au contenu de la machine infectée (copie du disque dur, copie de la mémoire vive) afin de récupérer les configurations et le détail des codes malveillants ou implants utilisés par l’attaquant, les données qu’il a dérobées, les journaux de connexions de l’attaquant ou encore les éléments secrets permettant de déchiffrer le trafic malveillant.
L’ANSSI n’a aujourd’hui accès qu’aux effets des activités malveillantes (les flux réseaux) et non à leurs causes (code, logs, contenu stocké).
384 Loi n° 2018-133 du 26 février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité.
L’ANSSI peut accéder aujourd’hui aux données techniques des flux réseaux. Or, ces flux réseaux sont déclenchés par des actions lancées en amont par des acteurs malveillants à partir de codes et logiciels malveillants, d’outils de « commande et contrôle » (outils sous le contrôle des attaquants à partir desquels ils lancent les attaques), de chevaux de Troie, etc. Seul l’accès à la source des actions malveillantes lancées en amont permet de comprendre leur nature, leur forme et d’analyser plus globalement la situation. Cela suppose de pouvoir accéder au code de l’action malveillante, aux outils et aux fichiers logs (ou « journaux systèmes », enregistrant l’ensemble de l’activité d’un SI et permettant de déterminer l’enchaînement des actions réalisées sur un système donné) pour comprendre la nature des actions malveillantes. A cette fin, il est nécessaire d’effectuer des copies de machines compromises.
A titre d’illustration, en 2017, en observant certaines actions malveillantes chez une victime, l’ANSSI est parvenue à reconstruire le fichier de configuration d’un serveur de contrôle d’un attaquant. Il a ensuite pu identifier un serveur physique sous le contrôle de cet attaquant hébergé chez un hébergeur français. Cependant, toutes les communications qui entraient et sortaient de cette machine passaient par le réseau ToR (qui permet d’assurer l’anonymat de ceux qui l’utilisent par une série de chiffrement des requêtes) et, par conséquent, étaient inexploitables en l’état. Le Parquet a ouvert une enquête en flagrance et le service enquêteur a requis l’ANSSI pour procéder à l’analyse du serveur identifié. Cela a permis d’identifier toutes les victimes attaquées, mais également toutes les cibles potentielles de l’attaquant, non encore activées, qui étaient répertoriées sur le serveur analysé. Ces dernières ont pu faire l’objet d’un suivi dédié de l’ANSSI et se prémunir contre les actions de cet attaquant.
2.1.3. Face à une évolution toujours croissante de la menace, permettre à l’ANSSI d’étendre le périmètre du dispositif aux opérateurs de centres de données.
L’ANSSI est aujourd’hui confrontée à une évolution de la menace, puisque les acteurs malveillants se professionnalisent et profitent des failles liées à la territorialité des cadres légaux. L’ANSSI observe la fréquente utilisation par des attaquants de serveurs compromis (pour être intégrés à une infrastructure d’attaque), loués par des hébergeurs étrangers auprès d’opérateurs de centres de données - au sens de l’article L. 32 du CPCE - basés sur le territoire national. En effet, le cyberattaquant, proche du niveau étatique, cherche systématiquement à limiter les possibilités d’imputation de son attaque, en créant une infrastructure d’anonymisation selon deux méthodes :
̶ l’achat de serveurs privés virtuels (ou VPS pour Virtual Private Server) qui sont des chaînons créés pour l’usage exclusif de l’attaquant et complètement maîtrisés par lui, mais dont l’achat de façon parfaitement anonyme est complexe ;
̶ la compromission des éléments d’infrastructure (serveurs, routeurs, pare-feu, switchs, etc.) et l’installation sur ces derniers de programmes relais qui sont autant de chaînons d’anonymisation.
En conséquence, quand l’ANSSI a à traiter d’attaques contre les intérêts les plus importants de la nation, le recours à des serveurs compromis est quasiment systématique.
Or, en l’état du droit, l’ANSSI ne peut pas installer ses dispositifs chez les opérateurs de centres de données dont c’est l’activité exclusive, car ils ne sont ni hébergeurs ni fournisseurs d’accès à Internet au sens de la loi n° 2004-575 pour la confiance dans l’économie numérique.
2.1.4. Adapter les garanties et la proportionnalité de l’atteinte aux libertés Un tel élargissement du champ d’application de l’article L. 2321-2-1 du code de la défense au niveau matériel (infrastructure) et organique (opérateurs de centre de données) ne remet pas en question le caractère proportionné de la mesure au regard des objectifs d’intérêt général poursuivis par l’ANSSI. Les garanties suivantes apparaissent en effet dûment protectrices :
̶ le ciblage préalable de la machine compromise faisant l’objet de la copie ;
̶ la destruction immédiate des données par l’ANSSI dès lors que celles-ci sont jugées inutiles pour la prévention et la caractérisation de la menace ;
̶ le contrôle de l’application de ces nouvelles mesures par l’ARCEP.
L’élargissement du champ d’application de l’article précité est compensé par un encadrement accru, puisque l’ANSSI ne pourra opérer des demandes que sur un périmètre et pour une durée limités, et toujours aux seules fins de prévention et de caractérisation des menaces visant plus particulièrement les SI des autorités publiques, des opérateurs d’importance vitale et des opérateurs essentiels au sens de la loi n° 2018-133 du 26 janvier 2018 susmentionnée ou susceptibles de les affecter par le biais de leurs sous-traitants.
S’agissant de l’accès aux données, elles ne seront obtenues et exploitées que par des agents individuellement désignés et spécialement habilités, et uniquement à des fins de défense des systèmes d’information des opérateurs ou autorités précités. De surcroît, elles seront détruites dans un délai déterminé, mais ne pouvant excéder la durée strictement nécessaire, c’est-à-dire immédiatement lorsqu’elles ne sont pas utiles et deux ans lorsqu’elles le sont.
Les captures réalisées par l’ANSSI au moyen du dispositif ainsi amendé, bien que susceptibles de concerner un champ plus large, seront toujours ciblées, justifiées et soumises au contrôle d’une autorité administrative indépendante, pour éviter que des données autres que celles utiles à la prévention ou à la caractérisation de la menace ne soient conservées. Outre une clarification de la loi, la nouvelle rédaction envisagée s’accompagne d’une adaptation des garanties associées, notamment à travers l’aménagement du contrôle de l’ARCEP afin de s’assurer que l’ANSSI respecte l’application des dispositions amendées.
