Le président Donald Trump a signé un mémorandum présidentiel de sécurité nationale qui autorise les entreprises privées de cybersécurité à mener des opérations offensives contre les réseaux criminels étrangers, transférant ainsi au secteur privé une fonction longtemps réservée au gouvernement fédéral. Ce mémorandum, rapporté en premier par Bloomberg, charge le National Coordination Center d’établir un programme dans le cadre duquel des entreprises américaines agréées peuvent mener des opérations de surveillance et d’effets cybernétiques contre des organisations criminelles transnationales étrangères qui ciblent les citoyens, les entreprises et les infrastructures critiques américains.
Les entreprises participantes opèrent sous le contrôle et la supervision du gouvernement fédéral. La supervision est répartie entre le ministère de la Justice et le ministère de la Sécurité intérieure : deux directeurs exécutifs du programme, l’un nommé par le procureur général et l’autre par le secrétaire à la Sécurité intérieure, doivent se coordonner avant qu’une opération ne soit approuvée. Les directeurs ne peuvent pas approuver des opérations susceptibles d’entraîner des pertes humaines, des blessures graves ou des actes qui équivalent à un recours à la force ou à une attaque armée au sens du droit international.
Pour être éligibles, les entreprises doivent démontrer leur compétence technique, un bilan avéré dans la conduite d’opérations cybernétiques, la sécurité de leurs installations et la fiabilité de leur personnel. Elles doivent également déposer une caution ou un séquestre d’au moins 1 million de dollars, confisqué en cas de manquement à leur contrat avec le gouvernement. Les cibles sont limitées aux groupes qui ne constituent pas une partie institutionnelle d’un gouvernement étranger et qui ne sont pas entièrement opérés sous la direction d’un gouvernement étranger, avec une présomption selon laquelle tout groupe criminel est réputé sans affiliation, sauf si des renseignements clairs établissent le contraire. Les entreprises participantes doivent divulguer toute relation contractuelle externe liée au programme. Les procédures opérationnelles doivent être finalisées dans un délai de 60 jours en consultation avec le Homeland Security Council, et chaque opération requiert l’approbation écrite des directeurs exécutifs du programme, avec un examen annuel de chaque participant.
Le mémorandum considère le secteur privé comme un atout sous-utilisé. Il déclare que la politique des États-Unis consiste à utiliser tous les instruments de puissance nationale, y compris les capacités innovantes du secteur privé, pour lutter contre la cybercriminalité, et il permet aux entreprises participantes de conclure des accords commerciaux avec des entités privées et avec des agences fédérales, étatiques, locales, tribales et territoriales afin de recueillir des renseignements sur les menaces et de proposer des opérations de réponse au centre de coordination.
Cette décision constitue l’aboutissement d’une ligne politique suivie par l’administration depuis des mois. Bloomberg rapportait en décembre que l’Office of the National Cyber Director se préparait à s’appuyer sur les entreprises privées pour des travaux offensifs. Un décret présidentiel de mars ciblant la cybercriminalité, la fraude et les stratagèmes prédateurs contre les citoyens américains a posé les fondations, et la stratégie nationale de cybersécurité de l’administration, publiée en mars, a évoqué l’idée de faire appel à des entreprises pour perturber les réseaux adverses. Un mémorandum de juin a rétabli le Committee on National Security Systems dans le cadre de cette même démarche.
Avocats et chercheurs ont fait état de sérieuses préoccupations. Les avocats de Jenner & Block, écrivant dans Lawfare, ont averti qu’aucun cadre fédéral n’autorise actuellement les entreprises privées à mener des opérations cybernétiques offensives, et que le Computer Fraud and Abuse Act, ainsi qu’un ensemble disparate de lois étatiques et étrangères sur le piratage, criminalisent en grande partie précisément les comportements que la stratégie envisage. Tant que le Congrès n’aura pas légiféré, ont-ils fait valoir, les entreprises de technologie, de défense et de cybersécurité s’exposent à de réels risques juridiques.
Le problème de l’attribution aggrave encore le risque. Jason Healey, chercheur senior sur les conflits cybernétiques à l’université Columbia, a déclaré à Cybersecurity Dive que quiconque mène ces opérations le fait au prix d’un risque juridique personnel considérable, car il peut être difficile de déterminer quels groupes criminels sont soutenus par des gouvernements étrangers. Jake Williams, vice-président de la recherche et du développement chez Hunter Strategy, a exprimé des préoccupations similaires. Si un sous-traitant se méprend sur les liens d’une cible avec un gouvernement, l’opération pourrait déclencher un incident géopolitique ou exposer l’entreprise à des poursuites en vertu du droit américain ou étranger, même avec une autorisation fédérale en main.
Le programme soulève une question plus profonde, celle de la responsabilité. Les opérations cybernétiques offensives ont traditionnellement été le domaine d’agences comme la National Security Agency et l’US Cyber Command, qui opèrent sous des autorités classifiées et sous la supervision du Congrès. Externaliser ce travail, même sous la supervision du ministère de la Justice et du ministère de la Sécurité intérieure, répartit l’autorité d’agir dans le cyberespace entre des entreprises dont les employés encourent une responsabilité personnelle d’une manière que les opérateurs fédéraux n’encourent généralement pas. L’exclusion des opérations susceptibles de causer des dommages graves réduit le risque, mais la frontière entre perturbation et dommage dans le cyberespace est difficile à tracer à l’avance.
Pour l’industrie de la cybersécurité, le programme est à la fois une opportunité et un piège. Il ouvre une nouvelle ligne de revenus pour les entreprises disposant de capacités offensives, mais il place aussi leurs employés dans le collimateur de gouvernements étrangers qui les traiteront comme des cibles légitimes. Que suffisamment d’entreprises acceptent cette exposition, et que la fenêtre réglementaire de 60 jours produise des procédures qui satisfassent à la fois l’industrie et les avocats, déterminera si le programme devient un instrument durable de la politique américaine ou une expérience éphémère.
Traduit par Lydie
Sources: Trump Enlists Private Sector to Boost Cyber-Offensive Arsenal (Bloomberg, Aug 13, 2026); The Trump admin will start letting private firms launch international cyberattacks (The Verge, Aug 13, 2026); Presidential Memo Seeks to Expand Private Sector’s Role in Fighting Transnational Cybercrime (ExecutiveGov, Aug 13, 2026); Trump Admin Cyber Strategy Centers Private Sector in Offensive Cyber Operations (Lawfare, Mar 2026)