Communiqué de presse

Pour mieux les prévenir, la France doit aussi s’appuyer sur celles et ceux qui découvrent des vulnérabilités avant qu’elles ne soient exploitées. Lorsqu’ils agissent de bonne foi, dans un périmètre précis et de manière proportionnée, les hackers éthiques doivent pouvoir signaler une faille sans risquer d’être traités comme des cybercriminels.

Cette mobilisation ne date pas d’hier. Depuis 2023, Nathalie Delattre travaille avec les hackers éthiques pour mieux reconnaître et protéger ceux qui détectent nos vulnérabilités. Elle a porté leurs propositions auprès du Gouvernement et de l’ANSSI, avant que le Parti Radical ne relaie cette démarche dès le début de 2024.

« La cybersécurité est aujourd’hui le premier front de la sécurité nationale. Nous ne pouvons plus défendre nos hôpitaux, nos services publics et nos infrastructures essentielles avec un cadre juridique dépassé. Protéger et encadrer les hackers éthiques de bonne foi, c’est doter la République d’un bouclier indispensable pour anticiper la menace plutôt que d’en subir les dégâts », déclare Pierre PERPILLOU, Secrétaire National à la Sécurité du Parti Radical.

L’ANSSI est un tiers de confiance indispensable. Mais le cadre actuel reste trop centralisé : les garanties prévues par la loi sont essentiellement attachées au signalement auprès de l’Agence. Son expertise doit être complétée par un regard extérieur et indépendant, en particulier lorsque les vulnérabilités concernent les systèmes de l’État. L’ANSSI ne doit pas être contournée, mais elle ne peut rester l’unique porte d’entrée ni l’unique regard porté sur le traitement des alertes.

Le Parti Radical propose quatre mesures :

1) Créer un statut protecteur pour les hackers éthiques. La loi doit préciser les conditions de bonne foi, de nécessité et de proportionnalité, protéger les signalements responsables et permettre de saisir l’organisme concerné, l’ANSSI ou un tiers de confiance indépendant.
2) Déployer des programmes de « bug bounty » dans les administrations. Les services publics les plus exposés doivent organiser des programmes encadrés de recherche et de signalement de vulnérabilités, avec un périmètre, des règles, des délais de réponse et une rémunération définis à l’avance.
3) Créer une réserve citoyenne cyber interministérielle. Complémentaire des réserves de cyberdéfense existantes, elle réunirait des professionnels du numérique, des chercheurs, des réservistes et des hackers éthiques mobilisables rapidement pour aider un service public victime d’une attaque.
4) Faire de la prévention cyber une obligation stratégique de l’État. Les administrations, les collectivités et les infrastructures les plus sensibles doivent faire tester régulièrement leurs systèmes par des tiers qualifiés, puis rendre compte des corrections engagées.

Un collège pluraliste, extérieur à l’ANSSI, assurerait le suivi de ces dispositifs. Il réunirait notamment des juristes, des chercheurs, des représentants des collectivités et de la communauté des hackers éthiques. Il pourrait être saisi en cas de désaccord sur le traitement d’un signalement et publierait chaque année un bilan public. L’ANSSI y apporterait son expertise sans en assurer seule le pilotage.

Comme l’indique Nathalie DELATTRE, Présidente du Parti Radical : « Nous avons les talents. Nous avons les compétences. Organisons-les avant la prochaine attaque. La souveraineté numérique, c’est une capacité simple : détecter plus tôt, anticiper plus vite et riposter plus fort. »

Reconnaître les hackers éthiques ne revient pas à instaurer un droit général à l’intrusion. Il s’agit de fixer des limites claires et de protéger celles et ceux qui les respectent pour agir au service de l’intérêt général.