Article 5 du traité de l'Atlantique Nord et cyberattaques

L'article 5 du traité de l'Atlantique Nord de 1949 stipule qu'une attaque armée contre un ou plusieurs Alliés est considérée comme une attaque contre tous. Il n'a été invoqué qu'une fois, après les attentats du 11 septembre 2001. Au sommet du pays de Galles en 2014, les Alliés ont déclaré que la cyberdéfense relevait de la défense collective et qu'une cyberattaque pouvait conduire à l'invocation de l'article 5, la décision étant prise au cas par cas. En 2016, ils ont reconnu le cyberespace comme un domaine d'opérations, au même titre que la terre, la mer et l'air. En 2021, ils ont ajouté que des activités cyber malveillantes cumulées pouvaient, dans certaines circonstances, être considérées comme équivalant à une attaque armée. L'Alliance entretient volontairement l'ambiguïté sur le seuil, pour ne pas indiquer aux adversaires jusqu'où ils peuvent aller. Pour l'assurance, cette doctrine intéresse directement les clauses de guerre. Une invocation de l'article 5 après une cyberattaque serait un signal fort de l'existence d'un conflit armé, et donc de l'application d'une exclusion de guerre. Mais l'ambiguïté volontaire des États rencontre l'exigence de précision des contrats : une clause qui dépend d'une qualification politique, décidée par consensus entre trente-deux gouvernements, transfère au souscripteur une incertitude que personne ne peut modéliser.