2.2. OBJECTIFS POURSUIVIS
Le principal objectif de cette mesure est d’améliorer la connaissance de l’ANSSI en ce qui concerne les modes opératoires des cyberattaquants :
̶ en ayant accès aux informations d’intérêt, essentielles pour comprendre et appréhender la situation, notamment présentes dans le contenu des communications réseau (identité des victimes, nature de l’attaque, instructions envoyées par l’attaquant aux machines
sous son contrôle, etc.), ou bien sur le disque et la mémoire de la machine utilisée par l’attaquant (outils malveillants développés par l’attaquant, méthodes de travail, base de connaissance sur ses victimes, etc.) ;
̶ en élargissant le périmètre de la mesure aux opérateurs de centres de données.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Une modification de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique a pu être envisagée mais n’a pas été considérée comme satisfaisante dès lors que :
̶ elle ne prenait en compte qu’une partie des modifications que requiert la mesure nouvelle ;
̶ elle tendait à complexifier le droit positif en ajoutant dans la loi du 21 juin 2004 des prescriptions dont l’objet a une finalité de sécurité nationale.
3.2. OPTION RETENUE
Cette composante complète l’article L. 2321-2-1 du code de la défense à trois égards :
̶ elle étend les données recueillies au contenu des communications réseaux et plus largement en obtenant la copie du serveur utilisé par l’attaquant ;
̶ par ailleurs, elle inclut les opérateurs de centre de données dans le périmètre des opérateurs sur lesquels l’ANSSI pourrait apposer des marqueurs techniques ou obtenir la copie de leurs serveurs ;
̶ enfin, elle inclut les sous-traitants des autorités publiques, des opérateurs d’importance vitale et des opérateurs de services essentiels au profit desquels l’ANSSI peut détecter et caractériser des événements susceptibles d’affecter la sécurité de leurs systèmes d’information.
En outre, le contrôle de l’ARCEP est adapté pour prévoir des garanties supplémentaires, notamment au titre de la copie du serveur utilisé par l’attaquant.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
4.1.1. Impacts sur l’ordre juridique interne
La présente disposition requiert une modification de l’article L. 2321-2-1 du code de la défense et de l’article L. 36-14 du code des postes et des communications électroniques.
4.1.2. Articulation avec le droit international et le droit de l’Union européenne S’agissant d’une mesure dont l’objet porte sur la sécurité nationale, elle relève de la compétence des Etats membres en vertu du traité sur le fonctionnement de l'Union européenne. Les modifications de l’article L. 2321-2-1 du code de la défense ne mettent pas en cause des dispositions du droit de l’Union européenne.
4.2. IMPACTS ECONOMIQUES ET FINANCIERS
4.2.1. Impacts macroéconomiques
Sans objet.
4.2.2. Impacts sur les entreprises
La mesure concerne les opérateurs de centre de données dans le périmètre des opérateurs sur lesquels l’ANSSI pourrait apposer des marqueurs techniques ou obtenir la copie de leurs serveurs.
Par ailleurs, elle inclut les sous-traitants des autorités publiques, des opérateurs d’importance vitale et des opérateurs de services essentiels au profit desquels l’ANSSI peut détecter et caractériser des événements susceptibles d’affecter la sécurité de leurs systèmes d’information.
Les prestations effectuées au titre de l’article L. 2321-2-1 du code de la défense donnent aujourd’hui lieu à compensation (arrêté du 18 février 2020 pris en application de l’article R. 2321-1-5 du code de la défense). Une modification de cet arrêté pour la compensation des coûts liés à la copie des machines sera nécessaire.
De même, les coûts pour un opérateur de centres de données résultant de la mise en place du système de détection seront compensés en vertu de l’arrêté susmentionné. Ces coûts reviennent à moins d’un millier d’euros par an, correspondants pour l’essentiel à la consommation électrique et à l’espace occupé par le dispositif mobilisant des marqueurs techniques.
4.2.3. Impacts budgétaires
4.3. IMPACTS SUR LES COLLECTIVITES TERRITORIALES
Sans objet.
4.4. IMPACTS SUR LES SERVICES ADMINISTRATIFS
Impliquant la totalité des bureaux effecteurs de la Sous-direction opérations de l’Agence (soit plus de 70% des effectifs de cette sous-direction), l’analyse des captures réseau brutes effectuées par les dispositifs de détection de l’ANSSI ainsi que l’analyse des données issues des copies de machines compromises nécessitent des ressources dédiées importantes, tant pour l’analyse en elle-même que pour le développement d’outils d’analyse automatisés. Ceci doit être pris en compte dans le schéma d’emploi de l’ANSSI.
4.5. IMPACTS SOCIAUX
4.5.1. Impacts sur la société
Cette mesure devrait contribuer à renforcer la sécurité des systèmes d’information en France.
4.5.2. Impacts sur les personnes en situation de handicap Sans objet.
4.5.3. Impacts sur l’égalité entre les femmes et les hommes Sans objet.
4.5.4. Impacts sur la jeunesse
Sans objet.
4.5.5. Impacts sur les professions réglementées
Sans objet.
4.6. IMPACTS SUR LES PARTICULIERS
Sans objet.
4.7. IMPACTS ENVIRONNEMENTAUX
Sans objet.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
En application de l’article L. 36-5 du CPCE, la présente disposition a été présentée à l’ARCEP, quia rendu son avis le 9 mars 2023385
.
5.2. MODALITES D’APPLICATION
5.2.1 Application dans le temps
Ces dispositions entreront en vigueur le lendemain de la publication de la loi au Journal Officiel de la République française.
5.2.2 Application dans l’espace
Les dispositions s’appliqueront sur l’ensemble du territoire de la République.
5.2.3 Textes d’application
Les conditions d’application du dispositif proposé seront définies par décret en Conseil d’Etat et les modalités de compensation des prestations seront prévues par arrêté.
385 Avis n° 2023-0542 de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse en date du 9 mars 2023 sur des dispositions relatives à la sécurité des systèmes d'information dans le cadre du projet de loi relatif à la programmation militaire pour les années 2024-2030.
B- Rendre obligatoire la mise en place de capacités de détection chez les opérateurs de communications électroniques (OCE)
1.1. CADRE GENERAL
En matière de cyberdéfense et de cybersécurité, le législateur a initialement privilégié la protection plutôt que la détection, en sécurisant les systèmes d’information sensibles (notamment ceux des opérateurs d’importance vitale (OIV)) et en dotant les services de l’Etat d’une capacité de réponse aux attaques386. Toutefois, ces mesures législatives se sont révélées insuffisantes pour faire face à la prolifération de la menace387 et aux risques découlant de l’exposition des systèmes d’information des particuliers (cf. exemples cités supra relatifs à la compromission de serveurs).
