1/4 – Cyberdéfense active au Japon : une loi qui pose les fondations juridiques du renseignement partagé

Série · Cyberdéfense active japonaise · 1/4

Ce que change la loi de 2025, comment elle prolonge la sécurité économique japonaise, et la chronologie de sa mise en place.

Par Peggy LETAY, auditrice de l’Institut des hautes études de la défense nationale (IHEDN) · Rédigé le 9 octobre 2026 · Sources arrêtées à cette date

1. Ce que la loi japonaise change

La « cyberdéfense active » trouve son origine dans la Stratégie de sécurité nationale japonaise de décembre 2022, qui fixait l’objectif de porter les capacités cyber du pays au niveau des principaux pays occidentaux, voire au-delà.⁸ Après les travaux d’un comité d’experts réuni de juin à novembre 2024, le gouvernement a adopté deux projets de loi en février 2025. Ils ont été votés par la Diète (le Parlement japonais) le 16 mai 2025 et promulgués le 23 mai 2025.^9,5

Le dispositif repose sur quatre piliers :

• La coopération public-privé. Les opérateurs d’infrastructures essentielles désignés doivent déclarer les systèmes informatiques critiques qu’ils mettent en service et signaler les incidents qualifiés. Un conseil de partage d’informations, auquel l’adhésion est volontaire, organise la circulation des alertes dans les deux sens.^4,2
• L’utilisation des « données de communication ». L’État pourra collecter certaines communications, soit avec l’accord des entreprises concernées, soit sans accord pour les communications ayant un lien avec l’étranger. Un tri automatique doit ne conserver que des informations techniques (adresses IP, horodatages, commandes informatiques) et supprimer le reste avant toute consultation humaine.⁴
• L’accès et la neutralisation. Des policiers spécialement habilités peuvent ordonner à l’administrateur d’une machine malveillante de la neutraliser, ou agir eux-mêmes. Les Forces d’autodéfense n’interviennent qu’en appui de la police, sur ordre du Premier ministre, face à une menace organisée venant de l’étranger.^4,10
• La réorganisation et le contrôle. Un Bureau national de cybersécurité, placé auprès du Cabinet, a été créé le 1^er juillet 2025 par la réorganisation de l’ancien centre national de coordination (NISC). Une commission indépendante de contrôle, créée le 1^er avril 2026, autorise à l’avance la collecte de données sans consentement et, en règle générale, les mesures de neutralisation.^11,12,13,30

Une loi adossée à la sécurité économique. La cyberdéfense active ne se comprend pas sans la politique japonaise de sécurité économique, dont elle est l’un des prolongements. Les opérateurs soumis à l’obligation de déclaration sont ceux que désigne la loi de promotion de la sécurité économique, adoptée le 11 mai 2022.^4,6 Cette loi imposait déjà à ces opérateurs de déclarer à l’État, avant de les installer, leurs équipements critiques ainsi que les sous-traitants chargés de leur maintenance, afin d’écarter les risques de perturbation venus de l’étranger.⁶ La loi sur la protection des informations importantes de sécurité économique, en vigueur depuis mai 2025, complète l’ensemble : elle crée un système d’habilitation ouvert aux entreprises privées et range les informations sur les cybermenaces parmi celles qui peuvent être classifiées.⁷ Ces trois textes forment une architecture cohérente : la loi de 2022 contrôle ce que les opérateurs installent et qui les entretient ; la loi sur les habilitations détermine qui peut savoir ; la loi de 2025 organise ce qu’il faut déclarer et comment l’État peut agir. Pour des auditeurs de la majeure Défense et sécurité économiques, c’est sans doute l’enseignement principal : au Japon, la cybersécurité est désormais pensée comme une composante de la sécurité économique, et non comme un domaine technique séparé.

Une tradition ancienne, un cadre nouveau. Le partage d’informations entre l’État et les entreprises n’est pas une nouveauté au Japon. Dès 1994, le rapport Martre, texte fondateur de l’intelligence économique en France, présentait le Japon comme une référence, tout en se gardant d’en faire un modèle à transposer tel quel : l’information y était traitée comme une ressource collective, circulant entre sociétés de commerce, administrations, universités et entreprises sur la base de la confiance plutôt que du contrat, avec le ministère du Commerce international et de l’Industrie dans un rôle de coordination.¹⁴ Les grandes sociétés de commerce intégrées, les sōgō shōsha, présentes dans le monde entier, incarnent cette tradition.¹⁵ Dans le domaine cyber lui-même, un conseil de partage volontaire existait depuis 2019.⁴ Ce que la loi de 2025 apporte de nouveau est donc moins le partage que son cadre : une obligation juridique là où régnait le volontariat, un objet nouveau (la menace et ses indicateurs techniques plutôt que les marchés et les technologies) et, pour la première fois, la collecte de données de communication par l’État. Le Japon, en avance sur le renseignement économique, l’était beaucoup moins sur le renseignement de sécurité : son système d’habilitation n’a été introduit qu’en mai 2025.¹⁶

