Le débat sur la création d’une force cyber gagne en intensité, mais il semble passer à côté de l’essentiel. Alors que le Congrès américain a frôlé de peu l’adoption d’un service cyber intégré au Département de l’Armée, la priorité ne devrait pas être la constitution d’une nouvelle branche, mais bien la refonte de la gouvernance du cyberespace.
Il y a deux ans, en tant que sous-marinier de carrière détaché à l’U.S. Cyber Command, j’étais partagé entre enthousiasme et scepticisme face au potentiel inexploré des opérations cyber. Le véritable enjeu n’est pas seulement de revoir le modèle actuel de génération des forces — qui rencontre indéniablement des difficultés — mais de définir clairement qui gouvernera ce domaine.
Un problème de gouvernance plus que de génération de forces
Dans tous les domaines traditionnels de la guerre, les forces sont formées et équipées par les Services, puis employées par les commandements opérationnels. Le cyber, lui, fait exception. Cyber Command dépend des Services pour générer ses forces, alors même que le cyberespace ne constitue pas leur priorité première. Ce modèle est à l’origine des difficultés observées : complexité technique, défauts de formation, et déficit de ressources. Les tentatives de réforme comme Cybercom 2.0 n’ont pour l’instant pas réussi à imposer aux Services la primauté nécessaire pour faire du cyber un espace pleinement intégré à la guerre.
La culture organisationnelle de Cyber Command reflète ce problème : contrairement à des forces telles que la Marine sous-marine, où les ordres circulent dans une chaîne de commandement claire et directe, le cyber semble fonctionner davantage comme un coordinateur, avec un consensus recherché avant toute décision et une absence d’autorité unique capable d’imposer ses directives.
Cette absence de propriétaire unique de l’espace cyber est la source du problème : tout le monde en a la responsabilité, mais personne n’en a la priorité. Le modèle d’Admiral Rickover appliqué à la marine nucléaire — où une autorité clairement définie pilotait l’ensemble du processus — est le parfait contrepoint au fonctionnement actuel du cyber.
Une réforme institutionnelle préalable nécessaire
La question centrale ne doit donc pas être l’appel à une nouvelle force, mais à une refonte profonde de la gouvernance. Cette gouvernance doit définir qui détient le budget, établit la politique, exerce la supervision civile et répond devant le Congrès pour les opérations dans ce domaine. Tant que ces éléments ne seront pas clarifiés, la création d’une Cyber Force risque de figer durablement un système fragmenté qui a jusqu’à présent échoué à résoudre les principaux problèmes opérationnels et structurels.
Les initiatives récentes du Congrès vont dans ce sens. Le projet de loi du comité des services armés de la Chambre des représentants ne crée pas de Cyber Force, mais désigne un responsable unique pour la sécurité des réseaux du Département de la Défense. Le Sénat propose même de créer un sous-secrétaire de la Défense dédié au cyber, à l’information et aux réseaux, cumulant les fonctions de Chief Information Officer et de Principal Cyber Advisor, concentrant ainsi les leviers d’action et de responsabilité.
Cependant, nommer un responsable ne suffit pas : il faut lui conférer un pouvoir réel sur les ressources, le budget, et la capacité d’imposer aux Services leurs priorités cyber. Sans cela, cette autorité restera symbolique et incapable d’éviter les échecs actuels.
Les enseignements de l’histoire militaire américaine
Les défenseurs de la Cyber Force invoquent souvent la création de l’Armée de l’Air comme précédent, un domaine émergent qui ne dépendait d’aucune des forces traditionnelles. Pourtant, avant la naissance de l’Armée de l’Air, la gouvernance globale du département de la Défense avait été réorganisée, instaurant un Secrétaire de la Défense et fonctionnaires civils responsables, créant ainsi un cadre adapté au nouveau service.
Cette logique s’applique aussi aux forces spéciales, dont la création a été accompagnée d’une autorité budgétaire claire, conférant une véritable propriété opérationnelle, dépassant largement la simple définition d’un poste à haut grade.
La gouvernance du cyber doit suivre ce même chemin, soit par une refonte complète et intégrée, soit par un processus itératif qui permette d’assurer un véritable contrôle et une supervision efficaces.
Conclusion : mettre d’abord de l’ordre avant de bâtir
Il est tentant de vouloir avancer rapidement pour créer une force cyber dédiée. Pourtant, engager ce processus sans avoir répondu en amont à la question de la gouvernance reviendrait à construire un bâtiment sans fondations solides. Le défi premier est d’établir une autorité unique dotée de moyens concrets et responsables, capable de définir les priorités et d’arbitrer les ressources. Ce n’est qu’après cette étape essentielle que la création d’une Cyber Force aura un sens et pourra pleinement servir les intérêts stratégiques nationaux.
En somme, la véritable question n’est pas : « Le cyber doit-il avoir sa propre force ? », mais plutôt : « Qui gouverne et assure la souveraineté sur le cyberespace ? ». Il faudra répondre à cette interrogation avant de distribuer les uniformes.
