[Textes] La cybersécurité à l’heure de « NIS II » : entre régulation et répression, quelle place pour le droit pénal ?

Mots-clés : cybersécurité • justice pénale • conformité • compliance • illégalisme

Avec la Directive « NIS II » l’Union européenne a décidé en 2022 de faire basculer la cybersécurité dans le giron du droit répressif. Afin que les obligations reposant sur certaines entités ne restent lettres-mortes, l’Union a en effet choisi d’accompagner la « conformité cyber » de sanctions dissuasives. Celles-ci seront avant tout administratives et portées par l’ANSSI. À l’heure de la transposition de la directive, la place du droit pénal doit être interrogée même s’il est constant, en droit de la régulation, de ne mobiliser qu’accessoirement la justice pénale.

Normativité accélérée. Le temps long n’est plus l’unité à l’aune de laquelle les normes européennes peuvent être appréhendées et évaluées. Le droit de la cybersécurité [1] en atteste : les textes sont adoptés à une vitesse croissante. Si l’agence européenne de cybersécurité voyait certes le jour en 2004 [2], ce n’est qu’en 2016 que la sécurité des systèmes d’information sortait de terre avec la directive « NIS I » [3] suivie en 2019 par le règlement sur la cybersécurité [4]. Et la directive NIS « II » faisant suite et abrogeant le texte de 2016, était déjà publiée au JOUE en décembre 2022 [5]. 6 ans à peine ont ainsi suffi pour qu’un consensus d’obsolescence se dégage quant au texte initial. À cela s’ajoutait en 2022 encore la nécessité de prévoir un droit spécifique pour le secteur financier [6], et enfin un encadrement de la sécurité physique des opérateurs de services critiques [7]. Le temps long, nécessaire à la compréhension des phénomènes, à leur structure globale et à leurs effets parfois sous-terrains, ne permettra sans doute pas de mesurer la déflagration que devrait provoquer la directive « NIS II ». Car la directive « NIS III » imposera tôt ou tard, et sans doute plus tôt que tard, de changer à nouveau de braquet, de champs, d’impératifs... en raison de nouvelles menaces toujours plus graves.

Marché numérique. Le tournant numérique au début du XXIè siècle a permis l’essor de nouvelles activités économiques à telle enseigne qu’en 2023 peu de secteurs marchands peuvent se targuer d’être indifférents à l’endroit de ce que l’informatique permet. Si le fleuriste de quartier n’a sans doute pas de site internet (quoique...), il serait étonnant qu’il ne dispose pas d’un terminal de paiement avec ou sans contact. De sorte que la cybersécurité sera une composante fondamentale de son activité, sans doute de lui inconnue (comme de ses clients), mais que sa banque, les intermédiaires de paiement ou encore les confectionneurs de cartes bancaires ou de smartphones ne peuvent ignorer. La Directive « NIS II » mentionne évidemment l’importance du numérique pour la construction et la pérennisation du marché intérieur, et ce très tôt dans ses considérants [8]. Cela n’étonnera pas les lecteurs habitués au principe de subsidiarité [9] et coutumiers de la référence à l’article 114 TUE pour justifier l’action des institutions européennes. L’Europe est économique avant tout, il faudrait être atteint d’une grave cécité et/ou d’une mémoire particulièrement entamée pour l’ignorer. Derrière cette constante économique, se retrouvent évidemment de nombreuses variables d’action à l’aune des risques [10] pesant sur les systèmes d’information. Le passage de « NIS I » à « NIS II » offrait un vaste champ d’évolutions [11].