Des fondations, pas encore un édifice. Pris ensemble, ces quatre piliers posent les fondations d’un renseignement partagé entre l’État et les entreprises. L’obligation de déclarer fournit la matière première ; le conseil de partage d’informations organise sa circulation dans les deux sens ; la collecte des données de communication doit permettre de repérer une campagne avant qu’une victime ne se manifeste ; le Bureau national de cybersécurité centralise l’analyse ; la commission de contrôle encadre l’ensemble.^4,17 Mais ces conditions juridiques et institutionnelles ne produisent pas d’elles-mêmes du renseignement. Elles produisent des données. Leur transformation en renseignement utile dépendra de trois facteurs que la loi ne garantit pas : la rapidité avec laquelle les signaux dispersés entre victimes, fournisseurs, opérateurs de télécommunications et administrations seront croisés ; la réciprocité entre l’État et les entreprises ; et la disponibilité d’analystes qualifiés. C’est à cette aune que cette série examine le dispositif japonais, puis le compare au modèle français.

2. Chronologie : annonces et rapports face aux dispositifs mis en place

La chronologie ci-dessous distingue trois types d’événements. Elle permet de mesurer l’écart entre le moment où une menace est identifiée publiquement et le moment où l’outil juridique ou institutionnel correspondant devient opérationnel.

• 2022
• Octobre 2022IncidentAttaque, vraisemblablement par rançongiciel, contre le centre médical général d’Osaka : les opérations chirurgicales non urgentes et les consultations externes sont suspendues.^3,27
• 16 décembre 2022AnnonceStratégie de sécurité nationale. Le gouvernement fixe l’objectif d’une cyberdéfense active, déclinée en trois mesures principales.⁸
• 2023
• Juillet 2023IncidentLe 4 juillet, le terminal à conteneurs du port de Nagoya interrompt ses opérations pendant environ trois jours après une attaque par le rançongiciel LockBit.^3,28
• 2024
• Fin mai 2024IncidentVol de 4 502,9 bitcoins (environ 48,2 milliards de yens) sur la plateforme DMM Bitcoin. L’attaque a commencé par un faux recruteur contactant, sur LinkedIn, un salarié de Ginco, éditeur de logiciels de portefeuilles de cryptomonnaies.¹⁸
• 7 juin – 29 novembre 2024RapportComité d’experts sur le renforcement des capacités cyber ; ses recommandations servent de base aux projets de loi.⁹
• 24 décembre 2024AlerteLa police nationale japonaise, le FBI et le centre de cybercriminalité du département de la Défense américain attribuent le vol DMM Bitcoin au groupe nord-coréen TraderTraitor, sept mois après les faits.^18,19
• Fin 2024IncidentJapan Airlines subit une attaque qui provoque annulations, retards et arrêt du système de réservation en pleine période de départs.³
• 2025
• Janvier 2025AlerteLa police nationale et le centre national de coordination de la cybersécurité alertent (8 janvier) sur la campagne MirrorFace, dont ils soupçonnent un lien avec la Chine, active depuis environ 2019 et visant des informations relatives à la sécurité nationale et aux technologies de pointe.^20,4
• 7 février 2025DispositifAdoption des deux projets de loi en Conseil des ministres.^9,29
• 16 et 23 mai 2025DispositifVote puis promulgation de la loi sur le renforcement des capacités de réponse cyber (loi n° 42) et de sa loi d’accompagnement (loi n° 43).⁵
• 1^er juillet 2025DispositifCréation du Bureau national de cybersécurité par réorganisation de l’ancien centre de coordination ; le quartier général de la stratégie cyber passe sous la présidence du Premier ministre.^11,12,30
• Septembre 2025RapportNote de présentation du Bureau national de cybersécurité : 99,4 % des paquets d’attaque observés par la police en 2024 provenaient d’adresses IP étrangères.⁴
• Octobre 2025DispositifPublication du formulaire unifié de déclaration d’incident.²¹
• 23 décembre 2025AnnonceNouvelle stratégie de cybersécurité sur cinq ans : les cyberattaques soutenues par la Chine, la Russie et la Corée du Nord sont qualifiées de menaces sérieuses ; toutes les informations collectées seront centralisées au Bureau national de cybersécurité.¹⁷
• 2026
• 17 mars 2026AnnonceLe Conseil des ministres fixe au 1^er octobre le début des opérations de cyberdéfense active.²²
• 1^er avril 2026DispositifInstallation de la commission indépendante de contrôle (cinq membres). Les collectivités locales doivent par ailleurs se doter d’une politique de cybersécurité.^13,4
• Septembre 2026AnnonceNote officielle de mise en œuvre : 258 opérateurs désignés dans 15 secteurs (électricité, eau, finance, aéroports, télécommunications, etc.).²
• 1^er octobre 2026DispositifEntrée en vigueur des déclarations obligatoires, du conseil de partage d’informations et des mesures de neutralisation.^2,21
• 8 octobre 2026RapportRapport de l’éditeur américain Recorded Future (Insikt Group) sur la mise en œuvre et ses limites.⁴
• 2027
• 31 mars 2027ÉchéanceDate limite pour la déclaration des systèmes critiques déjà en service.^2,21
• Au plus tard le 23 novembre 2027ÉchéanceEntrée en vigueur de l’analyse des données de communication par l’État (délai légal de deux ans et demi après la promulgation).^4,23