Avant la loi n° 2018-607 du 13 juillet 2018 précitée, il n’existait aucune disposition législative portant sur les capacités de détection et de caractérisation des attaques informatiques des opérateurs de communications électroniques (OCE). Or, les opérateurs, dans la mesure où ils connectent les utilisateurs au réseau mondial et voient passer par leurs réseaux l’ensemble des flux, occupent une position clé pour permettre la détection des attaques, d’autant plus qu’ils servent souvent de point d’appui aux attaquants pour cibler leurs clients. L’article 34 de la loi n° 2018-607 a donc cherché à renforcer la capacité nationale de détection des attaques informatiques en y associant plus étroitement les OCE. Elle a ainsi créé un dispositif visant à mieux impliquer les OCE dans la cyberdéfense, en lien avec l’ANSSI. Ce dispositif est codifié à l’article L. 33-14 du CPCE ainsi qu’au deuxième alinéa de l’article L. 2321-3 du code de la défense (CODEF).
L’objectif de ces dispositions législatives était, à des fins de défense et de sécurité des systèmes d’information :
̶ d’une part, d’autoriser les OCE à mettre en œuvre, sur leurs réseaux, des systèmes de détection des attaques informatiques visant leurs abonnés (article L. 33-14, alinéa 1er, du CPCE). Il s’agit de dispositifs techniques qui comparent en temps réel l’activité d’un réseau à des marqueurs d’attaque (ces marqueurs sont des éléments techniques propres à certains attaquants, tels que l’adresse IP d’un serveur malveillant ou le nom d’un site Internet piégé).
Ceux-ci analysent automatiquement le trafic sans s’intéresser au contenu, en se limitant à le comparer aux marqueurs d’attaque. Le trafic n’est pas stocké ;
̶ d’autre part, de fixer, en matière de détection, les modalités d’échanges techniques entre ces opérateurs et l’ANSSI. Pour leur permettre de détecter des attaques sophistiquées, l’ANSSI
386 Article L. 2321-2 du code de la défense.
387 831 attaques informatiques ont été traitées par l’ANSSI en 2022.
fournit aux opérateurs des marqueurs d’attaque. En cas d’attaque informatique associée à l’un de ces marqueurs, les systèmes de détection déployés par les opérateurs produisent une alerte de sécurité, contenant uniquement les informations techniques liées à l’attaque.
L’opérateur informe alors l’ANSSI de cette alerte et, si l’attaque détectée concerne un OIV, un opérateur de services essentiels (OSE)388 ou une autorité publique, celle-ci peut demander des informations techniques complémentaires pour caractériser l’attaque et établir des mesures de protection et de remédiation adaptées389
.
La loi a assorti ces nouveaux moyens opérationnels de garanties. Ainsi, l’ARCEP est chargée de veiller au respect par l’ANSSI des conditions d’application de l’alinéa 2 de l’article L. 2321-3 du CODEF. Les pouvoirs dévolus à l’ARCEP dans ce cadre sont fixés par l’article L. 34-16 du CPCE.
1.2. CADRE JURIDIQUE
Le Conseil d’Etat a rejeté un recours pour excès de pouvoir dirigé contre le décret d’application de l’article L. 33-14 du CPCE. Il a notamment jugé qu’il n’y avait pas lieu de transmettre au Conseil constitutionnel la question prioritaire de constitutionnalité soulevée contre cette disposition législative. Il a aussi écarté l’ensemble des moyens tirés de la méconnaissance du droit de l’Union européenne dirigés, par voie d’exception, à l’encontre de celle-ci390. La constitutionnalité et la conventionnalité du dispositif prévu à l’article L. 33-14 précité sont donc désormais bien établies.
Par ailleurs, le Conseil constitutionnel a eu l’occasion de se prononcer sur la compensation financière versée par l’État aux OCE, notamment dans une décision du 5 février 2021, où il a considéré que « [l]a sécurisation des réseaux de communication mobile, par l’autorisation préalable de l’exploitation de certains appareils, est directement liée aux activités des opérateurs qui utilisent et exploitent ces réseaux afin d’offrir au public des services de communications électroniques. Dès lors, en adoptant les dispositions contestées, le législateur n’a, en tout état de cause, pas reporté sur des personnes privées des dépenses qui, par leur nature, incomberaient à l’État »391
.
Il ressort de ces décisions que la compensation par l’Etat des dépenses que les opérateurs de communications électroniques engagent pour se conformer à leurs obligations légales n’est obligatoire que lorsque ces dépenses sont étrangères à leur activité.
388 Au sens de l’article 5 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, qui fait référence aux « opérateurs, publics ou privés, offrant des services essentiels au fonctionnement de la société ou de l’économie et dont la continuité pourrait être gravement affectée par des incidents touchant les réseaux et systèmes d’information nécessaires à la fourniture desdits services ». Ces opérateurs sont désignés par le Premier ministre.
389 Alinéas 2 à 4 de l’article L. 33-14 du CPCE et alinéa 2 de l’article L. 2321-3 du code de la défense.
390 CE, 30 déc. 2021, La Quadrature du Net et autres, n° 428028.
391 Cons. const., déc. du 5 février 2021, n° 2020-882 QPC.
1.3. ELEMENTS DE DROIT COMPARE
Plusieurs Etats étrangers ont mis en place des obligations en matière de cyberdéfense aux opérateurs de communications électroniques mais tous n’ont pas rendu obligatoire la mise en place de capacités de détection, notamment :
̶ En Allemagne, la loi sur les télécommunications précise que les fournisseurs de services de télécommunications peuvent utiliser des systèmes de détection d’attaques qui sont définis dans la loi sur la sécurité des technologies de l’information comme des mesures techniques et organisationnelles appropriées pour se protéger contre les perturbations externes (catastrophes ou cyberattaques) susceptibles d’entraîner une détérioration significative ou de constituer un risque de sécurité des réseaux et services de télécommunications. La loi sur la sécurité des technologies de l’information prévoit également l’obligation pour les exploitants d’infrastructures critiques, dont font également partie certains fournisseurs de services de télécommunications, de prendre des précautions organisationnelles et techniques appropriées (dont l’utilisation de systèmes de détection des attaques). Ces systèmes doivent enregistrer et évaluer de manière continue et automatique les paramètres et caractéristiques des opérations en cours. Ils doivent aussi être en mesure d’identifier et de prévenir les menaces de manière continue et de prévoir des mesures correctives appropriées.
̶ En République Tchèque, seulement les opérateurs de communications électroniques les plus importants sont des opérateurs de services essentiels. En revanche, l’ensemble des opérateurs de communications électroniques sont régulés au titre de la loi sur la cybersécurité. Or, cette loi dispose que les entités régulées n’ont pas l’obligation d’introduire et de mettre en œuvre des mesures de sécurité ou de signaler des incidents.
Cependant, elles sont tenues de prendre des mesures pour réagir en cas de déclaration d’un état d’urgence cyber. Les opérateurs de communications électroniques sont également réglementés par une loi sectorielle qui oblige les opérateurs à signaler les incidents cyber aux autorités compétences respectives. Avec la directive NIS2, la République Tchèque prévoit des évolutions dans l’architecture de supervision des opérateurs des communications électroniques.
