Sanctions liées aux cyberattaques

Cyberattaques menaçant l'UE ou ses États membres

En mai 2019, le Conseil a établi un cadre de sanctions permettant à l'UE d'imposer des mesures restrictives ciblées visant à décourager et contrer les cyberattaques qui constituent une menace extérieure pour l'UE ou ses États membres.

Plus particulièrement, ce cadre permet pour la première fois à l'UE d'imposer des sanctions à des personnes ou entités qui sont responsables de cyberattaques ou de tentatives de cyberattaques, qui apportent un soutien financier, technique ou matériel à des cyberattaques ou qui sont impliquées d'une autre manière dans de telles attaques.

Ce régime de sanctions couvre les cyberattaques qui ont une incidence significative et ont leur origine ou sont menées à l'extérieur de l'UE, qui utilisent des infrastructures situées en dehors de l'UE, sont menées par des personnes ou entités établies ou opérant en dehors de l'UE ou sont menées avec le soutien de personnes ou d'entités opérant en dehors de l'UE.

Les sanctions comprennent, à l'encontre des personnes, l'interdiction de voyager vers l'UE et, à l'encontre des personnes et entités, le gel des avoirs. En outre, la fourniture de fonds ou de ressources économiques, directement ou indirectement, aux personnes et entités sanctionnées ou à leur profit est interdite.

Le régime de sanctions s'applique actuellement à 19 personnes et à 7 entités et a été prorogé en dernier lieu jusqu'au 18 mai 2027.

Les cyberattaques qui constituent une menace pour les pays de l'UE sont notamment celles qui portent atteinte aux systèmes d'information en ce qui concerne:

• les infrastructures critiques essentielles aux fonctions vitales de la société ou à la santé, à la sûreté, à la sécurité et au bien-être économique ou social des citoyens
• les services nécessaires aux activités sociales et économiques essentielles, en particulier l'énergie, les transports, la banque, la finance, les soins de santé, l'eau potable et les infrastructures numériques
• les fonctions critiques de l'État, en particulier la défense, la gouvernance et le fonctionnement des institutions, les élections publiques, les infrastructures économiques et civiles, la sécurité intérieure et les relations extérieures, y compris les missions diplomatiques
• le stockage ou le traitement des informations classifiées
• les équipes d'intervention d'urgence mises en place par les pouvoirs publics

Parmi les personnes sanctionnées en vertu de ce régime figurent des ressortissants russes responsables d'une série de cyberattaques menées contre l'UE et ses États membres, y compris l'attaque de 2015 contre le parlement fédéral allemand et celles de 2020 contre plusieurs ministères du gouvernement estonien.

Parmi les entités sanctionnées figurent des entreprises fournissant des services de piratage et des produits utilisés pour compromettre des dispositifs et y accéder dans les États membres de l'UE. Ces entités sont établies dans des pays tiers tels que la Russie, la Chine et l'Iran.

• Mesures restrictives de l'Union européenne contre les cyberattaques (Journal officiel de l'UE)

Stimuler la cyberdiplomatie

En juin 2017, l'UE a établi un cadre pour une réponse diplomatique conjointe de l'UE face aux actes de cybermalveillance (la "boîte à outils cyberdiplomatique"). Ce cadre permet à l'UE et à ses États membres de prendre toutes les mesures relevant de la politique étrangère et de sécurité commune (PESC), y compris des sanctions si nécessaire, pour empêcher, décourager, prévenir et contrer les actes de cybermalveillance visant l'intégrité et la sécurité de l'UE et de ses États membres.

La boîte à outils cyberdiplomatique a été révisée en 2023 afin de permettre d'élaborer des stratégies durables, adaptées, cohérentes et coordonnées contre les acteurs persistants de cybermenaces.

La stratégie de cybersécurité de l'UE adoptée par la Commission européenne et le Service européen pour l'action extérieure en décembre 2020 renforce la réponse diplomatique de l'UE aux cyberattaques.

En octobre 2024, le Conseil a établi un nouveau cadre de sanctions en réponse aux actions déstabilisatrices menées par la Russie à l'étranger.

Ce cadre permet à l'UE de cibler des personnes et des entités participant à des actions et des politiques, y compris des cyberattaques, menées par le gouvernement de la Fédération de Russie, qui portent atteinte aux valeurs fondamentales de l'UE et de ses États membres, à leur sécurité, à leur indépendance et à leur intégrité, ainsi qu'à celles d'organisations internationales et de pays tiers.

• Menaces hybrides émanant de la Russie
• Lignes directrices relatives à la mise en œuvre de la boîte à outils cyberdiplomatique (8 juin 2023)
• Communication conjointe: Accroître la résilience et renforcer la capacité à répondre aux menaces hybrides (13 juin 2018)
• Conclusions du Conseil relatives à un cadre pour une réponse diplomatique conjointe de l'UE face aux actes de cybermalveillance ("boîte à outils cyberdiplomatique") (19 juin 2017)
• La stratégie de cybersécurité (Commission européenne)

Voir également