Manuel de Tallinn
Travail d'experts, non contraignant, qui expose comment le droit international existant s'applique aux opérations cyber, et la référence la plus citée quand un contrat doit dire si une attaque relève de la guerre.
Le Manuel de Tallinn est une étude rédigée par un groupe international d'experts juridiques réuni à l'initiative du centre d'excellence de cyberdéfense coopérative de l'OTAN, installé à Tallinn. Sa première édition, parue en 2013, traitait du droit applicable à la guerre cyber ; la seconde, publiée en 2017 sous le titre Tallinn Manual 2.0, l'étend aux opérations cyber menées en temps de paix et compte 154 règles. Aucune n'a force obligatoire : le manuel décrit l'état du droit tel que ses auteurs le lisent, et plusieurs États en contestent des passages. Son apport tient à trois notions que l'assurance emprunte sans toujours le dire. L'emploi de la force s'apprécie par l'échelle et les effets de l'opération, et non par le moyen employé. L'agression armée, qui ouvre la légitime défense, suppose un seuil de gravité plus élevé. Et la responsabilité d'un État peut être engagée pour des actes commis par des acteurs non étatiques qu'il dirige ou contrôle. Pour le souscripteur, le manuel ne tranche pas un sinistre, puisqu'une police se lit selon son droit applicable, mais il fournit le vocabulaire dans lequel les clauses d'exclusion de guerre cyber ont été pensées et dans lequel les juges seront invités à les lire.
NotPetya, en 2017, a été attribué au renseignement militaire russe et a causé des dommages estimés à dix milliards de dollars, sans qu'aucun État ne le qualifie d'agression armée au sens du manuel. C'est précisément cet écart entre une opération étatique destructrice et une guerre au sens juridique qui a permis à Merck d'obtenir en 2023, devant la cour d'appel du New Jersey, que l'exclusion d'acte hostile de sa police dommages ne s'applique pas.
Tallinn Manual 2.0, droit international des opérations cyber, international law applicable to cyber operations
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.