Arrangement de Wassenaar
Régime multilatéral de contrôle des exportations d'armes conventionnelles et de biens à double usage, créé en 1996, qui a inscrit en 2013 les logiciels d'intrusion et la surveillance des réseaux sur ses listes.
L'arrangement de Wassenaar a été créé en 1996 pour succéder au comité de coordination qui contrôlait, pendant la guerre froide, les exportations de technologies occidentales vers le bloc soviétique. Il réunit une quarantaine d'États, qui s'accordent sur des listes de biens à contrôler, armes conventionnelles et biens à double usage, et les transposent chacun dans leur droit ; dans l'Union européenne, ces listes sont reprises par le règlement sur les biens à double usage. L'arrangement ne crée aucune interdiction par lui-même : il harmonise ce que chaque État soumet à licence. En 2013, il a ajouté à ses listes les logiciels d'intrusion et les systèmes de surveillance des réseaux, pour encadrer le commerce des outils d'espionnage vendus à des régimes autoritaires. Le texte a déclenché une controverse dans la communauté de la sécurité : rédigé largement, il risquait de soumettre à licence les outils de test d'intrusion et l'échange de vulnérabilités entre chercheurs, et sa transposition américaine a dû être revue. Russie comprise parmi les participants, l'arrangement fonctionne par consensus, ce qui bloque son évolution depuis 2022. Pour l'assurance, il intéresse la conformité des entreprises de cybersécurité exportatrices, et la frontière, centrale en cyber, entre outil défensif et arme offensive.
Cas d'école : une jeune entreprise française de tests d'intrusion veut vendre sa plateforme à un client du Golfe. Son conseil vérifie si le logiciel relève des catégories issues de Wassenaar reprises dans le règlement européen ; une licence est nécessaire, et son assureur de responsabilité exclut les ventes réalisées sans elle.
Wassenaar, Wassenaar Arrangement, contrôle des exportations de logiciels d'intrusion
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.