Réaction. Construire un droit de la cybersécurité implique fort logiquement d’identifier les menaces[12] avec cette précision, toujours inquiétante, qu’anticiper ne permet jamais de prévenir toutes les ingéniosités. Il n’en demeure pas moins que la cybersécurité, fut-elle condamnée à la réaction plus qu’à la pro-action, comporte encore de nos jours une marge d’amélioration considérable. Nul ne peut affirmer que cette sécurité est prise au sérieux par chacun, l’hygiène numérique est tout sauf un réflexe acquis (et encore moins inné). Les risques numériques sont encore très virtuels pour de nombreux citoyens et entreprises même si l’étau se resserre inexorablement. On sait que les comportements individuels ont ici une importance capitale. On n’ignore pas davantage que certaines pratiques restent le fruit d’un effet de structure de sorte qu’une implication affirmée d’une équipe dirigeante en faveur de la cybersécurité peut déverrouiller des prises de conscience et de vrais changements dans les pratiques quotidiennes des employés et usagers. En d’autres termes, montrer l’exemple présente des vertus inexorables. Reste à construire une articulation juridique qui innerve cette vertu en permettant aux responsables, prima facie, de prendre conscience des enjeux. Le droit est ici monté en régime à trois égards qui font la substance de la directive « NIS II » : toucher plus de structures que la directive « NIS I »,  passer par leur gouvernance, et imposer un régime d’obligations bien plus impératives. L’expression ne manquera pas de surprendre mais il faut bien reconnaître que les obligations de cybersécurité prévues dans la directive « NIS I » ne bénéficiaient pas d’un cadre particulièrement contraignant en raison d’un système de sanctions peu dissuasif [13]. On le sait, à défaut de sanction [14], le droit s’apparente à de la poésie pour techniciens, le style en moins : sans sanction effective et dissuasive les normes ressemblent à de vagues commandements, plus proches de la charte éthique (propre à rassurer un régulateur peu exigeant), que d’une véritable norme [15]. L’énoncé juridique, pour imposer ses vues et ses objectifs, a besoin que les transgressions de ses commandements soient effectivement sanctionnées [16]. Et souvent le droit pénal est alors appelé en renfort [17].

Régulation et répression. Le droit du numérique, comme droit régulé, ne participe pourtant pas de cette logique « pénale ». Pour le dire autrement, le droit du numérique est économiquement trop important pour que le politique abandonne la sanction des comportements illicites à la justice pénale. Le propos peut étonner ou choquer mais il  peut se réclamer d’une constance historique certaine. On sait à quel point le droit pénal des affaires souffre d’une vraie concurrence : qu’il s’agisse de droit fiscal, de droit répressif administratif des marchés financiers (assuré en première instance par l’AMF), de droit de la concurrence, ou encore de données personnelles, la justice pénale joue ici une partition minimaliste voire inexistante. Dans l’orchestre de la régulation [18], le droit pénal a la place du triangle. Le droit de la cybersécurité n’échappe pas à cette logique de fond, structurelle qui tient la justice pénale à distance d’activités bien trop importantes pour l’économie. Les stigmates de la condamnation pénale vont ici s’effacer au nom d’un très officiel besoin de spécialisation [19]. Mais puisqu’être incitatif ne suffisait plus, la directive « NIS II » est montée elle-même en puissance. Aux sanctions très virtuelles que le droit français avait mises en place en 2018 dans le cadre de la transposition de « NIS I », devra succéder un vrai droit répressif tel que prévu aux articles 31 et s. du nouveau texte. Qu’est-ce à dire ? Le lecteur familier du RGPD [20] ne sera pas décontenancé par le système mis en place : les sanctions, et la procédure pour y parvenir, sont en effet calquées sur les mécanismes existant dans le champ du droit des données à caractère personnel (la sémantique en moins). Il est à parier que la France choisira, dans le cadre da la transposition, une procédure similaire à celle construite autour de la CNIL. L’ANSSI, en tant qu’autorité compétente, devrait ainsi connaître un vrai bouleversement de son organisation avec l’apparition en son sein d’une commission des sanctions. Ce droit à venir repose évidemment sur des obligations imposées à certaines entités (I.). Les manquements permettront une réponse juridique (en ce compris l’infliction de sanctions) (II.), qui devra composer avec ce qui a déjà été éventuellement accompli au niveau de la CNIL et de la justice pénale. Le droit à venir sera donc le fruit d’une vaste conciliation (III.)...