̶ A Singapour, la loi sur la sécurité des réseaux ne comprend pas d’exigences particulières vis-à-vis des opérateurs de communication électronique. En revanche, des exigences ex-ante en matière de cybersécurité sont imposées aux propriétaires d’infrastructures critiques telles que des audits de cybersécurité et des évaluations des risques.
̶ En Italie, le code des communications électroniques oblige les opérateurs de communications électroniques à adopter des mesures de sécurité, y compris des procédures visant à détecter les incidents qui doivent ensuite être notifiés au Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques. En outre, les opérateurs de télécommunications italiens sont également tenus de déployer un marquage technique spécifique défini par l’Agence de cybersécurité au sein de leurs outils de détection dans des situations spécifiques.
2.1. NECESSITE DE LEGIFERER
Le dispositif prévu par l’article L. 33-14 du CPCE n’a pas produit tous les effets escomptés en termes de sécurisation des réseaux de télécommunications et de détection des cybermenaces.
D’une part, il repose intégralement sur les capacités de détection existantes des opérateurs. Or celles-ci sont très hétérogènes et ne sont généralement pas suffisantes pour mener des actions de détection précises et ciblées sur la base des marqueurs fournis par l’ANSSI.
D’autre part, les opérateurs ont peu développé leurs capacités en matière de détection, dans la mesure où le dispositif n’est pas obligatoire et que sa mise en œuvre nécessite des investissements à leur charge. En l’absence d’une véritable obligation juridique, ils ne considèrent pas comme une priorité le fait de procéder aux investissements nécessaires à la mise en place d’une capacité de détection adéquate pour faire fonctionner pleinement le dispositif.
Seule une intervention législative est susceptible d’imposer aux OCE qui ont été désignés OIV des mesures contraignantes pour mettre en œuvre des dispositifs permettant d’exploiter les marqueurs techniques fournis par l’ANSSI. En outre, la mesure envisagée modifie la partie législative du code des postes et des communications électroniques.
2.2. OBJECTIFS POURSUIVIS
Eu égard au développement de la menace cyber, il est indispensable de s’appuyer davantage sur les opérateurs. En effet, une cyberattaque transite toujours par le réseau d’un opérateur, dissimulée dans un flux massif de données. Le développement de la capacité des opérateurs à détecter efficacement les traces des cyberattaques serait une avancée majeure dans la lutte contre les cyberattaques touchant les entreprises et les administrations françaises.
Ainsi, s’il contribue au renforcement de la cybersécurité offerte par les OCE à leurs abonnés, le développement de leurs capacités de détection vise essentiellement à répondre aux besoins de la défense et de la sécurité des SI en permettant l’exploitation des marqueurs de l’ANSSI.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Une option envisagée était de rendre obligatoire, pour l’ensemble des opérateurs, la mise en œuvre, sur leurs réseaux, des systèmes de détection des attaques informatiques visant leurs abonnés. Toutefois, il s’avère qu’au regard des objectifs poursuivis (détection des attaques sur des flux importants), une telle obligation s’avèrerait disproportionnée pour des OCE n’ayant pas été désignés OIV. Cette option a par conséquent été écartée.
3.2. OPTION RETENUE
Il est donc proposé de rendre obligatoire la mise en œuvre de systèmes de détection des attaques informatiques pour les seuls OCE désignés OIV. En effet, plus l’opérateur est important, plus les flux qui transitent par son réseau sont conséquents, ce qui permet de maximiser l’efficacité des marqueurs fournis par l’ANSSI.
Pour des raisons légistiques, la disposition envisagée renvoie aux opérateurs mentionnés à l’article L. 1332-1 du code de la défense, désignés en vertu de leur activité d’exploitant d’un réseau de communications électroniques ouvert au public.
4.1. IMPACTS JURIDIQUES
4.1.1. Impacts sur l’ordre juridique interne
La mesure proposée implique la modification de l’article L. 33-14 du CPCE.
4.1.2. Articulation avec le droit international et le droit de l’Union européenne La mesure envisagée, en ce qu’elle modifie l’article L. 33-14 du CPCE est conforme au cadre européen des communications électroniques transposé dans le CPCE, qui fait de la détection des attaques informatique un motif légitime de traitement des communications électroniques.
A l’instar du dispositif prévu lors de la loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense, la mise en place de ces dispositifs de détection, distincte des mesures de gestion de trafic, est justifiée par la nécessaire protection de la sécurité et l’intégrité des réseaux dans le but de prévenir les cyberattaques. Elle constituera donc une mesure proportionnée au regard des dispositions du règlement n° 2015/2120 établissant des mesures relatives à l’accès à un internet ouvert.
Le Conseil d’Etat lors d’un recours pour excès de pouvoir dirigé contre le décret d’application de l’article L. 33-14 du CPCE a écarté l’ensemble des moyens tirés de la méconnaissance du droit de l’Union européenne dirigés, par voie d’exception, à l’encontre de celle-ci (CE, 30 déc.
2021, La Quadrature du Net et autres, n° 428028). La constitutionnalité et la conventionnalité du dispositif prévu à l’article L. 33-14 précité sont donc désormais bien établies.
4.2. IMPACTS ECONOMIQUES ET FINANCIERS
4.2.1. Impacts macroéconomiques
Si la loi obligeait les OCE à développer leurs capacités de détection, il serait souhaitable qu’émerge une offre industrielle européenne pour assurer la mise en œuvre de l’article L. 33-14, alinéa 2, du CPCE. Développer les capacités de détection des OCE peut permettre de diversifier l’offre technologique et de soutenir le tissu industriel français ou européen en la matière, ce qui renforcerait en retour la compétitivité des entreprises françaises et la souveraineté numérique. Néanmoins, à ce jour, tout type de capacité de supervision permettant d’injecter les marqueurs de l’ANSSI doit être envisagé.
4.2.2. Impacts sur les entreprises
Les dispositifs existants n’ont pas permis le développement, même progressif, des capacités de détection des OCE. Il importe qu’ils effectuent les investissements nécessaires pour répondre aux demandes de l’ANSSI.
Cette mesure induira donc des charges qui seront compensées au moyen d’une aide au financement en juste rémunération, comme le sont les dispositifs portés via le guichet unique du Commissariat aux Communications Electroniques de Défense (CCED). L’ANSSI a exprimé des besoins budgétaires nouveaux pour tenir compte de l’évolution.
4.2.3. Impacts budgétaires
Le développement des capacités de détection des OCE fera l’objet d’une compensation financière intégrale de la part de l’Etat.
Cette mesure pourrait engendrer des charges administratives supplémentaires au titre de l’aide au financement, avec l’intégration d’un nouveau dispositif au sein du guichet unique du CCED.
