Combien faudra-t-il d’attaques, et de quelle ampleur, pour que l’Union européenne accélère le déploiement d’une stratégie musclée de cyber-résilience? La question n’est pas posée aussi frontalement, mais mardi matin, dans les locaux de Securitymadeinlu, c’est bien ce que veut dire la directrice des affaires gouvernementales de Microsoft pour la Belgique et le Luxembourg, Lorelien Hoet.
«Il y a trop peu de discussions politiques, surtout au niveau européen», dit-elle à l’occasion du Cybersecurity Breakfast. Depuis l’attaque des serveurs estoniens en 2007 – qui vaut au Luxembourg d’accueillir la première e-embassy au monde –, une vingtaine d’autres attaques commanditées par des États étrangers ont touché des intérêts européens, rappelle-t-elle dans une typologie des attaques.
Trois niveaux d’action
Pour l’experte belge invitée par Pascal Steichen, la réponse doit s’écrire sur trois niveaux: l’hygiène numérique individuelle et collective, les coopérations – comme c’est le cas avec le Cybersecurity Tech Accord lancé en avril 2018 et signé par 100 sociétés dont EBRC au Luxembourg ou le Charter of Trust de Siemens – et une véritable politique européenne.
Cinq ans après le cadre politique d’une cyberdéfense européenne, l’Union européenne a vu les conclusions adoptées en février 2015, une boîte à outils lancée en juin 2017 et un plan d’action créé pour éviter les interférences étrangères lors des prochaines élections européennes en décembre dernier.
Le Luxembourg sera le dernier État membre à adopter , ce mercredi, à la Chambre des députés.
87% des citoyens ont peur du cybercrime
«87% des citoyens européens ont peur du cybercrime», reconnaît la députée européenne (Déi Gréng), qui a pris le relais de entré au gouvernement. «C’est un challenge pour l’Union européenne! Mais il est temps d’agir!»
«80% des PME n’ont pas conscience des risques» associés à la cybercriminalité, renchérit son adversaire libéral Loris Meyer.
Pour Christophe Hansen (CSV), avant même d’évoquer une régulation plus contraignante, ou fruit d’une collaboration avec les acteurs privés des technologies, il faudrait suivre l’avis de la Cour des comptes de l’Union européenne. «En mars, les sages faisaient remarquer que ce sujet ne bénéficiait pas d’un budget pour mettre en place une coordination et une stratégie.»
Pas de budget européen pour la cyberdéfense
en date du 19 mars, la Cour des comptes signale que les États-Unis dépensent chaque année 21 milliards de dollars pour la cybersécurité, là où l’Europe parvient péniblement à investir 2 milliards.
Le député européen pointe aussi la nécessité de miser massivement sur l’éducation, individuelle ou même des PME. «C’est comme la déclaration d’impôts. La première fois que vous la remplissez, tout a l’air si compliqué! Mais quand quelqu’un vous a expliqué, cela n’est plus si difficile!»
Si tout le monde autour de la table était d’accord avec ce volet, Tilly Metz a insisté sur les outils déjà disponibles en Europe pour promouvoir cette éducation, comme Erasmus pour former les jeunes à l’hygiène numérique ou encore le Fonds social européen pour favoriser l’inclusion numérique.
80% des entreprises de l’UE attaquées
Surgit un autre problème lorsque la députée européenne des Verts évoque son smartphone qui lui dit par où passer sans qu’elle n’ait rien demandé, ou le rôle joué par Beesecure lorsqu’elle s’est fait pirater son compte Facebook, comme quand M. Hansen évoque les relations aux pays en dehors de l’UE avec l’accord commercial avec le Japon ainsi que les voitures autonomes et connectées. «Comment assurer la souveraineté européenne des données?», se demande Loris Meyer.
«La politique européenne sur le sujet avance», tempère Mme Hoet à la fin de ce petit-déjeuner. Mais comme dans l’éternelle avance des voleurs sur les policiers, la cybercriminalité a quelques longueurs d’avance: entre 2013 et 2017, son impact économique a été multiplié par cinq. «La croissance escomptée des primes de cyberassurance de trois milliards d’euros en 2018 à 8,9 milliards d’euros en 2020 reflète cette tendance», explique la Cour des comptes européenne. Elle ajoute:«80% des entreprises de l’UE ont subi au moins un incident lié à la cybersécurité en 2016.»