Chaque année, l’OTAN réunit une quarantaine de nations autour de Cyber Coalition, son grand exercice annuel de cyberdéfense. Nous étions à Tallinn, en Estonie, où se trouve le cyber range qui sert de terrain de jeu. Jean-Sébastien, planificateur d’exercices au centre de cybersécurité de l’OTAN et ancien officier de l’armée de l’Air, explique ce qui s’y joue réellement — et pose d’emblée une limite que beaucoup ignorent : l’Alliance ne conduit pas d’opérations cyber offensives.
Ce qu’il faut retenir de cet épisode
- Cyber Coalition rassemble une quarantaine de nations et environ 1 300 participants, dont seulement 200 sur place à Tallinn.
- Le cyberespace a été reconnu comme domaine d’opération par l’OTAN au sommet de Varsovie, en 2016.
- L’exercice se déroule sous le seuil de l’article 5 : pas de conflit armé, pas d’ennemi désigné, des adversaires fictifs.
- La distinction centrale : l’OTAN fait de la défense collective, y compris dans le cyberespace. Les effets offensifs relèvent de la souveraineté des nations.
- Un environnement volontairement safe to fail : données inventées, exercice non classifié, « on a le droit de se casser la figure ».
- Le partage d’indicateurs de compromission via l’outil MISP est l’un des cœurs techniques de l’exercice.
De la mécanique aviation à la cybersécurité de l’Alliance
Son parcours éclaire la manière dont l’OTAN recrute ses experts. Trente et un ans de service dans l’armée de l’Air, comme officier mécanicien, issu de la promotion 1991 de l’École de l’air. L’essentiel de sa carrière se déroule dans l’aviation de chasse.
Il passe ensuite l’enseignement militaire supérieur scientifique et technique comme ingénieur informaticien — la jonction avec son métier actuel. Il s’occupe alors des systèmes de préparation et de restitution de mission des Mirage 2000, Rafale et Mirage F1 : les outils sur lesquels les pilotes de chasse préparent leurs missions.
Deux séjours au centre de guerre interarmées de l’OTAN à Stavanger, en Norvège, entrecoupés d’un retour en France. Puis, en 2022, il quitte le service actif : le centre de cybersécurité de l’OTAN le recrute comme civil.
Il travaille aujourd’hui au sein de l’agence des systèmes d’information et de communication de l’OTAN — la NCI Agency — et plus précisément de son centre de cybersécurité, où il est officier planificateur d’exercices cyber.
Cyber Coalition : ce que l’exercice entraîne
L’exercice est annuel et sponsorisé par le comité militaire de l’état-major de l’OTAN, à Bruxelles. Il rassemble une quarantaine de nations : les 32 pays de l’Alliance — 29 participaient cette année — et sept partenaires, parmi lesquels l’Irlande, la Suisse, la Corée du Sud, le Japon et l’Ukraine.
Ce n’est pas d’abord un exercice technique. Il le résume en trois mots : coopération, collaboration, coordination. La raison tient à la nature du milieu : « Le cyberespace n’appartient à personne et il appartient à tout le monde. On n’est pas tout seul. » À la différence du monde physique, on ne peut pas dire « cette zone est à nous, on la défend et on contrôle tout ce qui s’y passe ».
D’où la présence d’acteurs civils aux côtés des militaires, notamment les CERT — les équipes de réponse à incident — de quatre nations. L’exercice cherche à reproduire « le monde tel qu’il existe, et dans lequel les opérations de l’OTAN pourraient un jour s’effectuer ».
Sur la date de 2016, il apporte une nuance utile : l’OTAN ne s’est pas réveillée brutalement au cyber. « Se défendre, c’est la raison d’être de l’OTAN, et on le fait depuis toujours. Ça ne portait pas le nom de cyberdéfense, mais c’était exactement ce qu’on faisait. » Ce que le sommet de Varsovie a acté, c’est la reconnaissance du cyberespace comme domaine d’opération à part entière.
L’immatériel a des conséquences très matérielles
Il insiste sur ce point, avec deux exemples.