Cette option permet toutefois de mutualiser la charge administrative avec d’autres dispositifs et évite la création d’un guichet redondant par l’ANSSI.
La compensation financière pour un tel dispositif a été estimée par l’ANSSI lors du déploiement de France Relance, qui ne permettait toutefois pas de financer de telles capacités. Au regard des besoins spécifiques et des échanges opérationnels nécessaires entre les opérateurs et l’ANSSI, elle devra s’étendre sur plusieurs années, même si des investissements initiaux rapides sont possibles. Le modèle proposé par l’ANSSI évalue le coût approximatif de la mesure à un million d’euros par an. Ces besoins budgétaires ont été exprimés par l’ANSSI lors des travaux budgétaires et des estimations de trajectoires financières pour la période 2023-2027.
4.3. IMPACTS SUR LES COLLECTIVITES TERRITORIALES
Sans objet.
4.4. IMPACTS SUR LES SERVICES ADMINISTRATIFS
Sans objet.
4.5. IMPACTS SOCIAUX
4.5.1. Impacts sur la société
Cette mesure devrait contribuer à renforcer la sécurité des systèmes d’information en France.
4.5.2. Impacts sur les personnes en situation de handicap Sans objet.
4.5.3. Impacts sur l’égalité entre les femmes et les hommes Sans objet.
4.5.4. Impacts sur la jeunesse
Sans objet.
4.5.5. Impacts sur les professions réglementées
Sans objet.
4.6. IMPACTS SUR LES PARTICULIERS
Ces capacités de détection permettront de mieux protéger l’ensemble des utilisateurs, non seulement les administrations, OIV et OSE, mais également les particuliers.
5.1. CONSULTATIONS MENEES
Conformément à l'article L. 36-5 du code des postes et des communications électroniques, cette disposition a été présentée à l’ARCEP qui a rendu son avis le 9 mars 2023392 .
392 Avis n° 2023-0542 de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse en date du 9 mars 2023 sur des dispositions relatives à la sécurité des systèmes d'information dans le cadre du projet de loi relatif à la programmation militaire pour les années 2024-2030.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions entreront en vigueur le lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
La présente disposition s’appliquera sur l’ensemble du territoire de la République.
Pour l’article L. 33-14 du CPCE, les conditions d’application outre-mer sont précisées à l’article L. 33-15 de ce code.
Pour l’article L. 2321-3 du code de la défense, les conditions d’application en Outre-Mer sont prévues à l’article L. 1 : « Le code de la défense est applicable de plein droit sur l’ensemble du territoire de la République, à moins qu’il n’en dispose autrement ».
5.2.3. Textes d’application
Les conditions d’application du dispositif proposé, et notamment la juste rémunération liée à l’obligation à la charge des OCE désignés OIV de mettre en œuvre les dispositifs de détection, seront définies par décret en Conseil d’Etat.
C- Elargir aux hébergeurs de données l’obligation de
communication à des fins exclusives d’alerte d’utilisateurs de
systèmes vulnérables ou attaqués, élargir la communication à celles
des données techniques des sous-traitants des autorités publiques,
OIV et OSE et rationaliser ladite procédure en supprimant
l’assermentation des agents de l’autorité nationale de sécurité des
systèmes d’information
1. ÉTAT DES LIEUX
1.1. CONTEXTE
Le monde numérique, en mutation constante, recourt à des technologies innovantes ou à de nouveaux types d’architectures ou d’organisations visant à rationaliser la gestion de la masse des données numériques et à mutualiser les coûts d’hébergement et d’opération ou à promouvoir des modèles économiques dynamiques comme celui de la sous-traitance.
L’exemple du cloud computing est particulièrement topique à cet égard. Il offre des avantages aux utilisateurs en termes d'économies de coûts, de flexibilité, d'efficacité, de sécurité et d'adaptabilité393. De nombreuses offres de services sont désormais disponibles sur le marché, que ce soit pour l'hébergement d'infrastructures (IaaS – Infrastructure as a Service), la fourniture de plateformes de développement (PaaS – Platform as a Service) ou celle de logiciels en ligne (SaaS – Software as a Service). Ces offres sont proposées dans des clouds publics (service partagé et mutualisé entre de nombreux clients), privés (cloud dédié à un client) ou hybrides (combinaison des modèles public et privé)394
.
Devenu un objet juridique395, le cloud est surtout une réalité économique et commerciale396 qui concerne tout autant les entreprises que les autorités publiques. L’informatique nuagique est même désormais au cœur de la stratégie numérique de l’Etat. Avec l’adoption de la doctrine cloud au centre, le Gouvernement a fait du cloud « un prérequis pour tout nouveau projet numérique au sein de l’Etat ou refonte substantielle de l’architecture applicative existante »397 .
393 Code de Conduite des Fournisseurs d'Infrastructures Cloud relatif à la Protection des Données 9 Février 202 ;
394 Le cloud computing ; Recommandations pour les entreprises qui envisagent de souscrire à des services de cloud computing, CNIL ;
395 « Le numérique, et en particulier le cloud, témoigne de l’une de ces accélérations de l’histoire qui, selon le doyen Savatier, force le juriste à une adaptation continue du droit à la réalité sociale », Discours de Jean-Marc Sauvé, Vice-Président du Conseil d’Etat, le 18 octobre 2018;
396 Par exemple, le marché mondial du cloud public est passé de 196,7 à 354,6 milliards de dollars de 2020 à 2022, Sophy Caulier, « Numérique : le cloud, enjeu de souveraineté », Le Monde, 16 février 2020 ; Selon le Gartner Group, d'ici 2025, 51 % du budget des entreprises françaises va être consacré aux solutions de cloud computing plutôt qu'en informatique traditionnelle ; si 58 % de ces entreprises se tournent vers le cloud pour leurs logiciels applicatifs en 2022, ce chiffre dépasserait 66 %, soit deux entreprises sur trois, en 2025.
397 Stratégie nationale pour le Cloud, dossier Presse, 17 mai 2021.
Assez logiquement, les cyberattaquants se saisissent de cette nouvelle réalité. Celle-ci doit donc être appréhendée en son entier par les moyens d’action de l’ANSSI. L’Agence s’appuie sur la contribution d’opérateurs en mesure de lui fournir des données lui permettant d’identifier ces victimes aux fins de les alerter. Les hébergeurs de données sont des acteurs névralgiques disposant d’une visibilité unique sur leurs clients. Cette visibilité permet de mettre au jour des victimes en plus grand nombre, mais également des pans entiers d’infrastructures d’attaques.
