Diligence due des États dans le cyberespace
Principe de droit international selon lequel un État ne doit pas laisser sciemment son territoire servir à des opérations contraires aux droits d'autres États. Il vise l'État qui tolère les groupes de rançongiciel sans les commander.
Dans l'arrêt du détroit de Corfou, en 1949, la Cour internationale de justice pose la règle : un État ne doit pas laisser sciemment son territoire servir à des actes contraires aux droits d'autres États. L'Albanie n'avait pas posé les mines qui avaient frappé les destroyers britanniques, mais elle savait qu'elles étaient là. Le Manuel de Tallinn 2.0, publié en 2017, transpose la règle au cyberespace dans ses règles 6 et 7. Le rapport du groupe d'experts gouvernementaux de l'ONU de 2015 en fait une norme de comportement responsable, sans valeur obligatoire. Tout le monde n'est pas d'accord : plusieurs États, dont les États-Unis et le Royaume-Uni, y voient une norme souhaitable plutôt qu'une obligation déjà établie. Le principe compte pour l'assurance parce qu'il nomme exactement la zone grise que les clauses de guerre ne couvrent pas. Un groupe de rançongiciel qui travaille depuis un pays qui le laisse faire ne mène pas une cyber-opération « pour le compte » d'un État au sens des LMA 5564 à 5567. Il profite d'une tolérance, et la tolérance n'est pas une instruction. L'assureur qui veut exclure doit montrer le commandement, pas le laisser-faire.
Exemple construit : une clinique belge paie les frais d'un rançongiciel opéré depuis un pays qui n'a jamais poursuivi le groupe, malgré trois demandes d'entraide. L'assureur évoque l'exclusion étatique. Le dossier ne montre aucune instruction, aucun financement, aucune cible d'intérêt pour cet État. Il paie : la carence de l'État engage peut-être sa responsabilité internationale, pas l'exclusion du contrat.
diligence due cyber, obligation de diligence des États, principe de diligence due
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.