La loi de programmation militaire va renforcer les pouvoirs de l’Anssi

Le gouvernement a dévoilé, le 4 avril 2023, son projet de loi de programmation militaire pour 2024-2030. Quatre de ses articles visent à renforcer les pouvoirs de l’Anssi. L’objectif est « d’augmenter sa connaissance des modes opératoires des cyberattaquants, de mieux remédier aux effets de leurs attaques et d’alerter plus efficacement les victimes des incidents ou des menaces pesant sur leurs systèmes d’information ».

Dans le détail, l’article 32 de la loi autorise l’Anssi à prescrire des mesures de filtrage DNS auprès des FAI en cas « menaces susceptibles de porter atteinte à la sécurité nationale ». L’agence aura alors le droit de bloquer ou rediriger des noms de domaine.

L’article 33 prévoit, en cas de cyber-incident, la communication à l’Anssi des « données techniques, non identifiantes, enregistrées temporairement par les serveurs DNS qui établissent la correspondance entre le nom de domaine et l’adresse IP des machines d’un réseau ». Cela permettra notamment à l’agence d’identifier les serveurs utilisés par une attaque, et d’établir sa chronologie.

L’article 34 obligera les éditeurs de logiciels à signaler à l’Anssi et à leurs clients français tout incident informatique ou vulnérabilité critique identifiés. L’agence serait par ailleurs autorisée à révéler publiquement le nom des éditeurs n’ayant pas répondu à ses injonctions de signalement.

Enfin, l’article 35 comprend un échantillon de mesures pour renforcer les capacités de détection des cyberattaques et d’information des victimes de l’Anssi. La loi étend notamment le champ des marqueurs techniques auxquels l’agence peut exiger d’avoir accès.

L’Arcep (régulateur des télécommunications en France) avait en effet fait une lecture très restrictive de la précédente loi de programmation militaire. L’Anssi ne pouvait ainsi accéder qu’aux effets des activités malveillantes et aux flux réseaux, et pas à leurs causes. La nouvelle loi précise que l’agence est autorisée à consulter aussi le code, les logs ou le contenu stocké. Son champ d’investigation sera par ailleurs étendu aux centres de données.

Le projet de loi sera discuté à l’Assemblée nationale en mai 2023. Sa promulgation définitive est prévue avant le 14 juillet 2023.