Enfin, les sous-traitants des autorités publiques, des OIV et des OSE sont détenteurs de données tout aussi sensibles que leurs donneurs d’ordre. Les cyberattaquants les ont immédiatement identifiés comme pouvant servir de relais aux attaques visant in fine les autorités publiques et opérateurs précités. Ils doivent, alors, bénéficier de la même protection que ces derniers.
1.2. CADRE GENERAL
La loi n° 2013-1168 du 18 décembre 2013 précitée398 a créé un dispositif pour assurer la cybersécurité des activités d’importance vitale. Des mesures de sécurité s’appliquent tant aux opérateurs d’importance vitale (OIV) ou opérateurs de services essentiels (OSE) qu’aux opérateurs publics ou privés qui participent à ces systèmes399 .
En particulier, cette loi a créé l’article L. 2321-3 du code de la défense, lequel a été complété par la loi n° 2018-607 du 13 juillet 2018400, qui précise dans quels cas l’Agence nationale de la sécurité des systèmes d’information (ANSSI) peut demander des informations aux opérateurs de communications électroniques (OCE) :
̶ l’alinéa premier prévoit que, pour les besoins de la sécurité des SI d’un OIV, d’un OSE ou d’une autorité publique, l’ANSSI peut demander à l’OCE l’identité, l’adresse postale et l’adresse électronique d’utilisateurs ou de détenteurs de systèmes d’information (SI) vulnérables, menacés ou attaqués. Le but est de les alerter sur la vulnérabilité ou l’atteinte de leur système ;
̶ le deuxième alinéa prévoit que, lorsque l’ANSSI est informée, en application de l’article L. 33-14 du CPCE, de l’existence d’un événement affectant la sécurité des SI d’un OIV, d’un OSE ou d’une autorité publique, ses agents habilités et assermentés peuvent obtenir de la part des OCE les données techniques strictement nécessaires à l’analyse de cet événement, ces données ne pouvant être exploitées qu’aux seules fins de caractériser la menace affectant la sécurité de ces systèmes, à l’exclusion de toute autre exploitation.
398 Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale.
399 Article L. 1332-6-1 du code de la défense pour les OIV et article 7 du décret n° 2018-384 du 23 mai 2018 pour les OSE.
400 Loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense.
1.3. CADRE CONSTITUTIONNEL ET INTERPRETATION DU CONSEIL D’ETAT
1.3.1. La communication des données par les hébergeurs
Les données mentionnées au premier alinéa de l’article L. 2321-3 du code de la défense sont celles que les hébergeurs collectent déjà, conformément au décret n° 2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN).
Ce décret a abrogé le décret n° 2011-219 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne. Cette abrogation avait été rendue nécessaire par la décision d’Assemblée du Conseil d’Etat du 21 avril 2021401, qui tirait lui-même les conséquences, en droit interne, des décisions de la Cour de justice de l’Union européenne (CJUE) interdisant la conservation généralisée des données402, et plus particulièrement de celle rendue sur sa question préjudicielle, La Quadrature du Net, du 6 octobre 2020. En particulier, le Conseil d’Etat a estimé que la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale, comme cela est requis par la CJUE. Conformément aux exigences de la Cour, il a imposé au Gouvernement de procéder, sous le contrôle du juge administratif, à un réexamen périodique de l’existence d’une telle menace et jugé illégale l’obligation de conservation généralisée des données (hormis les données peu sensibles : état civil, adresse IP, comptes et paiements) pour les besoins autres que ceux de la sécurité nationale, notamment la poursuite des infractions pénales, raison pour laquelle le décret n° 2011-219 a été abrogé et remplacé par le décret du 20 octobre 2021.
En tout état de cause, les données qui sont recueillies par l’ANSSI dans les conditions du II bis de l’article L. 34-1 modifié du code des postes et des communications électroniques ne sont pas toutes les données conservées par les hébergeurs, mais seulement les données mentionnées aux articles 2 et 5 (s’agissant de l’article 5, seulement les adresses IP source et port associé) du décret n° 2021-1362 précité. Ces données ont été considérées comme les moins sensibles puisqu’elles sont conservées par les OCE et les hébergeurs de manière généralisée et indifférenciée pendant une période de temps limitée et définie par les textes. Il n’y a donc pas d’atteinte supplémentaire à une liberté ou un droit constitutionnellement protégé.
1.3.2. L’assermentation des agents
Les agents de l’ANSSI à qui les OCE communiquent les informations demandées au titre de l’article L. 2321-3 du code de la défense sont spécialement habilités et assermentés.
401 French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718.
402 CJUE, 21 déc. 2016, Télé2 Sverige AB, n° C-203/15 et C-698/15 ; CJUE 2 oct. 2018, Ministerio fiscal, n° C-207/16 et CJUE 6 oct. 2020, La Quadrature du Net et a., n° C-511/18, C-512/18 et C-520/18.
L’assermentation est une garantie exigée par le Conseil constitutionnel dans le seul cas où les agents concernés ont pour mission la recherche ou la poursuite d’infractions pénales, dans la mesure où les actes qu’ils prennent ont le caractère de constatations et peuvent aboutir à des sanctions403
.
De la même manière, le rapport du Conseil d’Etat sur les pouvoirs d’enquête de l’administration datant d’avril 2021 précise le rôle de l’assermentation (pages 84 à 86) : « […] la loi prévoit que les agents habilités, commissionnés ou agréés doivent être assermentés pour pouvoir rechercher et constater des infractions pénales. La prestation de serment constitue l’engagement solennel de l’agent, généralement pris devant le président du tribunal judiciaire du ressort de son affectation, ce qui est une manifestation du caractère judiciaire des fonctions qu’il exerce, de bien remplir ses fonctions et de respecter les règles déontologiques inhérentes à leur exercice. […] Ce serment est une condition de la régularité des actes que l’agent effectuera ensuite. Selon une jurisprudence fort ancienne de la Cour de cassation, les procès-verbaux établis par un agent non assermenté sont entachés de nullité »404. Le Conseil d’Etat a étendu cette exigence aux contrôles administratifs405
.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
Le dispositif actuel de l’article L. 2321-3 du code de la défense nécessite d’être amélioré pour des raisons organisationnelles, opérationnelles et procédurales.
2.1.1. Sur le plan organisationnel
L’ANSSI ne peut, à ce jour, utiliser le dispositif de l’article L. 2321-3 alinéa 2 que lorsqu’il s’agit directement des autorités publiques, des opérateurs d’importance vitale ou des opérateurs de services essentiels, même lorsqu’elles ont confié l’exploitation de leurs systèmes à un tiers.
La pratique démontre que ce dispositif devrait être étendu aux opérateurs publics ou privés qui participent aux systèmes d’information des autorités publiques, des OIV et des OSE.