I. Les obligations

A. Les entités

Extension. La directive « NIS II » impose un « changement de paradigme » [21] en termes de cybersécurité puisque, si à date, la directive « NIS I » permettait d’encadrer environ 300 opérateurs de service essentiel, il est acquis que « NIS II » concernera des milliers de régulés une fois la directive transposée. Il s’agit de passer, d’une sécurité des systèmes d’information propre à des opérateurs critiques, à une véritable cybersécurité de masse, et ce afin de mailler un territoire de sûreté numérique. Cette (r)évolution substantielle du périmètre de la cybersécurité accompagne et reflète l’évolution de la menace cyber [22]. Cette extension du périmètre emporte tout d’abord un premier changement sémantique puisque les anciens « opérateurs » deviennent désormais des « entités ». Alors que la directive « NIS I » ne concernait que quelques opérateurs de services essentiels et certains fournisseurs de service numériques (prestataires de services en nuage, places de marché et moteurs de recherche), la directive « NIS II » vise beaucoup plus large. La directive couvre désormais 18 secteurs d’activité répartis dans deux annexes accompagnant le texte. Au surplus, la directive inclut à la fois des administrations publiques et la chaîne d’approvisionnement [23] car évidemment, les failles d’une entité peuvent se trouver en dehors de celle-ci. De la même manière que l’anti-corruption ou l’anti-blanchiment impose une salutaire « due diligence » à l’endroit des fournisseurs et intermédiaires, la cybersécurité, qui repose sur une vraie compliance, ne saurait s’arrêter pas aux portes de l’entité concernée.

Entités essentielles et importantes. L’architecture essentielle du texte repose sur le partage « entités essentielles / importantes ». La qualification dépend du secteur et de la nature de l’activité, mais également de la taille de l’entité. En fonction de la qualification, un régime de supervision et d'obligation plus ou moins rigoureux s’applique. L’objectif de la norme tombe sous le sens : définir « un équilibre entre le régime de cybersécurité et la charge administrative que le contrôle de conformité implique pour elles » (cons. 15). Plus précisément, les entités essentielles (EE) sont :

• celles qui dépassent les plafonds déterminant les moyennes entreprises (entreprise qui occupe plus de 50 personnes ou dont le chiffre d'affaires annuel ou le total du bilan annuel excède 10 millions d'euros) ;
• les prestataires de services de confiance ;
• les fournisseurs de réseaux publics de communications électroniques publics ou de services de communications électroniques ;
• les entités de l'administration publique ;
• les autres entités (moyennes, petites et très petites entreprises) relevant de l'annexe I ou II et qui sont identifiées comme entités essentielles ;
• les entités qualifiées d'entités critiques au sens de la directive 2022/2557 [24] ;
• ainsi que, si les États membres le décident, à titre transitoire, les entités identifiées comme opérateurs de services essentiels.

Il en résulte que, par défaut, les moyennes entreprises relevant de l'annexe I sont, sauf les exceptions précitées, des entités importantes. Comme l’observent Thibault Douville et Sarah Porcher « ce faisant, les fournisseurs de service numérique pourront dorénavant être qualifiés d'entités essentielles et être soumis à un contrôle plus important ». Les entités concernées devront être identifiées par les États membres au plus tard le 17 avril 2025.

B. Les impératifs

Compliance orientée cyber-résilience. L’article 21 de la Directive « NIS II » constitue le cœur de la conformité « cyber » en ce qu’il précise le contenu des mesures devant être adoptées. Il s’agit logiquement de mesures de cyber-résilience destinées à accomplir deux séries d’objectifs :

• gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services ;
• et éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

Le texte liste pêle-mêle :

• des mesures dites techniques : politiques et surtout procédures relatives à l’utilisation de la cryptographie voire du chiffrement ; sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités ; utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins ;
• opérationnelles : sécurité de la chaîne d’approvisionnement et des ressources humaines, politiques de contrôle d’accès et gestion des actifs ; pratiques de base en matière de cyberhygiène et formation à la cybersécurité ;
• et enfin organisationnelles : politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information, gestion des incidents, continuité des activités (par exemple la gestion des sauvegardes et la reprise des activités), et la gestion des crises.

Les termes employés restent vagues, incontestablement. La directive précise au demeurant que la Commission adoptera des actes d’exécution établissant les exigences techniques et méthodologiques liées aux principales mesures.

