Dans un contexte de cyberattaques se maintenant à un niveau élevé, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a vu ses prérogatives renforcées par l’adoption mercredi 7 juin par l’Assemblée nationale de la loi de programmation militaire (LPM) 2024-2030.
La LPM embarque son lot de mesures de protection contre la menace cyber. Une loi « de rénovation et de transformation », défend Sébastien Lecornu, ministre des armées, car actuellement l’Anssi peut seulement obtenir des informations sur le trafic réseau de machines suspectes : des données jugées « très limitées ». Le projet de loi a été l’occasion de revoir des mesures introduites dans la précédente LPM que l’Anssi avait jugées insuffisantes. Parmi elles, les dispositions relatives aux sondes et à la recherche de marqueurs techniques.
La précédente loi permettait en effet aux fournisseurs d’accès à internet (FAI) qui le souhaitaient d’installer des outils de détection de menaces sur leur réseau. En cas de menace détectée, ils pouvaient en informer l’Anssi, qui, s’il s’agissait d’une attaque grave visant « un acteur stratégique », pouvait à son tour installer ses outils de détection chez le FAI concerné. L’article 35 de la nouvelle LPM accélère le processus, puisqu’il rend obligatoire la mise en place de sondes et de marqueurs sur les réseaux des FAI, permettant à l’agence d’obtenir la copie des données réseau.
« Le texte vient autoriser l’accès aux données et métadonnées » par l’Anssi même sans être préalablement saisie par les FAI, regrette Tom Barthe membre de la Fédération des fournisseurs d’accès à Internet associatifs. Le gouvernement justifie cette extension par la « fréquente utilisation par des attaquants de serveurs compromis, loués par des hébergeurs étrangers auprès d’opérateurs de centre de données basés sur le territoire national ».
Vers un blocage des noms de domaine administratif
L’article 32 de la loi entérine la possibilité pour l’Anssi de prescrire des mesures de filtrage de noms de domaine (DNS) lorsqu’il est constaté qu’une menace est « susceptible de porter atteinte à la sécurité nationale ». Concrètement, il s’agit pour l’Anssi de demander à un fournisseur de DNS la suspension, le transfert du nom de domaine vers un serveur sécurisé ou le blocage de ces sites – blocage qui se fera de façon administrative, c’est-à-dire sans passer par une décision du juge.
La question de ce blocage administratif fait craindre à certains une remise en cause de l’Internet ouvert. Parmi eux, Me Alexandre Archambault, avocat au barreau de Paris et membre du think tank Renaissance numérique. Pour le juriste spécialisé dans le droit numérique, « même si on a un cadre réglementaire qui tient compte des menaces nouvelles, la loi vient rompre le contrat moral entre les services de l’Etat et l’office du juge ». Ces nouveaux pouvoirs d’injonction de l’Anssi font craindre à Me Archambault les « erreurs humaines » de fonctionnaires qui « sous couvert d’efficacité, se passeraient de la décision d’un juge ».
Enfin, la nouvelle LPM introduit aussi une obligation pour les éditeurs de logiciels victimes d’un incident informatique ou ayant découvert une vulnérabilité sur un produit utilisé en France : ils devront signaler cet incident à l’Anssi et aux utilisateurs de ces logiciels.
Au terme de son adoption facile en première lecture à l’Assemblée nationale, le texte va être examiné au Sénat, le gouvernement tablant sur une adoption définitive avant le 14 juillet.