3/4 – Japon et France : les angles morts partagés de la cyberdéfense

Le périmètre réglementé ne correspond plus au chemin des attaques

Les cas japonais les plus graves n’ont pas commencé chez un opérateur régulé. Le vol DMM Bitcoin a débuté par un faux recrutement sur LinkedIn visant un salarié de Ginco, éditeur de logiciels de portefeuilles de cryptomonnaies ; le groupe BlackTech a compromis des routeurs de filiales étrangères pour remonter vers les sièges.^5,1 Le rapport de Recorded Future identifie cinq voies d’accès probables qui échappent à l’obligation de déclaration : filiales étrangères, fournisseurs non désignés, salariés individuels, plateformes grand public et infrastructures d’hébergement éphémères.¹ Mieux protéger le cœur du système pourrait déplacer la menace vers sa périphérie. La même logique vaut en France, y compris après NIS2, qui ne couvre ni les individus ni les plateformes utilisées pour le premier contact.

La réciprocité public-privé n’est pas garantie par la loi

L’adhésion au conseil japonais de partage d’informations est volontaire. Les entreprises n’y contribueront réellement que si l’État leur renvoie des informations utiles, rapidement.¹ Une loi peut imposer de déclarer ; elle ne peut pas imposer la confiance. La tradition japonaise de circulation de l’information entre l’État et les entreprises est ici un atout possible, mais elle repose sur des relations informelles de confiance au sein des réseaux industriels : rien ne garantit qu’elle se transpose d’elle-même à un cadre obligatoire et contrôlé par l’État. La France rencontre la même difficulté : l’obligation de déclaration pèse sur les opérateurs, mais la qualité du retour d’information de l’État reste difficile à mesurer de l’extérieur. Ce point mériterait des indicateurs publics dans les deux pays.

Un contrôle administratif, pas judiciaire

Le Japon comme la France ont confié le contrôle des pouvoirs les plus intrusifs à des autorités administratives indépendantes plutôt qu’à un juge. Ce choix favorise la rapidité, mais l’efficacité réelle du contrôle dépendra des moyens d’accès technique dont disposeront ces autorités. La commission japonaise n’a que quelques mois d’existence : ses premiers rapports à la Diète seront un indicateur important.

Au Japon, la réforme a d’ailleurs été contestée. Dans un avis du 12 mars 2025, une association d’avocats engagée, le Jiyū Hōsōdan (Association des juristes pour la liberté), soutenait que même la collecte de données dites techniques porte atteinte au secret des correspondances, regrettait l’absence de mandat judiciaire et jugeait la commission de contrôle trop proche de l’exécutif. Elle voyait aussi dans la neutralisation de serveurs étrangers une forme d’attaque préventive difficilement compatible avec le pacifisme constitutionnel.³ Ces critiques émanent d’une organisation militante et ne représentent pas l’ensemble de la profession ; elles montrent toutefois que la légitimité du dispositif reste discutée.

Les ressources humaines

Le principal obstacle cité par les analystes japonais est la pénurie de spécialistes, qui doivent de surcroît maîtriser le renseignement, la diplomatie et les questions militaires. L’ampleur exacte de la pénurie est difficile à établir : une enquête de l’organisation de certification ISC² prévoyait dès 2016 un déficit d’environ 170 000 experts à l’horizon 2024, et le ministère japonais de l’Économie, du Commerce et de l’Industrie l’estimait en 2020 à environ 190 000 personnes. Ce ministère s’est fixé pour objectif de doubler d’ici 2030 le nombre de spécialistes enregistrés à haut niveau de compétence, pour atteindre 50 000.⁴ La France a affiché, à l’occasion de la Revue nationale stratégique 2025, l’ambition de devenir « le plus grand vivier de talents cyber d’Europe », ce qui signale le même besoin.⁶ Les textes réglementaires des deux pays sont détaillés ; les effectifs nécessaires pour exploiter les données qu’ils produiront le sont beaucoup moins.

Treize mois de déclarations sans l’outil prévu pour les recouper

Jusqu’en novembre 2027, l’État japonais disposera des déclarations des victimes mais pas de l’analyse du trafic, qui est la source la plus utile pour repérer une campagne avant qu’une victime ne soit identifiée. Les adversaires connaissent ce calendrier public.

Une traduction juridique encore approximative

Il n’existait pas, en septembre 2026, de traduction anglaise officielle des deux lois.¹ Les analyses étrangères, y compris celle qui a servi de base à cette série, reposent sur des traductions automatiques. Les entreprises étrangères ayant des filiales au Japon doivent donc faire vérifier leurs obligations par des juristes japonais.

Une transposition prise en otage par un autre débat

Le retard de la transposition de NIS2 ne tient pas au fond du texte, adopté à l’unanimité en commission, mais à l’article 16 bis sur le chiffrement, qui oppose le Parlement et les services de renseignement.^7,8 Pendant ce temps, environ 15 000 entités restent sans cadre stabilisé et sans calendrier de mise en conformité définitif.⁹ Le retard a désormais un coût juridique et financier : la Commission européenne a saisi la Cour de justice de l’Union européenne en juillet 2026, et l’examen du texte en séance a de nouveau été reporté en octobre, sans nouvelle date.^10,11

La dépendance au renseignement commercial

Une grande partie de l’analyse publique de ces dispositifs provient d’éditeurs privés de renseignement sur les menaces. Le rapport de Recorded Future est rigoureux (niveaux de confiance explicites, limites des sources signalées en note), mais sa conclusion, selon laquelle le suivi d’infrastructures et l’analyse de trafic apporteront la plus grande valeur d’alerte, correspond à son cœur de métier.¹ Les États gagneraient à publier davantage leurs propres évaluations.