Loi sur l'Agence de cybersécurité de Catalogne

La cybersécurité est une préoccupation croissante en raison de l'augmentation rapide des menaces liée aux évolutions technologiques. La Généralité de Catalogne a reçu 15 millions de cyberattaques en 2013, 147,4 millions en 2014, et 215,7 millions en 2015. Elle s'est dotée d'un Plan de sécurité des technologies de l'information depuis 2009, et a créé le Centre de Seguretat de la Informació de Catalunya (ca) (CESICAT), un organisme public chargé de la protéger des attaques informatiques[1].

La cybersécurité est également un sujet d'intérêt dans le contexte du processus indépendantiste catalan. Le conseil consultatif pour la transition nationale (CATN), organisme composé d'experts créé par le gouvernement d'Artur Mas pour le conseiller dans la conduite du processus souverainiste, a rédigé un rapport sur les technologies de l'information et de la communication, publié en décembre 2013. Celui-ci souligne qu'un État catalan indépendant devrait renforcer sa protection contre les cyberattaques. Il indique que le CESICAT (ca) n'assure pas une sécurité suffisante pour un État, et préconise de renforcer les moyens de cybersécurité[2].

Le besoin de protection contre les attaques informatiques a été mis en évidence lors de la consultation sur l'indépendance de la Catalogne du 9 novembre 2014. Ce jour-là, la Généralité a connu la cyberattaque la plus importante qu'elle ait jamais subie, mettant hors d'usage plusieurs de ses services informatiques. Le gouvernement a soupçonné des motivations politiques à l'attaque, dont la provenance est inconnue[3]. Cet événement a conduit les autorités politiques catalanes à renforcer ses moyens de cybersécurité. Après que le Parlement a voté une résolution demandant au gouvernement de réformer le CESICAT (ca), le gouvernement a adopté en décembre 2014 le rapport préliminaire d'un avant-projet de loi pour transformer le CESICAT (ca) en agence de cybersécurité, afin d'améliorer son efficacité. Ce projet a été ajourné par la dissolution du Parlement et l'organisation d'élections anticipées en septembre 2015[4].

En janvier 2016, le nouveau gouvernement de Carles Puigdemont a transféré le CESICAT (ca) du département de l'entreprise et de l'emploi vers le département de la présidence. Ce changement de rattachement visait à accroître son importance en lui donnant une dimension transversale, au lieu de le cantonner à la politique économique. Il souligne qu'il s'agit d'une infrastructure stratégique dans le cadre du processus indépendantiste, car elle fait partie des « structures d'État » dont la Catalogne aurait besoin si elle devenait indépendante[5]. Le CESICAT (ca) est placé dans un nouveau secrétariat pour la gouvernance des technologies de l'information, dirigé par l'ancien directeur général des télécommunications Jordi Puigneró, sous l'autorité de la conseillère à la présidence, Neus Munté[6]. De plus, le plan de gouvernement, présenté en avril 2016, prévoit la création d'une agence de cybersécurité[7]. Par ailleurs, la Généralité a progressivement augmenté les moyens financiers consacrés à la cybersécurité : le budget annuel du CESICAT (ca) est passé de 1 million d'euros en 2013 à 7,5 millions d'euros en 2017. L'accroissement des moyens a permis de réduire le nombre d'attaques informatiques : de 215 millions en 2015, elles sont passées à 103 millions en 2016[8].

Le gouvernement adopte le projet de loi de création de l'Agence de cybersécurité de Catalogne le 26 juillet 2016. La création d'une Agence de cybersécurité vise à donner à la Généralité les moyens de répondre aux risques et aux menaces de la société numérique : elle aura pour mission d'assurer la sécurité des réseaux de communications électroniques et des systèmes d'information du secteur public en Catalogne, en collaboration avec les services de police et les autorités judiciaires. Elle se substitue au CESICAT (ca)[9].

