Vous n’êtes pas obligé de rejoindre le programme de hack-back pour hériter de ses risques

Le mémorandum présidentiel du 12 août sur la sécurité nationale, intitulé « Élargir les capacités de lutte contre la cybercriminalité transnationale », ordonne au Centre national de coordination d’élaborer un programme pour les « entreprises participantes » approuvées. Le ministère de la Justice et le ministère de la Sécurité intérieure le gèrent conjointement, et deux co-directeurs exécutifs doivent approuver chaque opération par écrit. Une fois que les administrateurs ont signé, une entreprise participante peut exécuter un accès secret destiné à rester non détecté (opérations de cybersurveillance) ou une manipulation, une perturbation, une dégradation ou une destruction des systèmes (opérations de cybereffets). Le mémorandum définit les procédures opérationnelles pour autoriser le ministère de la Justice (DOJ) et le ministère de la Sécurité intérieure (DHS) à exiger une caution confiscable d’au moins 1 million de dollars comme condition contractuelle. Ces procédures, qui régissent l’exécution au quotidien, restent inédites. Ils doivent être rendus à la mi-octobre, soit 60 jours après la signature.

Le bouclier est plus fin que l’autorisation

La protection pénale du programme repose sur une lecture non testée d’une clause statutaire. Le Computer Fraud and Abuse Act (CFFA) exempte « les activités d’enquête, de protection ou de renseignement légalement autorisées d’un organisme chargé de l’application de la loi » en vertu de l’article 18 USC 1030(f), et le mémorandum qualifie chaque opération d’activité fédérale d’application de la loi pour s’inscrire dans cette exemption. Le Congrès a rédigé cette exemption pour les organismes chargés de l’application des lois. Aucun tribunal ne s’est prononcé sur la question de savoir si cela s’étendait à une entreprise privée opérant sous contrat. Une loi peut créer purement et simplement cette protection. L’Active Cyber ​​Defense Certainty Act aurait donné aux entreprises une défense positive contre les accusations de piratage informatique de la CFAA, mais le Congrès ne l’a jamais adopté. Un mémorandum présidentiel ne peut pas modifier une loi. Dans Little c. Barreme, la Cour suprême a statué qu’une ordonnance présidentielle ne protégeait pas un officier contre des dommages-intérêts lorsque la saisie excédait l’autorité du Congrès.

Ce que le mémorandum retient dure plus longtemps que ce qu’il accorde. L’alerte client de Crowell & Moring compte les lacunes : pas de sphère de sécurité civile, donc les poursuites civiles CFAA intentées par les victimes collatérales restent en cours ; aucune préemption sur la loi nationale anti-piratage ; aucune protection en vertu d’une loi étrangère ; aucune indemnisation. L’article 5(c) ferme alors l’autre sens, ne créant aucun droit ou avantage opposable aux États-Unis. Une entreprise participante possède une théorie pénale non jugée, tandis que les risques civils, étatiques, étrangers et contractuels restent en dehors du bouclier.

Le même langage de contrôle gouvernemental qui soutient la théorie nationale de la CFAA renforce également les arguments en faveur de l’attribution des opérations aux États-Unis au niveau international. En vertu de l’article 8 des articles de la Commission du droit international sur la responsabilité de l’État, un comportement privé est attribué à un État lorsque ce comportement suit ses instructions ou se déroule sous sa direction et son contrôle. Les deux propositions sont valables à la fois, et c’est là le problème d’une entreprise plus que celui d’un gouvernement. Plus le dossier de contrôle soutenant la défense CFAA du fournisseur est solide, plus un ministère des Affaires étrangères peut facilement considérer le travail de ce fournisseur comme un acte officiel des États-Unis.

La non-participation n’est pas une exemption

La plupart des organisations de sécurité classeront cela sous le problème de quelqu’un d’autre. L’exposition les atteint de quatre manières.