Le niveau de sécurité doit logiquement être adapté au risque existant, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre [25]. De manière intéressante, ces mesures doivent, on l’a dit, couvrir les chaînes d'approvisionnement et donc de fournisseurs qui n'entrent pas par nature dans le champ d'application de la directive. Comme l’observent très pertinemment Th. Douville et S. Porcher, « l'objectif est similaire à celui qui sous-tend le régime de la sous-traitance en droit des données à caractère personnel ». Les entités essentielles et importantes seront ainsi soumises à une véritable compliance : l’approche par les risques [26] est de mise, et la gouvernance en constitue la force motrice. En effet, en application de l’article 20, les organes de direction des entités essentielles et importantes doivent approuver les mesures de gestion des risques en matière de cybersécurité prises afin de se conformer à l’article 21. Elles doivent superviser sa mise en œuvre et sont tenues responsables en cas de manquement.

Obligations d’information. Assez logiquement, l’article 23 reprend l’obligation de notification des incidents de cybersécurité affectant une entité importante ou essentielle [27]. Cette notification déjà connue de « NIS I » [28] doit tout d’abord se faire à un CSIRT [29] ou à l’autorité compétente (ANSSI) et concerne tout incident ayant un impact important [30] sur la fourniture des services. Et le texte d’ajouter que, le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services. Étrangement, le texte précise que « Le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité qui est à l’origine de la notification ».

Les différentes obligations pesant sur les entités importantes et essentielles exposent ces dernières à des sanctions en cas de manquements. L’ANSSI disposera en effet de mesures de supervision lui permettant d’effectuer ou de faire effectuer des audits et de requérir la fourniture de certains documents[31]. Si cette supervision permet de constater des violations, alors des mesures d’exécution deviennent possibles afin de corriger les mauvaises pratiques constatées ou de les sanctionner. En accompagnant ainsi les nouvelles contraintes, la Directive « NIS 2 » N° Lexbase : L3158MG3 permettra à la cybersécurité d’entrer dans l’ère du risque punitif.

II. Les sanctions

En application de l’article 36, il est acquis que les « États membres déterminent le régime des sanctions applicables aux violations des dispositions nationales adoptées conformément à la présente directive et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Les sanctions prévues sont effectives, proportionnées et dissuasives ». La directive ne précise ni la nature de ces sanctions ni toutes les articulations possibles. À la lecture de la norme européenne et de ses dispositions préliminaires, il est évident que ce sont avant tout, comme à l’accoutumée, des sanctions administratives qui doivent être mises en place.

A. L’éventail des sanctions administratives

Du contrôle à la sanction en passant par la correction. La directive innove à nouveau sur le plan sémantique puisque, en lieu et place des mesures correctrices, telles que contenues dans le « RGPD » N° Lexbase : L0189K8I, apparaissent dans « NIS 2 » N° Lexbase : L3158MG3 des « mesures d’exécution ». Les mesures de contrôle sont quant à elles nommées « mesures de supervision ». Les audits, contrôles, scans de sécurité  et demandes de documents sont ainsi détaillés aux articles 32 et 33 pour, respectivement, les entités essentielles et importantes. Elles prévoient logiquement un contrôle plus rigoureux pour les premières que pour les secondes. Quant aux mesures d’exécution, elles sont par nature des mesures correctrices destinées à mettre une entité en conformité avec ses obligations, mais une dynamique répressive s’en évince. Outre la possibilité de prononcer une amende – qui implique on le verra une transformation du système juridique -  le droit applicable aux entités essentielles atteste de la dynamique répressive de la réaction puisqu’il est possible de prononcer à leur endroit des interdictions (suspension temporaire de certification, ou d’activité autorisée) lorsque certaines mesures d’exécution n’ont pas été respectées. Il s’agit bien de sanctions à la progressivité avérée qui va imposer, dans le cadre de la transposition, de créer une procédure ad hoc respectueuse des droits de la défense. La directive, en ses dispositions préliminaires, ne peut que le concéder [32].

