Cybersécurité européenne : oui mais non !

Sans annonce excessive et dans une relative discrétion, l'Alliance atlantique est en train de franchir une étape supplémentaire dans la mission qui lui a été confiée dans le cyberespace. C'est sous l'impulsion du NC3A, l'une des agences les plus importantes de l'OTAN, que la MN Cyber Defence
Capability Development Initative (Initiative de Développement d'une Capacité Multinationale de Cyberdéfense) vient d'être lancée.

Une présentation détaillée est disponible ici mais, avant de revenir une prochaine fois sur le contenu de ce document, c'est un tout autre rapprochement que cette information provoque. Il s'agit d'une interrogation, dont ce blog se fait l'écho depuis le sommet de Lisbonne en novembre 2010, quant aux initiatives concernant la cybersécurité en Europe.

Une information, relayée par Cidris, concerne la création d'une nouvelle agence européenne, en complément de l'ENISA. Cette nouvelle agence, qui sera chargée de la gestion opérationnelle des Systèmes d'Information, devrait traiter en particulier du volet stratégique lié aux infrastructures critiques.

Il me semble que la tendance que j'anticipe depuis un moment soit en train de se confirmer puisque le siège de cette nouvelle agence se trouve à Tallinn. C'est aussi dans la capitale  de l'Estonie que se trouve, entre autre, le NCIRC qui n'est autre que le CERT de l'OTAN. Ou plutôt une sorte de CERT++ puisque doté de capacités offensives renforcées.

Faut-il y voir une incroyable coïncidence ? Évidemment non. Il va sans dire que la responsabilité de chacun des pays de l'Union européenne en matière de cybersécurité est en train de devenir discrètement consubstantielle à l'OTAN. Ce n'est pas forcément ni tout noir ni tout blanc puisque chaque gouvernement est parfaitement informé des enjeux et des implications d'un tel mouvement.

On peut cependant se poser trois questions simples :

1) Est-ce que chaque citoyen européen est (au moins) informé de ces évolutions avant  d'être entièrement mis devant le fait accompli ?

2) La nouvelle agence européenne disposera-t-elle de réels pouvoirs (voire contre-pouvoirs) ou sera-t-elle une simple chambre d'enregistrement ?

2) Est-il normal que les États-Unis disposent quasi-directement des leviers de défense et peut-être d'attaque concernant la cybersécurité européenne ? Autrement dit, n'y-a-t-il  pas un risque majeur d'une certaine perte de souveraineté ?

Si le non est majoritaire à ces trois questions, c'est qu'il y a comme un problème...