• Substrat. Les groupes criminels louent et compromettent les mêmes cloud, réseaux de diffusion de contenu et plates-formes SaaS sur lesquels reposent vos charges de travail. Une opération d’effets approuvée sur cette infrastructure peut apparaître dans votre environnement sous la forme d’une panne inexpliquée. Le mémorandum anticipe l’événement : ses directives de mise en œuvre ordonnent à une entreprise participante de cesser, de minimiser et de notifier lorsqu’une opération atteint involontairement un système aux États-Unis ou sous contrôle américain. Les gouvernements n’écrivent pas de procédures de nettoyage pour les événements qu’ils considèrent comme éloignés. L’article 5(c) ne donne alors à la société concernée aucun recours en vertu du mémorandum lui-même, qui achemine toute réclamation vers le droit commun et les coûts ordinaires.
• Silence. Les entreprises participantes doivent divulguer leurs ententes commerciales à la CCN et non à leurs clients. Le mémorandum ne crée aucune obligation de divulgation pour le client, il incombe donc à l’acheteur d’obtenir une déclaration écrite et au vendeur de décider s’il doit en donner une. La Cloud Security Alliance tire la conclusion sans ambages : en l’absence d’attestation standard, la nationalité du fournisseur elle-même devient un critère d’approvisionnement rationnel pour les acheteurs étrangers.
• Couverture. Le bulletin de marché Y5381 de Lloyd’s exige que ses syndicats incluent des exclusions de cyberattaques soutenues par l’État dans leurs politiques de cybersécurité autonomes, et que les clauses standard attribuent la clé aux déterminations du gouvernement. Un événement de représailles ou une perte collatérale résultant d’une opération dirigée par le gouvernement place la réclamation directement dans une analyse d’exclusion soutenue par l’État.
• Pipelines. Le mémorandum invite les entreprises participantes à acheter des informations sur les menaces auprès d’entités privées et à proposer des opérations basées sur celles-ci. Les renseignements sur les menaces que vous partagez avec les ISAC, les chaînes gouvernementales ou les plateformes commerciales peuvent alimenter une proposition offensive partout où les droits contractuels de la partie destinataire autorisent cette utilisation. Le mémorandum n’annule aucun de ces contrats, leurs restrictions d’utilisation sont donc les seuls contrôles dont vous disposez. Examinez-les pour connaître la responsabilité résiduelle et les tâches de notification aux clients avant que votre télémétrie ne devienne des données de ciblage.

La Chine a déjà mis en place une stratégie de représailles

Les preuves les plus pointues du marché sont antérieures au mémorandum, et c’est exactement ce qui en fait une preuve. Reuters a rapporté en janvier 2026 que Pékin avait ordonné aux entreprises chinoises de cesser d’utiliser les logiciels de cybersécurité d’une quinzaine de fournisseurs américains et israéliens. En février, Reuters a rapporté que Palo Alto Networks avait atténué sa propre attribution d’une campagne d’espionnage chinoise, craignant que son personnel en Chine ou ses clients ailleurs ne soient victimes de représailles. Le 6 août, six jours avant la signature, l’Administration chinoise du cyberespace a ouvert un examen formel de la cybersécurité des produits de Palo Alto, le mécanisme dont le précédent le plus connu s’est terminé par l’interdiction à Micron de se procurer des infrastructures critiques en Chine.

Le programme n’a rien causé de tout cela ; la séquence a commencé sept mois avant qu’elle existe. Le point va dans l’autre sens. Pékin utilise un modèle éprouvé de réglementation et de passation des marchés publics pour convertir les frictions en matière de cyberpolitique en pression commerciale d’entreprises nommées, et le mémorandum élargit l’éventail des entreprises américaines à sa portée. Les médias d’État chinois effacent déjà la distinction que Washington a passé deux décennies à établir entre le piratage informatique et les pratiques légales, présentant le programme comme l’Amérique mettant au grand jour des opérations auparavant secrètes.