1) Mesures d’exécution

Les articles 32 et 33 décrivent, pour les entités essentielles et importantes, les mesures d’exécution de manière similaire. A minima, l’autorité compétente - l’ANSSI en France - doit pouvoir dans le cadre du contrôle :

a) émettre des avertissements ;

b) adopter des instructions contraignantes, ou une injonction exigeant de remédier aux insuffisances constatées ou aux violations de la présente directive;

c) ordonner de mettre un terme à un comportement qui viole la  directive « NIS II » et de ne pas le réitérer ;

d) ordonner de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 21 ou de respecter les obligations d’information énoncées à l’article 23, de manière spécifique et dans un délai déterminé ;

e) d’ordonner d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace;

f) d’ordonner de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable ;

g) de désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des articles 21 et 23;

h) d’ordonner de rendre publics les aspects de violations de la présente directive de manière spécifique ;

i) d’imposer ou de demander aux organes compétents ou aux juridictions d’imposer, conformément au droit national, une amende administrative en vertu de l’article 34 en plus de l’une ou l’autre des mesures d’exécution précédentes.

Les termes employés ont évidemment leur importance et la répétition du verbe « ordonner » ne laisse pas de place au doute. La menace d’une sanction pécuniaire en atteste : il s’agit bien d’un droit répressif, à dynamique essentiellement pédagogique et correctrice certes, mais qui confère à l’ANSSI un  pouvoir dépassant nettement ce qu’elle est actuellement autorisée à accomplir. La possibilité de prononcer une amende en atteste plus que de raison.

2) L’amende

L’article 34 de la directive « NIS II » N° Lexbase : L3158MG3 détermine les conditions générales pour imposer des amendes administratives [33] à des entités essentielles et importantes [34] à raison des manquements aux différentes obligations pesant sur elles. Elles se doivent évidemment d’être effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas (§ 1). Elles peuvent, au surplus, être imposées en complément des autres mesures d’exécution (§ 2). Lorsqu’une entité essentielle manque à ses obligations de compliance cyber ou de notification, les États devront prévoir des amendes administratives d’un montant maximal s’élevant à au moins 10 000 000 EUR ou à au moins 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité essentielle appartient, le montant le plus élevé étant retenu (§ 4). Quant aux entités importantes, doivent être envisagées des amendes d’un montant maximal s’élevant à au moins 7 000 000 EUR ou à au moins 1,4 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité importante appartient. Une fois de plus, le montant le plus élevé doit être retenu (§ 5). La directive ajoute la possibilité d’imposer des astreintes pour contraindre une entité essentielle ou importante à mettre un terme à une violation de la présente directive conformément à une décision préalable de l’autorité compétente.

B. Le prononcé des sanctions administratives

Selon l’article 32, § 7, applicable aux « EE » mais également aux « EI » par renvoi de l’art. 33§5, lorsqu’une autorité compétente prend toute mesure d’exécution visée au paragraphe 4 ou 5, elle doit respecter les droits de la défense. Cette exigence impose en réalité de mettre en place une procédure de sanction également respectueuse des règles applicables au procès équitable. Au-delà, et dans une perspective de conformité au principe d’individualisation des sanctions, le texte ajoute que les autorités de contrôle doivent tenir compte « des circonstances propres à chaque cas ». La directive impose de prendre en considération « au minimum »,

a) la gravité de la violation et de l’importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves :

            i) les violations répétées ;

            ii) le fait de ne pas notifier des incidents importants ou de ne pas y remédier ;

            iii) le fait de ne pas pallier les insuffisances à la suite d’instructions contraignantes des autorités compétentes ;

            iv) le fait d’entraver des audits ou des activités de contrôle ordonnées par l’autorité compétente à la suite de la constatation d’une violation ;

            v) la fourniture d’informations fausses ou manifestement inexactes relatives aux mesures de gestion des risques en matière de cybersécurité ou aux obligations d’information prévues aux articles 21 et 23 ;

b) la durée de la violation ;

c) toute violation antérieure pertinente commise par l’entité concernée ;

d) des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d’autres services et du nombre d’utilisateurs touchés ;

e) le fait que l’auteur de la violation a agi délibérément ou par négligence ;

f) les mesures prises par l’entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux ;

g) l’application de codes de conduite approuvés ou de mécanismes de certification approuvés ;

h) le degré de coopération avec les autorités compétentes des personnes physiques ou morales tenues pour responsables.

À la lecture des critères minimaux individualisation, on peut aisément affirmer que l’exigence formulée est rigoureuse. Le vade mecum, très proche de celui imposé par le RGPD [35], est infiniment plus précis que ce que le droit pénal impose, qui, rappelons-le, ne fait référence qu’à la gravité des fats reprochés et à la personnalité de l’auteur.

