Contre-mesures et rétorsion dans le cyberespace

Face à une cyberopération hostile qui n'atteint pas le seuil de l'agression armée, un État dispose de deux familles de réponses. La rétorsion regroupe les actes inamicaux mais licites : expulsion de diplomates, sanctions économiques, attribution publique, suspension d'une coopération. Les contre-mesures, codifiées par les articles de la Commission du droit international sur la responsabilité de l'État de 2001, sont des actes normalement contraires au droit international, mais rendus licites parce qu'ils répondent à un fait internationalement illicite de l'autre État. Elles doivent viser à faire cesser ce fait, être proportionnées, temporaires, et en principe précédées d'une demande de cessation. Dans le cyberespace, une contre-mesure peut prendre la forme d'une opération contre l'infrastructure de l'attaquant. Le Manuel de Tallinn en discute longuement les conditions, et les États divergent, notamment sur la possibilité de contre-mesures collectives menées au profit d'un allié. Pour l'assurance, l'enjeu est la chaîne de causalité. Une contre-mesure étatique peut elle-même produire des dommages à des entreprises privées, dans l'État visé ou ailleurs, et relever alors de l'exclusion des actes d'État ou de guerre. Le droit de la légitime défense, réservé à l'agression armée, ne se confond pas avec elle : c'est la frontière entre ces régimes qui dit si l'on entre dans un conflit armé.