Pour les multinationales, l’exposition est également dirigée vers l’intérieur. La loi chinoise sur la sécurité des données interdit la fourniture de données stockées en Chine aux forces de l’ordre étrangères sans approbation et oblige à coopérer avec les autorités de sécurité chinoises. La loi chinoise peut interdire au personnel d’un fournisseur basé en Chine de soutenir le programme américain auquel son employeur a adhéré et exposer personnellement ces employés pour prétendue coopération. Le protocole de déplacement des salariés fait désormais partie du registre des risques.

Ce que les règles non publiées doivent résoudre

Le mémorandum ne mentionne jamais l’intelligence artificielle, et un seul silence a un poids opérationnel. Le texte ordonne à la CCN d’utiliser l’automatisation pour rationaliser le programme. Crowell & Moring nomme le mode de défaillance. Les outils agents réduisent l’intervalle entre une action approuvée et un effet involontaire. Une opération autonome peut dépasser ses paramètres à la vitesse de la machine, exposant le vendeur à la confiscation de sa caution et à des poursuites civiles avant l’intervention humaine. La question de savoir si les règles d’octobre exigent une supervision humaine lors de l’exécution affectera sensiblement cette exposition. Il parcourt ensuite les quatre mêmes chemins jusqu’aux clients du vendeur. La définition d’une Cyber ​​Effects Operation touche également les systèmes de contrôle industriels et les contrôleurs embarqués, ce qui pose la même question collatérale pour les systèmes physiques connectés.

Les contraintes du programme sont réelles. La double approbation écrite, les interdictions relatives aux résultats critiques et les règles de minimisation imposent des contrôles beaucoup plus stricts qu’un régime de hack-back sans restriction. Et personne ne peut encore dire si le programme réduira ou augmentera les pertes dues à la cybercriminalité ; les données au niveau opérationnel qui règlent la question sont précisément celles que le mémorandum maintient classifiées. Cependant, les deux points restent valables et aucun ne modifie la répartition. Quels que soient les résultats du programme contre les réseaux criminels, les risques juridiques, d’assurance et de marché résiduels incombent aux entreprises privées, et une grande partie à celles qui n’y ont jamais adhéré.

Cinq questions doivent être inscrites à l’ordre du jour du conseil d’administration avant la publication des règles de fonctionnement :

1. Lequel de nos fournisseurs critiques de sécurité, de cloud, d’identité et de réponse aux incidents a l’intention de participer, et indiquera-t-il ce statut par écrit dans la mesure où la loi le permet ?
2. Chaque fournisseur participant peut-il séparer nos données de son travail opérationnel, et s’engage-t-il à respecter cette séparation ?
3. Quelles déclarations auprès des clients, des régulateurs et des assureurs deviennent incomplètes si un fournisseur participe et que nous ne le savons pas ?
4. Que paie notre politique en matière de cybersécurité en cas d’attaque de représailles soutenue par l’État, d’effet accidentel dirigé par les États-Unis et d’une panne de cloud partagé ? Renseignez-vous avant l’arrivée de la lettre de réserve de droits.
5. Quels employés, sociétés affiliées et coentreprises en Chine ou dans d’autres juridictions rivales sont en contact avec les fournisseurs participants, et qu’exige leur protocole de voyage ?

Regardez ensuite deux documents : les procédures opérationnelles et la Cyber ​​Letters of Marque and Reprisal Act, introduite le 15 juillet sous les noms S. 5000 et HR 9697. L’article 8 du projet de loi de la Chambre interdit toute cause d’action contre un détenteur de lettre pour des actes que la lettre autorise expressément, ce qui fournirait un bouclier civil statutaire que le mémorandum ne contient pas, et qu’un instrument exécutif ne peut pas créer.

La participation est une décision que vos fournisseurs doivent prendre. Traitez le mémorandum comme un instrument de transfert de risques : le gouvernement autorise l’opération, et une grande partie des risques juridiques, d’assurance et commerciaux résiduels restent privés, y compris avec des entreprises qui n’ont jamais rien signé.