Obligation de motivation. Évidement, l’obligation d’individualisation n’aurait que peu de sens si l’autorité jugeant les faits n’avait pas à laisser trace de son respect. C’est la raison pour laquelle, en son § 8, l’article 32 formule une obligation de motivation : les « autorités compétentes exposent en détail les motifs de leurs mesures d’exécution ». Car la procédure est primordiale, il est précisé, au surplus, qu’avant « de prendre de telles mesures, les autorités compétentes informent les entités concernées de leurs conclusions préliminaires. Elles laissent en outre à ces entités un délai raisonnable pour communiquer leurs observations, sauf dans des cas exceptionnels dûment motivés où cela empêcherait une intervention immédiate pour prévenir un incident ou y répondre ».

La justice pénale aimerait sans doute se targuer d’un dispositif aussi complet au moment où un magistrat  prononce les sanctions les plus lourdes que le droit connaisse. Et pourtant si certaines peines connaissent un régime assez rigoureux de motivation [36], le principe général d’individualisation en fonction de la gravité et de la personnalité [37] n’est pas aussi contraignant en droit pénal qu’en droit du numérique. On peut autant s’en étonner que s’en inquiéter. Est-il en effet normal qu’une amende pénale repose sur l’analyse des charges et ressources [38], et le binôme gravité/ personnalité, quand une amende administrative repose, a minima, sur 8 critères fort précis ?

III. Les conciliations

Prima facie, on peut observer que la France choisira sans doute à nouveau d’adopter un système alternatif quant à la qualification « entités importantes ou essentielles » d’une part, et « opérateurs d’importance vitale » [39] d’autre part. On sait en effet qu’à l’heure de transposer la directive « NIS I », le droit français avait préféré conserver le régime national des OIV en parallèle de celui des « OSE » tout en excluant leur cumul [40]. Au moment de mettre en musique « NIS II » N° Lexbase : L3158MG3, la France optera certainement pour une solution similaire. Surtout, des procédures répressives peuvent se retrouver en concours en cas de manquement à une obligation de cybersécurité car de nombreuses autorités, tant administratives que judiciaires, pourront être compétentes afin de constater des manquements. Il en va ainsi tant en termes de données à a caractère personnel (ci-après « DCP ») depuis le RGPD (A.), que dans le cadre du droit pénal stricto sensu (B.).

A. Avec le droit des DCP

Assez logiquement, la Directive « NIS II » N° Lexbase : L3158MG3 institue un principe de bonne intelligence au moment d’envisager les règles applicables à un cumul de sanctions. Ainsi aux termes de l’article 31, § 3,   « lorsqu’elles traitent des incidents donnant lieu à des violations de données à caractère personnel, les autorités compétentes coopèrent étroitement avec les autorités de contrôle en vertu du règlement (UE) 2016/679, sans préjudice de la compétence et des missions des autorités de contrôle ». L’article 35§1 précise ainsi que lorsque l’ANSSI prendra connaissance, dans le cadre de la supervision ou de l’exécution, du fait que la violation commise par une entité essentielle ou importante à l’égard des obligations énoncées aux articles 21 et 23 peut donner lieu à une violation de données à caractère personnel (cf. RGPD, art. 4, 12°), devant être notifiée (cf. RGPD, art. 33), elle en informe sans retard injustifié la CNIL [41].  Il est à parier que ces cas seront tout sauf rares. On sait en effet que l’obligation de cybersécurité est une pierre de touche du droit des DCP. Ce principe est formulé à l’article 5, § 1, f et rappelé in concreto à l’article 32 du RGPD. Et les sanctions pour non-respect des articles 25 ou 32 et s. ne sont pas rares devant la CNIL [42]. À terme les entités sanctionnées pour ces faits seront, pour certaines d’entre elles, classées a minima « EI » de sorte que le manquement à une obligation de cybersécurité sera de nature à la soumettre au contrôle de l’ANSSI. C’est déjà le cas actuellement puisqu’un OSE exposé à une violation de sécurité concernant des DCP doit, sous certaines conditions, notifier la violation tant à la CNIL [43] qu’à l’ANNSI [44]. Une fois la directive « NIS II » transposée, un régime de sanction propre à la cybersécurité pourrait s’appliquer en parallèle de la procédure suivie devant la CNIL. Aussi la Directive prend-elle le soin de cadrer le cumul de sanctions à venir.