Ce que révèle la chronologie

Un délai de cinq ans entre l’annonce et le dispositif complet. Entre la Stratégie de sécurité nationale de décembre 2022 et l’entrée en vigueur du dernier pilier, prévue fin 2027, il s’écoule environ cinq ans. C’est un rythme rapide pour une réforme qui touche au secret des correspondances, protégé par la Constitution japonaise, mais lent au regard de la menace décrite.

Une attribution toujours tardive. Les cas emblématiques montrent un décalage important entre les faits et leur qualification publique : sept mois pour le vol DMM Bitcoin, environ cinq ans pour la campagne MirrorFace. C’est précisément ce délai que la loi cherche à réduire, en obligeant les victimes à déclarer et en permettant à l’État de croiser les signaux.⁴

Une séquence inversée. L’obligation de déclarer précède d’environ treize mois la capacité de détection censée l’exploiter. Pendant cette période, les entreprises doivent considérer les alertes gouvernementales comme un complément, et non un substitut, à leur propre surveillance.⁴

Une précaution sur les chiffres de la menace

Les chiffres souvent cités pour justifier la réforme demandent une lecture attentive. Le réseau d’observation de l’institut public japonais de recherche en télécommunications a enregistré environ 686,2 milliards de paquets en 2024, contre 63,2 milliards en 2015.²⁴ Mais ces capteurs observent des adresses IP inutilisées : tout ce qui y arrive est non sollicité, sans être forcément malveillant. Selon l’institut lui-même, environ 60 % de ces paquets en 2024 relevaient de balayages apparemment effectués à des fins de recherche.²⁵ Le chiffre de 99,4 % d’origine étrangère provient, lui, d’un autre jeu de capteurs, ceux de la police nationale, et ne dit rien de la localisation réelle des attaquants, qui passent par des machines relais.⁴ Ces données montrent une tendance, pas un nombre d’attaques. Le chiffre 2025, publié depuis, constitue un nouveau record.²⁶

Note méthodologique

Cette série s’appuie principalement sur des documents officiels japonais (Secrétariat du Cabinet, Bureau du Cabinet, ministère des Affaires intérieures et des Communications, ministère de la Défense), sur des textes et avis officiels français (ARCEP, ANSSI, Assemblée nationale, ministère des Armées) et sur le rapport de Recorded Future du 8 octobre 2026. Pour limiter la dépendance à ce rapport commercial, la série intègre aussi des textes juridiques japonais, une prise de position critique japonaise et les données publiques de l’ANSSI ; elle ne repose en revanche sur aucun entretien de première main. Les documents japonais ont été consultés en version originale ; certaines nuances juridiques peuvent avoir été perdues. La situation législative française évoluait à la date de rédaction : le calendrier d’examen du projet de loi Résilience doit être revérifié au moment de la lecture.