En effet, ces sous-traitants, lorsqu’ils travaillent au profit des autorités publiques, des OIV et des OSE, ont accès à des informations qui sont aussi critiques que celles manipulées par leurs donneurs d’ordres. L’ANSSI a alors constaté que les opérateurs publics ou privés qui participent en tant que sous-traitants aux systèmes des autorités publiques, OIV et OSE, représentent une porte d’entrée de prédilection pour les cyber-attaquants qui visent, par rebonds, les systèmes d’informations des entités plus critiques (autorités publiques, OIV, OSE, etc.).
403 Cf., par exemple, la décision n° 2020-841 QPC du 20 mai 2020, La Quadrature du Net et autres, relative aux agents de la HADOPI pour la constatation d’actes de contrefaçon, points 9 et 10.
404 Les pouvoirs d’enquête de l’administration, rapport du Conseil d’Etat d’avril 2021.
405 CE, 17 nov. 2017, n° 400976.
Ces sous-traitants sont d’ailleurs déjà soumis au respect des règles de sécurité prévues par les articles L. 1332-6-1 et R. 1332-41-2 du code de la défense pour ce qui concerne les prestataires d’OIV et par les articles 7 et 17 du décret n° 2018-384 relatif à la sécurité des réseaux et systèmes d’information des opérateurs de services essentiels et des fournisseurs de service numérique pour ce qui concerne les OSE.
2.1.2. Sur le plan opérationnel
L’ANSSI est confrontée à deux changements majeurs : d’une part, les pratiques de conception des réseaux évoluent rapidement ; d’autre part, le recours aux technologies en nuage (cloud) est exponentiel.
Ces évolutions changent les usages des utilisateurs et des potentielles victimes. Aujourd’hui, les clients d’OCE ne sont plus les seules victimes d’activités malveillantes. Désormais, les services fournis par des hébergeurs de données (gestion de serveurs, machines virtuelles, etc.) font aussi l’objet de cyberattaques ; leurs clients doivent être considérés comme des victimes, à l’instar des abonnés d’OCE406
.
Dans sa rédaction actuelle, l’article L. 2321-3 alinéa 1er du code de la défense renvoie au CPCE pour son application et limite donc l’applicabilité du dispositif aux OCE. Pour tenir compte de l’évolution des pratiques, il est donc proposé d’étendre aux hébergeurs de données le dispositif prévu pour les OCE. L’ANSSI doit pouvoir obtenir les mêmes informations des hébergeurs de données que des OCE. Ainsi, il est nécessaire d’inclure dans le dispositif prévu par l’article L.
2321-3 alinéa 1er les hébergeurs de données visés au 2 du I de l’article 6 de la LCEN.
Les données de connexion conservées par les hébergeurs de données sont énumérées dans un décret d’application spécifique407. Il s’agit tant de données d’identification que de données de paiement. L’ANSSI n’accédera toutefois qu’aux seules données permettant l’identification de la victime (article 2 du décret n° 2021-1362) à partir d’adresses IP source avec port associé (article 5 du décret n° 2021-1362). Comme pour le dispositif en place avec les OCE, il s’agit de poursuivre un objectif de protection, en permettant d’alerter la victime.
L’ajout des hébergeurs au premier alinéa de l’article L. 2321-3 du code de la défense nécessite de prévoir une compensation des surcoûts identifiables et spécifiques des prestations qu’ils vont assurer.
Par ailleurs, pour assurer une cohérence, en ce qui concerne la compensation des OCE, entre le dispositif prévu au premier alinéa de l’article L. 2321-3 et celui prévu à son deuxième alinéa, il convient également de prévoir que les surcoûts identifiables et spécifiques des prestations assurées par les opérateurs de communications électroniques à la demande de l’ANSSI en application du deuxième alinéa seront compensés selon des modalités prévues par décret en Conseil d’État.
406 Panorama de la cybermenace 2022.
407 Décret n° 2021-1362 du 20 octobre 2021 précité.
2.1.3. Sur le plan procédural
L’assermentation des agents ayant accès aux informations issues de ces dispositifs implique une obligation de secret professionnel dont le non-respect est puni par le code pénal (article R. 2321-5 du code de la défense) pour ces agents assermentés. Tel qu’appliqué aujourd’hui, ce dispositif n’est pas adapté.
L’assermentation est une garantie exigée pour les agents dont la mission est la recherche ou la poursuite d’infractions pénales, dans la mesure où les actes qu’ils prennent ont le caractère de constatations et peuvent aboutir à des sanctions. Or, ces missions ne sont pas celles des agents de l’ANSSI, qui exploitent les informations collectées auprès des OCE aux seules fins d’identifier et d’alerter les victimes d’attaques informatiques.
Parce qu’il suppose un déplacement de l’agent au Tribunal judiciaire de Paris pour la prestation de serment, le dispositif actuel est extrêmement lourd à mettre en place, au regard du nombre d’agents susceptibles de manipuler les données pour les analyser et les qualifier (analystes en charge de la connaissance de la menace, liaisons avec les opérateurs, liaisons avec les victimes, administrateurs d’outils, etc.), ainsi que du renouvellement régulier des agents au sein des services concernés de l’ANSSI. La totalité des agents des bureaux effecteurs de la SDO sont susceptibles d’appartenir à cette catégorie soit, dans l’état actuel des effectifs, près de 200 agents sur un total de 280.
En outre, les données reçues des OCE ne suffisent pas toujours pour identifier une victime et aboutir à un signalement pertinent. Dans certaines situations, les analystes de l’ANSSI doivent donc réaliser des recherches complémentaires, sur des services en ligne et hors ligne, pour compléter les éléments obtenus et orienter leurs travaux (en confirmant que la victime n’est pas française, en cherchant à mieux comprendre le statut de l’entreprise, etc.). La simple transmission en interne à d’autres analystes de l’ANSSI des données reçues par les OCE, même spécialement habilités et sensibilisés sur le statut particulier de ces données, expose les agents assermentés, alors même que cette transmission est nécessaire pour qualifier l’information et assurer un signalement de qualité.
Enfin, il faut relever que, par rapport au régime d’habilitation générale mis en place par l’ANSSI pour l’ensemble de ses dispositifs opérationnels, ce dispositif d’assermentation n’apporte aucune garantie complémentaire.
2.2. OBJECTIFS POURSUIVIS
L’objectif poursuivi par cette mesure est d’étendre la couverture des moyens d’action de l’ANSSI pour pouvoir approfondir la connaissance des modes opératoires des cyberattaquants et identifier et alerter de façon étendue les victimes de cyberattaques, grâce à l’élargissement du périmètre des opérateurs pouvant fournir des éléments d’identification de ces victimes, à l’extension de l’action de l’agence aux sous-traitants des autorités publiques, des OIV et des OSE pour approfondir celle menée à l’égard des donneurs d’ordre et contrer l’effet rebond des cyberattaques.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
̶ Concernant l’extension du dispositif aux sous-traitants des autorités publiques, OIV et OSE, il est nécessaire de compléter l’article L. 2321-3 alinéa 2 du code de la défense.