Impossible cumul d’amendes. En vertu de l’article 35, § 2 si la CNIL impose une amende administrative (cf. art. 58, § 2, i « RGPD »), l’ANSSI ne pourra pas imposer de sanction pécuniaire  pour une violation découlant du même comportement. Les autorités compétentes peuvent toutefois imposer les mesures d’exécution prévues à l’article 32, paragraphe 4, points a) à h), à l’article 32, paragraphe 5, et à l’article 33, paragraphe 4, points a) à g), de la directive « NIS II ».

Ce faisant, la directive « NIS II » N° Lexbase : L3158MG3 n’ a pas mis sur le même pied l’amende et les autres mesures d’exécution. La règle ne bis in idem, proscrivant de sanctionner deux fois un comportement similaire, ne joue ici qu’à l’endroit de la sanction patrimoniale. La Directive n’est malheureusement pas aussi précise au moment d’aborder le cumul de sanctions administratives et pénales.

B. Avec le droit pénal

1) Ne bis in idem et CJUE

Largesses. Les normes européennes n’ont jamais été particulièrement exigeantes au moment d’envisager les cumuls de poursuites administratives et pénales [45]. Une certaine gêne peut ici transparaître tant il est difficile d’imposer à un État membre la marche à suivre en droit pénal. Hautement régalienne, la justice pénale est en effet suffisamment sensible pour que les institutions européennes n’y touchent qu’avec précaution et parcimonie. On ne s’étonnera donc pas que seuls les considérants de la Directive « NIS II » N° Lexbase : L3158MG3 abordent la difficulté et ce, au moyen de mécanismes éculés et peu contraignants. Qu’on en juge : le considérant n° 113 indique ainsi que « lorsque les États membres exercent leur compétence, ils ne devraient pas imposer de mesures d’exécution ou de sanctions plus d’une fois pour un même comportement, conformément au principe non bis in idem ». Sur des œufs, le Parlement et le Conseil précisent que « les États membres devraient pouvoir déterminer le régime des sanctions pénales applicables en cas de violations des dispositions nationales transposant la présente directive. Toutefois, l’imposition de sanctions pénales en cas de violation de ces dispositions nationales et l’imposition de sanctions administratives connexes ne devraient pas entraîner la violation du principe non bis in idem tel qu’il a été interprété par la Cour de justice de l’Union européenne » (cons. n° 131). Le texte ajoute que « lorsque la présente directive n’harmonise pas les sanctions administratives ou, si nécessaire dans d’autres circonstances, par exemple en cas de violation grave de la présente directive, les États membres devraient mettre en œuvre un système qui prévoit des sanctions effectives, proportionnées et dissuasives. La nature de ces sanctions et le fait qu’elles soient pénales ou administratives devraient être déterminés par le droit national » (cons. n° 132).

Les institutions rappellent ainsi quelques principes essentiels :

• il revient, subsidiarité oblige, aux États membres de déterminer quels comportements doivent relever de la sphère pénale ou simplement administrative ;
• en principe un même comportement ne devrait être sanctionné qu’une seule fois ;
• en cas de cumul de poursuites, le principe ne bis in idem tel qu’interprété par la CJUE doit s’imposer.

À cet égard, il convient de préciser que dans ses derniers développements la juridiction de Luxembourg a accepté, dans le champ fiscal, sous condition de prévisibilité, que des cumuls de poursuites aient lieu [46]. Mais en cas de cumul de sanctions, elle impose que toutes les mesures prononcées soient analysées à l’aune du principe de proportionnalité de sorte que même les peines d’emprisonnement doivent être appréhendées globalement [47]. La Cour de cassation en a dégagé une exigence de motivation in concreto reposant sur les juges du fond et contrôlée par la Cour elle-même [48].

2) Droit pénal positif ?