Sources

1. Institut des hautes études de la défense nationale, « Mission d’étude au Japon : les auditeurs au cœur des enjeux de défense et de sécurité économiques en Indopacifique », 3 juin 2026 : ihedn.fr
2. Bureau national de cybersécurité et Bureau du Cabinet, note sur l’entrée en vigueur, septembre 2026 (en japonais) : cao.go.jp
3. Impress Internet Watch, entretien avec le Secrétariat du Cabinet sur la cyberdéfense active (incidents d’Osaka, Nagoya, Japan Airlines) (en japonais) : internet.watch.impress.co.jp
4. Recorded Future, Insikt Group, Japan Adopts Proactive Cyber Defense Strategy, rapport CTA-2026-1008, 8 octobre 2026 (diffusion libre), recordedfuture.com (version PDF : assets.recordedfuture.com)
5. Bureau du Cabinet, présentation générale de la loi (vote, promulgation, délais d’entrée en vigueur) (en japonais) : cao.go.jp
6. Business Lawyers, présentation du régime des infrastructures essentielles de la loi de promotion de la sécurité économique, mars 2023 (en japonais) : businesslawyers.jp
7. Monolith Law Office, présentation du système japonais d’habilitation de sécurité économique (en anglais) : monolith.law
8. Secrétariat du Cabinet, Stratégie de sécurité nationale, 16 décembre 2022 (en japonais) : cas.go.jp
9. Secrétariat du Cabinet, documents de présentation des projets de loi, 7 février 2025 (en japonais) : cas.go.jp
10. Ministère de la Défense, Livre blanc 2026, section cyber (en japonais) : mod.go.jp
11. Agence du numérique, conférence de presse du ministre chargé de la cybersécurité, 20 juin 2025 (en japonais) : digital.go.jp
12. ScanNetSecurity, création du Bureau national de cybersécurité au Secrétariat du Cabinet, juillet 2025 (en japonais) : scan.netsecurity.ne.jp
13. Issoh, présentation de la commission de contrôle des données de communication (en japonais) : issoh.co.jp
14. Henri Martre (président du groupe), Intelligence économique et stratégie des entreprises, Commissariat général du Plan, La Documentation française, février 1994 : vie-publique.fr
15. Wikipédia, article « Sōgō shōsha » : fr.wikipedia.org
16. Nippon.com, « Cybersécurité : comment le Japon passe en mode « guérilla numérique » » (version anglaise : « New Legislation Signals Japan’s Shift to « Active » Cyber Defense »), 2025, article traduit du japonais : nippon.com
17. Jiji Press via Nippon.com, adoption de la nouvelle stratégie de cybersécurité, 23 décembre 2025 : nippon.com
18. FBI, attribution du vol DMM Bitcoin à TraderTraitor, 24 décembre 2024 : fbi.gov
19. Police nationale japonaise, alerte sur TraderTraitor, 24 décembre 2024 (en japonais) : npa.go.jp
20. Police nationale japonaise et centre national de coordination de la cybersécurité, alerte sur les cyberattaques de MirrorFace, 8 janvier 2025 (en japonais) : npa.go.jp
21. Trend Micro Japon, calendrier de mise en œuvre et formulaire de déclaration, 14 août 2026 (en japonais) : trendmicro.com
22. Jiji Press via Adnkronos, début des opérations fixé au 1^er octobre, 17 mars 2026 : adnkronos.com
23. Jiji Press via Nippon.com, réunion interministérielle du 30 septembre 2026 (en japonais) : nippon.com
24. Ministère des Affaires intérieures et des Communications, Livre blanc 2025, section cybersécurité (en japonais) : soumu.go.jp
25. Institut national des technologies de l’information et des communications (NICT), communiqué sur le rapport d’observation 2024, 13 février 2025 (en japonais) : kyodonewsprwire.jp
26. ScanNetSecurity, Livre blanc 2026 sur les communications, septembre 2026 (en japonais) : scan.netsecurity.ne.jp
27. Trend Micro Japon, cyberattaque contre le centre médical général d’Osaka, novembre 2022 (en japonais) : trendmicro.com
28. Trend Micro Japon, attaque par rançongiciel contre le port de Nagoya, août 2023 (en japonais) : trendmicro.com
29. Daiwa Institute of Research, analyse des projets de loi sur la cyberdéfense active, 21 avril 2025 (en japonais) : dir.co.jp
30. Bureau du Premier ministre (Kantei), lancement du Bureau national de cybersécurité, 1er juillet 2025 (en japonais) : kantei.go.jp

Pour aller plus loin

Guénolé Jacq, Histoire et mutation de l’intelligence économique et technologique au Japon. De l’assimilation technologique d’après-guerre à la centralisation du renseignement de sécurité économique (1912–2026), Sismographe, 2026, 85 pages. Étude non publiée, diffusée sur demande auprès de l’auteur. Cette référence est proposée comme lecture complémentaire sur l’histoire de l’intelligence économique japonaise ; elle n’est pas utilisée comme source des affirmations de cet article.

Les analyses et opinions exprimées dans cet article n’engagent que leur auteur et ne reflètent pas nécessairement la position de l’Institut des hautes études de la défense nationale.