Cyber allemand : la compétence sans le mandat

Mots-cléscyberdéfense activeAllemagneBNDBKA

Le gouvernement fédéral allemand a adopté, en conseil des ministres en août 2025, un projet de loi visant à doter l'Office fédéral de la sécurité des technologies de l'information, la police fédérale et l'Office fédéral de police criminelle de nouveaux outils de cyberdéfense active, incluant la possibilité de rediriger un trafic de données malveillant, de lire, modifier ou supprimer des données sur des systèmes compromis, voire d'interdire l'exploitation de systèmes jugés dangereux. Ce texte, présenté par ses promoteurs comme une réponse nécessaire à des cyberattaques toujours plus sophistiquées visant les infrastructures critiques et les institutions publiques allemandes, reste à ce jour bloqué devant le Parlement, son examen étant désormais attendu en 2026.

Le blocage ne porte pas sur l'opportunité technique de telles mesures, largement soutenue par la nouvelle coalition gouvernementale, mais sur une question institutionnelle plus profonde : quelle agence doit concrètement détenir la capacité d'intervenir dans les systèmes d'un attaquant, le Service fédéral de renseignement, le BND, disposant du savoir-faire technique nécessaire mais pas du mandat exécutif pour agir sur le territoire national, tandis que les agences civiles compétentes sur le plan intérieur ne disposent, jusqu'à présent, ni de l'autorité légale ni de la capacité technique pour pénétrer des réseaux adverses.

Une doctrine constitutionnelle a délibérément séparé le savoir-faire du mandat d'agir

Cette impasse institutionnelle n'est pas un simple retard bureaucratique : elle découle directement du Trennungsgebot, le principe de séparation qui interdit en Allemagne la concentration, au sein d'une même organisation, des pouvoirs de renseignement et des pouvoirs de police exécutive. Ce principe constitutionnel, institué après la Seconde Guerre mondiale précisément pour empêcher la reconstitution d'un appareil de sécurité intérieure aussi centralisé et incontrôlable que l'avait été la Gestapo, répartit délibérément les compétences entre des organisations distinctes qui ne peuvent, en principe, ni partager leurs pouvoirs opérationnels ni fusionner leurs capacités d'action.

Cette architecture, conçue pour prévenir un abus de pouvoir précis observé dans l'histoire allemande, produit aujourd'hui un effet secondaire directement visible dans le débat sur la cyberdéfense active : le BND, seul à détenir la compétence technique de pénétration de systèmes informatiques développée pour ses missions de renseignement extérieur, ne dispose légalement d'aucun mandat pour intervenir sur des infrastructures ciblant le territoire national, tandis que le BKA et le BSI, seuls compétents pour agir à l'intérieur du pays, doivent développer de zéro une capacité technique que d'autres services de l'État possèdent déjà.

Élargir les pouvoirs de cyberdéfense revient à desserrer une protection pensée contre un abus précis

Les critiques exprimées par les experts sécuritaires du parti des Verts, qui redoutent la création d'une nouvelle « boîte noire du pouvoir d'État avec un contrôle démocratique fragile », doivent être comprises à la lumière de cette histoire institutionnelle spécifique : ce que le projet de loi propose n'est pas simplement l'octroi d'un nouveau pouvoir technique, mais l'assouplissement d'une architecture de séparation qui constituait, depuis l'origine, une garantie délibérée contre la concentration du pouvoir de surveillance et d'intervention entre les mains d'une administration unique.

Ce débat illustre ainsi une tension différente de celle observée dans d'autres démocraties occidentales confrontées à des choix similaires en matière de cyberdéfense active : là où d'autres pays discutent principalement de l'efficacité opérationnelle d'un pouvoir de riposte numérique, l'Allemagne discute simultanément de la compatibilité de ce pouvoir avec une architecture constitutionnelle qui a fait, depuis des décennies, de la fragmentation délibérée des capacités de sécurité un principe de gouvernance plutôt qu'un obstacle accidentel à corriger.

L'issue de ce débat déterminera si l'Allemagne rejoint le modèle intégré de ses partenaires occidentaux

Le sort de cette réforme du BND, dont l'adoption est désormais espérée par la coalition gouvernementale au cours de l'année 2026, déterminera si l'Allemagne rejoint le modèle suivi par plusieurs de ses partenaires occidentaux, où une même chaîne de commandement peut mobiliser à la fois le renseignement technique et une capacité d'intervention active contre une cyberattaque en cours, ou si elle choisit de maintenir sa fragmentation institutionnelle historique au prix d'une capacité de réponse plus lente face à des attaquants dont les capacités, elles, ne connaissent aucune séparation de ce type.

Ce que l'observateur extérieur ne peut établir avec certitude est si le compromis institutionnel qui finira par émerger de ce débat parviendra à préserver l'esprit du Trennungsgebot tout en comblant l'écart opérationnel actuel, ou si la pression sécuritaire croissante finira par imposer un rapprochement des capacités qui, sur le fond, réduirait la portée pratique d'un principe conçu pour rester permanent plutôt que révisable au gré des urgences technologiques successives.

Sources documentaires

Nasser AL SABRI

Journaliste indépendant

Analyste en géopolitique, anthropologie politique et relations internationales.

X Twitter geopolo.com

Cyber allemand : la compétence sans le mandat

Une doctrine constitutionnelle a délibérément séparé le savoir-faire du mandat d'agir

Élargir les pouvoirs de cyberdéfense revient à desserrer une protection pensée contre un abus précis

L'issue de ce débat déterminera si l'Allemagne rejoint le modèle intégré de ses partenaires occidentaux

Sources documentaires

BND

BfV

MAD

ASD

Cluster Chine

Cluster États-Unis

Cluster Russie

Cluster Iran