Réalisme. Reste alors à savoir ce que le législateur décidera de faire en termes de droit pénal de la cybersécurité. Les précédents n’éclairent sans doute que les phénomènes passés comme l’expérience n’est une lumière que pour celui qui la porte. Certes. Mais deux constats peuvent ici être dressés :

• sous l’empire de la directive « NIS I » N° Lexbase : L3158MG3, le droit pénal était quasi absent [49], son application encore plus. Symboliquement, le Code pénal ne contient aucune disposition répressive ad hoc en lien avec une obligation de cybersécurité !
• le droit des DCP atteste que malgré l’entrée en vigueur d’un texte particulièrement novateur, le législateur n’a pas profité de l’occasion pour mettre le droit pénal en adéquation avec le droit répressif administratif. Pour le dire autrement, les sanctions pécuniaires sont beaucoup plus élevées que les sanctions pénales malgré le léger toilettage du droit pénal effectué en 2018 [50]. Certains comportements jugés graves par le RGPD ne sont même pas des délits (absence de désignation d’un DPO par exemple). La partition minimaliste jouée par le droit pénal est criante et se double, logiquement, d’une activité judiciaire tout aussi évanescente. On sait que le contentieux a en réalité été absorbé par la CNIL et ce d’autant plus que cette dernière dispose d’une procédure rapide, dite « simplifiée » [51] lui permettant de se concentrer sur de plus « gros poissons » en procédure ordinaire.

Ces deux constats conduisent à imaginer une transposition de la directive « NIS II » N° Lexbase : L3158MG3 faisant la part belle à l’ANSSI avec, peut-être, quelques manquements graves pénalement sanctionnés. Cela ne devrait pas ouvrir la boite de Pandore de la justice pénale. La régulation a de tout temps eu le même effet sur la justice pénale : ce contentieux échappe, nonobstant l’existence de lois pénales, à la justice pénale au bénéfice d’une « justice » feutrée, entre pairs sans emprisonnement à la clef, les manquements fussent-ils qualifiés de graves.

Cet instantané de la réglementation européenne (et de sa transposition à venir) interroge quant au rôle que la justice pénale est censée jouer dans un État de droit. Le partage des contentieux, les répartitions officieuses à côté des séparations normatives, doivent être continuellement interrogés. La cybersécurité est suffisamment importante pour que le droit soit pensé en termes d’efficience. Le droit pénal doit quant à lui être interrogé à l’aune de pratiques qui l’excluent de facto quand bien même la loi n’en soufflerait mot. On retrouve là la thématique chère à Michel Foucault depuis Surveiller et punir [52] à travers sa théorie des illégalismes. On peine à sortir de la question foucaldienne lorsqu’on se penche sur les droits répressifs qui accompagnent la régulation à la française, surtout depuis qu’elle est modelée par le droit de l’Union : « Les questions qu'il faut poser au pouvoir ne sont pas : est-ce que oui ou non vous allez cesser de faire fonctionner de vilaines prisons, qui nous font tant de mal à l'âme ? — quand nous ne sommes pas prisonniers et qu'elles ne nous font pas mal au corps. Il faut dire au pouvoir : arrêtez vos bavardages sur la loi, arrêtez vos soi-disant efforts pour faire respecter la loi, dites-nous plutôt un peu ce que vous faites avec les illégalismes ? Le vrai problème est : quelles sont les différences que vous, les gens au pouvoir, vous établissez entre les différents illégalismes ? Comment vous traitez les vôtres et comment vous traitez ceux des autres ? À quoi vous faites servir les différents illégalismes que vous gérez ? Quels profits vous tirez de ceux-ci et de ceux-là ? Ce sont ces questions-là, ces questions sur l'économie générale des illégalismes, qu'il faut poser au pouvoir, mais comme, bien sûr, il ne faut pas espérer qu'il réponde, ce sont ces questions-là qu'il faut essayer d'analyser. Et toute mise en question de la loi pénale, toute mise en question de la pénalité qui ne tiendra pas compte de ce gigantesque contexte économico-politique qu'est le fonctionnement des illégalismes dans une société, sera nécessairement une manière abstraite de poser la question »  [53].

La cybersécurité n’échappe pas à cette problématisation quand bien même la spécialisation [54] de ses « juges » relève tout à la fois de l’évidence et de l’exigence.

© Reproduction interdite, sauf autorisation écrite préalable