Le premier est de notoriété publique : les attaques contre des hôpitaux français, qui ont gêné voire bloqué des opérations chirurgicales, « avec potentiellement la mise en danger d’autrui ». « Ce n’est pas neutre. C’est un sujet sérieux. »
Le second est directement militaire et illustre bien l’imbrication des domaines. Imaginons une opération qui s’appuie sur un port pour débarquer des conteneurs. Une attaque par rançongiciel contre ce port immobiliserait, par effet direct ou de bord, des conteneurs appartenant à l’OTAN. « S’ils contiennent de la nourriture, de l’eau ou du matériel médical, l’impact sur les opérations est réel. » Les militaires s’en prémunissent — stocks, modes d’approvisionnement multiples — et c’est précisément ce genre de raisonnement que l’exercice fait travailler.
Sur la désinformation, sa réponse est franche, en précisant qu’il s’agit de sa définition personnelle : oui, elle relève du cyberespace. « Tout ce qui est transmis avec des zéros et des uns — l’information en fait partie — est susceptible d’être manipulé ou attaqué par des acteurs malicieux. »
Il distingue alors deux familles d’acteurs : ceux qui vivent avec les règles internationales et les observent, comme la France ; et les acteurs malicieux qui les violent — par recherche de profit financier, comme les opérateurs de rançongiciels, ou en tant qu’acteurs étatiques et para-étatiques.
Le droit, et le manuel de Tallinn
Les aspects juridiques constituent une facette importante de l’exercice. « N’importe quelle entité un peu sérieuse œuvrant dans le cyberespace s’entoure de compétences juridiques » — des juristes qui maîtrisent le manuel de Tallinn et les référentiels sur l’application du droit dans le cyberespace.
La position de l’Alliance est simple à énoncer : « Les nations ont dit que le droit international s’applique dans le cyberespace. Nous le respectons, et nous nous attendons à ce que les autres acteurs le respectent. » La réalité l’est moins, puisque les acteurs malicieux, eux, ne s’y tiennent pas.
D’où le rôle des juristes comme conseillers du commandement : les effets, visibles ou invisibles, produits dans le cyberespace peuvent placer un chef militaire devant des situations qui ne relèvent pas de son champ de compétence.
La ligne rouge : l’OTAN ne fait pas d’effets offensifs
C’est le passage le plus important de l’entretien, et celui qui ouvre l’épisode.
Cyber Coalition se déroule hors du cadre de l’article 5, la clause de défense collective du traité de l’Atlantique Nord. « On n’est pas dans un conflit. Il n’y a pas de conflit armé, on n’applique pas le droit des conflits armés. » Il n’y a donc pas d’attaque cyber contre un ennemi dans le scénario : on y fait de la cyberdéfense.
Au-delà de l’exercice, il pose la règle générale : « L’OTAN ne fait pas d’effets cyber offensifs. Elle fait la défense collective, y compris dans le cyberespace. »
Que se passerait-il alors si une nation membre décidait de mener une cyberattaque ? Sa réponse renvoie à la souveraineté : « Les nations sont souveraines dans le cyberespace comme dans la vie. Elles y font ce qu’elles veulent pour elles-mêmes. » Les opérations de l’OTAN, elles, résultent de nations qui décident ensemble, sous le contrôle politique du Conseil de l’Atlantique Nord — qui fixe le pourquoi, le contexte et les règles d’engagement. Un mécanisme permet d’intégrer des effets cyber nationaux dans une opération de l’Alliance, « mais ce n’est pas l’OTAN en soi qui les provoque ».
Même logique pour l’adversaire : aucun pays n’est désigné comme ennemi dans le scénario, qui met en scène des adversaires fictifs. La raison est opérationnelle autant que diplomatique : le cyberespace compte trop d’acteurs malicieux aux caractéristiques différentes — étatiques, criminels, sponsorisés par des États — pour que l’entraînement se limite à l’un d’eux.
Pourquoi tout le monde joue le jeu
Réunir une quarantaine de nations censées partager de l’information sur leurs vulnérabilités n’a rien d’évident. Sa réponse tient en deux mécanismes.
D’abord, l’exercice n’est pas classifié. Les données sont virtuelles, fabriquées pour l’occasion ; aucun réseau sensible n’est mis en jeu. « Il n’y a pas de question de souveraineté ici. » On s’entraîne à des procédures, pas sur des systèmes réels.