̶ Concernant l’extension du dispositif aux hébergeurs de données, l’ajout de la possibilité de l’ANSSI de requérir les informations nécessaires à l’identification de la victime auprès de cette catégorie d’acteurs définie par la LCEN est nécessaire.
̶ Concernant la modification relative à l’assermentation, une option possible consistait à supprimer la sanction pénale au niveau réglementaire, dans la mesure où les agents de l’ANSSI, du fait de leurs statuts, sont déjà soumis à une obligation de secret professionnel et de discrétion professionnelle. Ces obligations sont prévues dans les textes suivants :
o articles L. 121-6 et L. 121-7 du code général de la fonction publique pour tout agent public ;
o article L. 4121-2 du code de la défense pour les militaires.
Il est toutefois nécessaire de garantir aux OCE que sera préservé le secret des informations qu’ils communiquent à l’ANSSI, d’autant plus qu’il s’agit de données à caractère personnel.
Une autre option aurait consisté à assermenter l’ensemble des analystes susceptibles de traiter les données, y compris la chaîne hiérarchique. Toutefois, l’assermentation implique une organisation lourde peu compatible avec le nombre d’agents pouvant intervenir au sein de la sous-direction des opérations (SDO) de l’ANSSI. Qui plus est, la forte rotation des effectifs de SDO risquerait d’en altérer les capacités et représenterait une véritable contrainte.
Il est donc proposé de supprimer l’assermentation tout en maintenant l’habilitation spéciale pour les agents amenés à manipuler les données fournies par les OCE. En effet, l’objectif poursuivi par l’article L. 2321-3 du CODEF consiste à prévenir les utilisateurs ou les détenteurs de SI vulnérables, menacés ou attaqués, afin de les alerter de la vulnérabilité ou de l’atteinte de leur système. Il ne s’agit pas de la recherche ou de la poursuite d’infractions pénales, pour lesquelles une assermentation s’avèrerait nécessaire au regard de la jurisprudence du Conseil constitutionnel ou du Conseil d’Etat.
La suppression de l’assermentation et le maintien de l’habilitation spéciale des agents de l’ANSSI permettent de garantir un niveau plus élevé de protection des données communiquées par les OCE à l’ANSSI, puisque cela conduit à responsabiliser pénalement, non plus les seuls agents en contact avec les OCE, mais bien l’ensemble de la chaîne de traitement des données au sein de l’ANSSI.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
4.1.1. Impacts sur l’ordre juridique interne
La présente disposition modifie l’article L. 2321-3 du code de la défense.
4.1.2. Articulation avec le droit international et le droit de l’Union européenne Les modifications envisagées de l’article L. 2321-3 n’ont pas d’effet supplémentaire au regard du droit international et du droit de l’Union européenne que lorsque le dispositif a été adopté en vertu de la loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense.
4.2. IMPACTS ECONOMIQUES ET FINANCIERS
4.2.1. Impacts macroéconomiques
Sans objet.
4.2.2. Impacts sur les entreprises
Les hébergeurs de données se verront imposer de nouvelles obligations pour contribuer à la cybersécurité et à l’identification des victimes de cyberattaques. Comme dans le cadre des autres dispositifs impliquant des hébergeurs et comme les OCE dans le cadre du dispositif existant, ils pourront être compensés pour leurs actions. En outre, les données d’identification des utilisateurs sont déjà conservées par les hébergeurs pour leur propre facturation ou dans le cadre d’obligations légales préexistantes. Ainsi, aucun nouvel investissement financier n’est à prévoir de leur part avant de pouvoir répondre aux demandes de l’ANSSI.
4.2.3. Impacts budgétaires
4.3. IMPACTS SUR LES COLLECTIVITES TERRITORIALES
Sans objet.
4.4. IMPACTS SUR LES SERVICES ADMINISTRATIFS
4.4.1. Impacts sur l’ANSSI
Les évolutions proposées du cadre législatif visent avant tout à mieux répondre à des besoins opérationnels. Il s’agit d’un ajustement qui favorisera, d’une part, la connaissance et le suivi des modes opératoires des attaquants et limitera, d’autre part, la pression exercée sur le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) en matière de signalement sur des entités ne relevant pas directement du périmètre critique de l’ANSSI.
4.4.2. Impacts sur l’ARCEP
L’ARCEP dispose déjà d’un accès complet et permanent aux données recueillies ou obtenues en application des articles L. 2321-2-1 et de l’alinéa 2 de L. 2321-3 du code de la défense, ainsi qu’aux dispositifs de traçabilité des données collectées. En outre, elle peut solliciter de l’ANSSI tous les éléments nécessaires à l’accomplissement de sa mission (article L. 36-14 du CPCE).
Concernant le contrôle de l’ARCEP sur l’application de l’article L. 2321-3 alinéa 2 du CODEF, l’ANSSI fournira la liste des agents spécialement habilités lui permettant de s’assurer que seuls ces agents ont accès aux données communiquées. Cette mesure devrait avoir un impact limité sur les moyens de l’ARCEP.
4.5. IMPACTS SOCIAUX
4.5.1. Impacts sur la société
Cette mesure contribuera à renforcer la sécurité des systèmes d’information en France.
4.5.2. Impacts sur les personnes en situation de handicap
Sans objet.
4.5.3. Impacts sur l’égalité entre les femmes et les hommes Sans objet.
4.5.4. Impacts sur la jeunesse
Sans objet.
4.5.5. Impacts sur les professions réglementées
Sans objet.
4.6. IMPACTS SUR LES PARTICULIERS
Cette mesure permettra d’identifier plus efficacement les victimes d’attaques informatiques, et donc de mieux lutter contre les attaques informatiques.
4.7. IMPACTS ENVIRONNEMENTAUX
Sans objet.
5. MODALITES D’APPLICATION ET CONSULTATIONS MENEEES
5.1. CONSULTATIONS MENEES
Conformément à l’article L. 36-5 du Code des postes et des communications électroniques, cette disposition a été présentée à l’ARCEP qui a rendu son avis le 9 mars 2023408 .
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions entreront en vigueur le lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront sur l’ensemble du territoire de la République.
5.2.3. Textes d’application
Les modalités de compensation des surcoûts identifiables et spécifiques des prestations assurées par les hébergeurs à la demande de l’ANSSI seront définies dans un décret en Conseil d’Etat.
408 Avis n° 2023-0542 de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse en date du 9 mars 2023 sur des dispositions relatives à la sécurité des systèmes d'information dans le cadre du projet de loi relatif à la programmation militaire pour les années2024-2030