Le Manuel de Tallinn 2.0

Le Manuel de Tallinn 2.0 sur le droit international applicable aux cyber-opérations (Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations) a été publié en février 2017. Cette publication, rédigée par un groupe de 19 experts du droit international sous les auspices du Centre d’excellence de l’OTAN pour la cyber défense en coopération (dont le siège se trouve à Tallinn, Estonie), est une initiative dépourvue de caractère contraignant prise en vue de codifier l’application du droit international au cyberespace. Il convient cependant de noter que le manuel représente le point de vue de ses auteurs (et non la position officielle de l’OTAN) et que les experts ne sont pas parvenus à se mettre d’accord sur la façon dont le droit international s’applique à des situations précises (par exemple, les cyberattaques russes qui auraient été lancées en 2016 contre des serveurs du Comité national démocrate aux États-Unis). À cet égard, M. Kozik a souligné lors de l’audition de novembre 2017 que le droit international humanitaire interdit les attaques directes contre les populations civiles et les objectifs civils mais que son application n’exclut pas tous les types de cyberactions visant ces populations et objectifs. La majorité des auteurs du Manuel 2.0 de Tallinn étaient d’avis qu’il fallait qu’une cyberagression cause au moins des dommages fonctionnels (par exemple une panne d’électricité) pour qu’elle soit considérée comme une « attaque » en sens du droit international humanitaire. Le Comité international de la Croix-Rouge (CICR) estime que la définition de « l’attaque » donnée par le droit international humanitaire s’applique aux cyber attaques, mais cette opinion fait des controverses parmi les juristes internationaux36. En outre, il n’est pas facile de savoir dans quelles situations un État peut invoquer le droit de légitime défense en cas de cyberattaque. Les États doivent être au moins autorisés à prendre toutes les mesures proportionnées nécessaires pour éviter les conséquences préjudiciables continues ou imminentes d’une cyberattaque.