La cybersécurité, le renseignement et la protection des intérêts fondamentaux de la nation forment un domaine où des obligations techniques exigeantes côtoient des régimes de contrôle particulièrement sensibles pour les libertés. L'expertise juridique y porte sur la mise en conformité des opérateurs et sur les garanties qui entourent les techniques de recueil de renseignement, dans une stricte neutralité à l'égard des choix de sécurité nationale.

Ce que recouvre cette politique publique

Cette politique publique réunit les régimes de protection des systèmes d'information sensibles et les cadres applicables au renseignement et au secret. Elle s'organise autour de plusieurs domaines d'intervention :

• la cybersécurité des opérateurs essentiels et importants ;

• la cyberdéfense et la sécurité des systèmes d'information sensibles ;

• le renseignement et les techniques de recueil ;

• la protection du secret de la défense nationale ;

• la lutte contre les ingérences et la protection des intérêts fondamentaux.

Les défis à dix ans

L'élévation générale des obligations de cybersécurité marque la décennie. La directive européenne dite NIS 2 (directive (UE) 2022/2555 du 14 décembre 2022) élargit considérablement le périmètre des entités soumises à des obligations de sécurité et de notification d'incidents. Sa transposition en droit français est portée par un projet de loi relatif à la résilience des infrastructures critiques et à la cybersécurité, encore en cours d'examen parlementaire, qui fera entrer de nombreux opérateurs, publics et privés, dans un régime de conformité plus exigeant dont la mise en oeuvre s'étendra sur plusieurs années.

L'encadrement des techniques de renseignement reste un enjeu juridique de premier plan. Le cadre légal du renseignement (loi n° 2015-912 du 24 juillet 2015) soumet le recours à ces techniques à un régime d'autorisation et de contrôle, associant une autorité administrative indépendante et le juge administratif. L'évolution des outils techniques continuera d'alimenter un contentieux et un débat sur l'équilibre entre efficacité opérationnelle et garanties des droits.

La protection des intérêts fondamentaux de la nation face aux ingérences étrangères appelle des dispositifs juridiques en consolidation. La prévention des captations de technologies sensibles, la protection du secret et la sécurisation des chaînes d'approvisionnement numériques constituent des champs où les obligations se précisent et où l'accompagnement juridique des opérateurs concernés gagne en importance.

Comment nous intervenons

À titre illustratif et non exhaustif, notre intervention se décline selon trois modes complémentaires.

Conseil préventif

• Diagnostic des obligations d'un opérateur nouvellement soumis au régime de cybersécurité issu de la transposition de la directive NIS 2.

• Cadrage des obligations de protection du secret de la défense nationale pour une entreprise traitant d'informations classifiées.

Contentieux

• Assistance d'un opérateur dans le suivi des suites d'un incident de cybersécurité et de ses obligations de notification.

Structuration

• Élaboration d'une politique interne de sécurité des systèmes d'information et de gouvernance des incidents, conforme au cadre applicable.