Un conflit armé non international

Dans le cadre de l’étude de l’application du jus ad bellum aux moyens et méthodes de combat cybernétiques, nous avons évoqué le fait que la force cybernétique et les cyberattaques sont le monopole des États176. Cette position n’est pas incompatible avec le fait que, dans le cadre d’un conflit armé non international, un groupe armé puisse recourir à la force cybernétique : elles poursuivent des objectifs différents.

Les conflits armés non internationaux sont traités par l’article 3 commun aux Convention de Genève177. Cet article constitue une base conventionnelle minimale à l’encadrement des conflits armés non internationaux. Cette base est complétée par le deuxième protocole additionnel aux conventions de Genève qui a pour but de développer et de compléter l’article 3178. Les conflits armés non internationaux peuvent opposer un État à un groupe armé ou des groupes armés entre eux

À titre d’exemple, on peut évoquer le cas de Stuxnet. Stuxnet est une cyberopération autonome qui a été

175

déployée contre l’Iran sans opération cinétique concomitante. Elle avait pour objectif d’empêcher le fonctionnement de certaines centrales iraniennes en causant des dommages physiques aux installations. Cet objectif a été rempli et cette opération s’élève donc au rang de recours à la force armée. S’il avait été possible d’attribuer l’opération à un État de manière certaine, on aurait pu considérer que l’opération Stuxnet constituait le commencement d’un conflit armé international.

Qu’ils agissent par eux même ou par le biais d’un groupe non étatique.

176

Article 3 commun, Conventions de Genève, Genève, 12 aout 1949.

177

Protocole additionnel aux conventions de Genève (Protocole II), Genève, 8 juin 1977.

sur le territoire d’un État. Il existe deux catégories de conflits armés non internationaux : ceux de basse intensité et ceux de haute intensité. Les conflits armés de basse intensité sont concernés uniquement par l’article 3 commun aux convention de Genève là où les conflits armés de haute intensité mettent en jeu l’application de l’article 3 et du protocole. Encore une fois, on peut aisément envisager un confit armé non international traditionnel au cours duquel le groupe armé fait usage de la force cybernétique. La question est davantage de savoir si les actions purement et uniquement cybernétiques d’un groupe non étatique peuvent amener à une qualification de conflit armé non international.

Pour être qualifiée de conflit armé non international, une situation doit montrer un affrontement armé d’une certaine intensité et un degrés d’organisation minimum pour les parties au conflit179.

Le Tribunal pénal international pour l’ex-Yougoslavie a été amené à se poser la question des indices attestant du degrés d’organisation d’un groupe armé. Il a notamment été fait référence à l’existence d’une véritable chaine de commandement et à la capacité de planifier et de mener des opérations d’une certaine envergure et la capacité à les mener de concert180. Le degrés d’organisation du groupe doit être suffisant pour qu’il ait la « capacité de faire respecter les

obligations fondamentales découlant du droit international humanitaire »181. Les groupes visés traditionnellement par le jus in bello et par la justice pénale internationale sont des groupes

Tribunal pénal international pour l’ex-Yougoslavie, Le procureur contre Dusko Tadić, Arrêt relatif à

179

l’appel de la défense concernant l’exception préjudicielle d’incompétence, 2 octobre 1995, para. 70.

Tribunal pénal international pour l’ex-Yougoslavie, Le Procureur contre Boskoski, 10 juillet 2008, paras.

180

199-203. V. aussi : Tribunal pénal international pour l’ex-Yougoslavie, Le Procureur contre Limaj, 30 novembre 2005, paras. 90-134 ; Tribunal pénal international pour l’ex-Yougoslavie, Le Procureur contre Haradinaj, 3 avril 2008, para. 60.

C. DROEGE, « Sortez de mon « Cloud »: la cyberguerre, le droit international humanitaire et la

181

« physiques », qui ont un rattachement évident à l’espace tangible : des bases, des troupes armées traditionnelles et des activités militaires cinétiques. La question est alors de savoir si un groupe non étatique totalement « immatériel » peut constituer un groupe armé organisé au sens de la jurisprudence citée et du jus bello. D’un point de vue opérationnel, on peut très bien imaginer un groupe dont l’organisation virtuelle satisfait à certains critères dégagés par la pratique : on peut imaginer un groupe structuré et organisé autour d’une hiérarchie formelle - bien que virtuelle - avec une division des tâches et un haut degré de coordination dans les actions qu’il entreprendrait182. Dans ce cadre, le fait que les individus ne soient pas réunis physiquement, voire même le fait qu’ils ne se soient jamais rencontrés et ne connaissent par leur identité respective n’est pas un frein à la qualification de conflit armé non international183. En revanche, la nécessité de pouvoir imposer les règles du jus in bello aux membres du groupe semble être le critère d’achoppement pour permettre une telle qualification en pareille situation184. On semble en effet considérer que la mise en place d’un cadre disciplinaire qui permettrait d’imposer le respect de ces règles n’est pas réaliste dans le cadre d’un groupe purement virtuel. En effet, la capacité d’une chaine de commandement virtuelle à sanctionner de manière efficace un membre qui se serait rendu coupable d’une violation du jus in