Ensuite, l’intérêt est convergent. « Tout le monde comprend qu’on est plus fort à plusieurs. L’union fait la force pourrait bien représenter l’exercice. » Là où la géopolitique oppose les intérêts, le partage d’éléments techniques sur les attaques repérées « rend tout le monde plus fort ».
Il emploie une expression qui résume la philosophie du dispositif : un environnement safe to fail. « On a le droit de se casser la figure, on a le droit de faire des erreurs, parce qu’aucune donnée n’est sensible. »
MISP, ou la scène de crime cyber
L’une de ses casquettes dans l’exercice consiste à promouvoir MISP, un outil de partage d’indicateurs de compromission développé au Luxembourg, et inventé il y a plus de dix ans par un collègue du centre de cybersécurité de l’OTAN.
Sa comparaison est parlante. Quand un ordinateur est attaqué, il laisse des traces : « on les prélève comme des enquêteurs prélèveraient des traces sur une scène de crime ». MISP agrège ces scènes de crime et permet des corrélations — retrouver le même élément sur plusieurs incidents, identifier les techniques privilégiées par un adversaire. « Quand on les rassemble toutes, ça permet de mieux comprendre ce qui se passe, et qui l’a fait. »
Il en tire une image plus ludique : chaque nation détient un morceau de l’histoire, comme dans une escape room. « Si toutes les nations devaient s’échapper de la salle, elles collaboreraient : j’ai trouvé ça, toi tu as trouvé ça, et on résout le problème ensemble. »
L’autre chantier est celui de l’interopérabilité. Elle est déjà élevée entre pays de l’OTAN, grâce à la standardisation ; elle l’est beaucoup moins avec les partenaires. « C’est pour ça qu’on s’entraîne. »
Questions fréquentes
Qu’est-ce que l’exercice Cyber Coalition ?
C’est l’exercice annuel majeur de cyberdéfense de l’OTAN, sponsorisé par le comité militaire de l’état-major de l’Alliance. Il réunit une quarantaine de nations — membres et partenaires — autour de la coopération, de la collaboration et de la coordination dans le cyberespace, sur un cyber range installé à Tallinn.
Depuis quand le cyberespace est-il un domaine d’opération de l’OTAN ?
Depuis le sommet de Varsovie, en 2016. L’Alliance s’intéressait toutefois au cyberespace bien avant : la défense de ses propres systèmes a toujours été assurée, sans porter ce nom.
L’OTAN mène-t-elle des cyberattaques ?
Non. L’organisation ne produit pas d’effets cyber offensifs : elle assure la défense collective, y compris dans le cyberespace. Les nations, souveraines, peuvent conduire des opérations offensives ou défensives comme elles l’entendent, et un mécanisme permet d’intégrer de tels effets dans une opération de l’Alliance décidée par le Conseil de l’Atlantique Nord.
Une cyberattaque peut-elle déclencher l’article 5 ?
L’article 5 est la clause de défense collective du traité de l’Atlantique Nord, et l’exercice Cyber Coalition se déroule volontairement en dessous de ce seuil : il ne simule pas de conflit armé et n’applique pas le droit des conflits armés. Le déclenchement relève d’une décision politique du Conseil de l’Atlantique Nord, au cas par cas.
À écouter également
- #266 — Le métier de cybercombattant (COMCYBER)
- #260 — Mission Lynx, les Français en Estonie
- #250 — La sécurité intérieure sur le front du cyber et de l’IA
- #20 — La cyberdéfense militaire
- #190 — Le centre d’excellence spatial de l’OTAN
Pour aller plus loin sur Défense Zone
- Les enjeux de la cyberdéfense
- Le métier de cybercombattant
- Révolution numérique : cyber, armées et stratégie
- L’Union européenne face aux cyberattaques
- Portfolio : la mission Lynx en Estonie
Défense Zone est un média indépendant consacré aux questions de défense et de sécurité. Ce podcast est disponible sur toutes les plateformes audio — Spotify, Deezer, Apple Podcasts — ainsi que sur notre chaîne YouTube. Pour soutenir notre travail, retrouvez notre magazine papier trimestriel et notre espace premium sur defense-zone.com.