Le projet de loi est débattu par le Parlement de Catalogne le 20 octobre 2016. Il est défendu par la conseillère à la présidence, Neus Munté, qui souligne la nécessité de protéger les systèmes d'information de la Généralité. Ciutadans (C's) et le Parti populaire catalan (PPC) s'y opposent, mais leur amendement de rejet est repoussé par 31 voix « pour », contre 95 voix « contre » de la majorité de Junts pel Sí et des autres groupes politiques. Catalunya Sí que es Pot (CSQP), le Parti des socialistes de Catalogne (PSC) et la Candidature d'unité populaire (CUP) donnent leur accord de principe mais critiquent le contenu du texte[10].

Le texte est ensuite examiné en commission parlementaire jusqu'en mai 2017. La négociation entre les groupes politiques permet de résoudre une grande partie des divergences. Non seulement la majorité de Junts pel Sí, mais aussi CSQP, le PSC, la CUP et le PPC donnent leur accord. Seul Ciutadans maintient son opposition de principe au projet, car il voit dans l'Agence de cybersécurité l'embryon d'une agence de renseignement ou d'espionnage[11].

Ciutadans sollicite l'avis du Consell de Garanties Estatutàries (ca), au motif que le projet de loi donne à l'Agence de cybersécurité des compétences réservées à l'État espagnol ou à la police[12]. Dans son avis rendu le 30 juin 2017, le Consell de Garanties Estatutàries (ca) confirme la compétence de la Généralité en matière de cybersécurité. Il conteste un seul point du projet de loi, qui confiait à l'Agence de cybersécurité la mission d'« enquêter sur et d'analyser les incidents et les cyberattaques », car il s'agit de fonctions de police qui dépassent le rôle de protection et de défense contre les agressions. En revanche, le Consell de Garanties Estatutàries (ca) valide la compétence de l'Agence de cybersécurité sur l'ensemble du « territoire de la Catalogne », c'est-à-dire non seulement pour la défense des systèmes informatiques de la Généralité, mais aussi pour contribuer à la protection de ceux des municipalités, des citoyens et des entreprises[13].

La loi sur l'Agence de cybersécurité de Catalogne est adoptée par le Parlement le 12 juillet 2017 par 88 voix « pour » de Junts pel Sí, du PSC et de CSQP, 24 voix « contre » de Ciutadans, et 19 abstentions du PPC et de la CUP. Un seul amendement de Junts pel Sí est approuvé, pour rectifier le point contesté par le Consell de Garanties Estatutàries (ca) : il précise que l'Agence de cybersécurité est chargée d'enquêter « technologiquement » sur les cyberattaques, ce qui différencie son rôle de celui d'une enquête de police. Le débat politique se porte sur la question de savoir si la loi vise à créer l'équivalent du Centro Nacional de Inteligencia (CNI), le service de renseignement espagnol, ce qui est contredit par le rapporteur du texte, Lluís Guinó (ca) (JxSí) et les autres groupes favorables. Selon Ciutadans, la création de l'Agence de cybersécurité va permettre au gouvernement de contrôler les télécommunications, d'espionner les citoyens et d'attaquer les systèmes informatiques de ses adversaires[14] - [15].

La loi crée l'Agence de cybersécurité de Catalogne : il s'agit d'un organisme public, disposant de la personnalité juridique, soumis au droit privé. Elle se substitue au Centre de Seguretat de la Informació de Catalunya (ca) (CESICAT). Sa mission est de planifier, gérer, coordonner et superviser la cybersécurité en Catalogne. Ses fonctions sont de prévenir les cyberattaques sur les réseaux de communication électroniques et les systèmes d'information publics, enquêter sur les incidents et les menaces de cyberattaques, minimiser les dégâts et les délais de rétablissement des services attaqués, et de collaborer avec les services de police et les autorités judiciaires. La loi organise le fonctionnement de l'Agence de cybersécurité, et fixe le régime juridique de ses moyens financiers, de ses contrats, de son personnel et du contrôle de son activité. Elle règle la dissolution du CESICAT (ca) et le transfert de ses activités, de son personnel, de ses biens et de ses contrats à la nouvelle Agence[16] - [17].

L'Agence de cybersécurité de Catalogne doit être installée dans les locaux du CESICAT (ca), à l'Hospitalet de Llobregat. Elle reprend également ses 25 agents et son budget de 7,5 millions d'euros en 2017. L'objectif du gouvernement est qu'elle soit opérationnelle au premier trimestre 2018[8].