bello semble relativement limitée par le choix des possibilités. On peut imaginer différents types de

sanctions, comme la mise hors de service de l’unité informatique du membre du groupe, mais ces mesures sembles insuffisantes. À ce niveau, la nécessité de pouvoir contraindre physiquement semble toujours importante.

Par exemple, on peut imaginer un groupe de hackers qui serait structuré en différents groupes

182

opérationnels tous soumis aux ordres d’une chaine de commandement supérieure et qui aurait la capacité d’opérer de concert contre un État.

M.N.SCHMITT (dir.), Tallinn Manual 2.0 on the International Law Applicable to Cyber operations »,

183

Cambridge University Press, 2 février 2017, règle 83, para. 13.

Ibid, para. 14. V. aussi C. DROEGE, « Sortez de mon « Cloud »: la cyberguerre, le droit international

184

humanitaire et la protection des civils », dans Revue internationale de la Croix-Rouge, vol. 94, n°886, 2012, p. 421.

Concernant le critère d’intensité, on peut de nouveau citer la jurisprudence du Tribunal pénal international pour l’ex-Yougoslavie. Différents indices ont été dégagés : le recours à la force militaire plutôt qu’a la force de police, la gravité et la multiplicité des affrontements, le nombre de victimes, les moyens mis en oeuvre dans la conduite des opérations, l’ampleur des destructions sont notamment des critères significatifs permettant d’établir si l’intensité du conflit à atteint le seuil requis pour une qualification de conflit armé non international185. Cordula Droege considère que la nature des cyberopérations exclut l’appréciation de certains de ces critères, comme ceux d’affrontements armés, de déploiement de la force militaire ou de l’utilisation d’armes lourdes186. Partant, elle considère que ce sont les « conséquences des cyberopérations à elles seules qui

seraient assez graves pour atteindre le degré d’intensité requis »187. Cette position n’empêche pas de considérer que l’intensité requise pour une qualification de conflit armé non international soit atteinte, mais elle demeure réductrice. L’affrontement armé entre cybercombattants existe, même s'il est immatériel. Le déploiement de la force militaire cybernétique ne s’effectue certes pas dans le plan physique, mais il existe bien dans l’environnement cybernétique. Enfin, il est bel et bien envisageable de considérer certaines armes cybernétiques comme des armes lourdes, en contraste avec d’autres armes cybernétiques au potentiel destructeur moins marqué.

In fine, les deux critères retenus pour attester de l’existence d’un conflit armé non

international sur le fondement des seules cyberopérations semblent pouvoir être remplis en certaines situations. Le critère de l’organisation semble poser plus de difficultés que celui de l’intensité mais, le cas échéant, un groupe non étatique suffisamment organisé pour remplir ce critère et qui opère

Tribunal pénal international pour l’ex-Yougoslavie, Le Procureur contre Boskoski, 10 juillet 2008, paras.

185

177-178. V. aussi : Tribunal pénal international pour l’ex-Yougoslavie, Le Procureur contre Limaj, 30 novembre 2005, paras. 135-170 ; Tribunal pénal international pour l’ex-Yougoslavie, Le Procureur contre Haradinaj, 3 avril 2008, para. 49.

C. DROEGE, « Sortez de mon « Cloud »: la cyberguerre, le droit international humanitaire et la

186

protection des civils », dans Revue internationale de la Croix-Rouge, vol. 94, n°886, 2012, p. 422. Ibid.

d’une manière suffisamment régulière et violente pour remplir celui de l’intensité pourrait amener à une qualification de conflit armé non international.

Bien que la pratique ne montre actuellement aucun exemple validant ces deux hypothèses, l’application des critères de qualification classiques aux seules cyberopérations ne semble pas exclure la possibilité de qualifier une situation de conflit armé - international ou non international. Toutefois, la même difficulté récurrente semble venir assombrir cette possibilité : les difficultés d’attribution rendent très improbable de valider l’hypothèse d’un conflit armé qualifié sur la simple base de cyberopérations.

Après avoir déterminé qu’il était possible mais hautement hypothétique de pouvoir qualifier une situation de conflit armé sur la base de simples cyberopérations, nous allons nous intéresser à d’autres opérations de qualifications.