L'application du droit international aux cyberattaques d'État

Les cyberopérations hostiles d'un État contre un autre État sont de plus en plus courantes. Cet article analyse l'application des principes de souveraineté et de non-intervention en relation avec les cyber opérations des États dans un autre État en dessous du seuil du recours à la force.
La grande majorité des cyberattaques d'État à État consistent en des intrusions persistantes de bas niveau qui ont lieu en dessous du seuil de recours à la force. Le droit international, y compris le principe de non-intervention dans les affaires intérieures d'un autre État et le principe de souveraineté, s'applique à ces cyber-opérations.
Il n'est pas clair si une cyberintrusion non autorisée violerait la souveraineté de l'État cible ou s'il existe un seuil en vigueur. Alors que certains souhaiteraient fixer des limites en fonction des effets de la cyberactivité, ces limites ne sont actuellement pas reflétées dans le droit international coutumier. L'appréciation de la violation de la souveraineté doit donc être effectuée au cas par cas, si aucune autre règle plus spécifique du droit international ne s'applique.
En temps voulu, de nouvelles pratiques des États et l'opinio iuris pourraient donner lieu à une nouvelle compréhension cybernétique de la souveraineté, tout comme des règles spécifiques découlant du principe de souveraineté se sont cristallisées dans d'autres domaines du droit international.
Avant qu'un principe de diligence raisonnable puisse être invoqué dans le cyber-contexte, les États doivent poursuivre les travaux pour convenir de règles concernant ce que l'on peut attendre d'un État dans ce contexte.
Le principe de non-intervention s'applique aux cyber-opérations d'un État comme il le fait pour les autres activités de l'État. Elle consiste en un comportement coercitif d'un État qui prive l'État cible de son libre arbitre dans l'exercice de ses fonctions souveraines afin de contraindre à un résultat ou à une conduite concernant une question réservée à l'État cible.
Dans la pratique, les activités qui contreviennent au principe de non-intervention et les activités qui violent la souveraineté se chevauchent souvent.
Afin de parvenir à un accord sur la manière dont le droit international s'applique aux cyberopérations des États en dessous du niveau de recours à la force, les États devraient consigner leur point de vue, dans la mesure du possible en donnant des exemples de cas où ils estiment qu'une obligation peut être violée, comme des États tels que le Royaume-Uni, l'Australie, la France et les Pays-Bas l'ont fait.
Une discussion plus approfondie entre les États devrait se concentrer sur la façon dont les règles s'appliquent aux exemples pratiques de cyber-opérations parrainées par l'État. Il y aura probablement plus de points communs sur des applications spécifiques de la loi que sur des principes abstraits.
Les perspectives d'un traité général dans ce domaine sont encore loin. En temps voulu, il pourrait être avantageux d'envisager des règles limitées, par exemple sur la diligence raisonnable et l'interdiction d'attaquer une infrastructure critique, avant d'aborder des principes généraux.