Le cyberespace est souvent présenté comme un nouvel espace géopolitique, à côté des milieux terrestre, maritime et aérien. L’image est utile, à condition de ne pas prendre le cyber pour un territoire de plus. Il est d’abord un tissu d’interdépendances : câbles, centres de données, logiciels et prestataires relient États, entreprises et administrations. Cette mise en réseau accélère l’économie, mais elle diffuse aussi le risque, du nord au sud de la Méditerranée, y compris au Maroc. Cette matérialité compte. Une crise numérique n’est pas seulement un incident technique ; elle peut devenir une crise économique, puis une crise politique, parce qu’elle touche des fonctions qui font tenir un pays : la santé, l’énergie, la finance, la logistique, l’accès à l’information. Or, la majorité des opérations malveillantes ne cherchent pas à provoquer une guerre déclarée. Elles cherchent à user, à peser, à influencer, en restant sous les seuils d’une escalade ouverte.

On affirme parfois que le droit international serait silencieux face aux cyber-attaques. Les discussions multilatérales et les positions nationales vont plutôt dans le sens d’une applicabilité du droit international au cyberespace, notamment la Charte des Nations unies. Le problème se situe plus bas : qualifier un acte, publier une attribution crédible, puis décider d’une réponse qui ne divise pas les alliés. Cette combinaison crée de la friction et de l’hésitation ⁽¹⁾. Autre idée fréquente : une cyberattaque ne laisserait pas de traces, contrairement à une attaque classique. En réalité, les opérations laissent presque toujours des indices, mais ils sont fragmentés, manipulables et, surtout, difficiles à transformer en preuve publiable. L’enjeu n’est pas l’absence de signaux, mais la bataille de l’interprétation ainsi que la vitesse avec laquelle on peut convaincre.

C’est dans cette friction que s’installe la zone grise. L’idée est la suivante : l’ambiguïté du droit et l’incertitude sur l’attribution ne sont pas seulement des contraintes. Elles peuvent devenir un levier, en permettant d’imposer des coûts économiques et de déformer des chaînes de valeur, tout en laissant à l’adversaire un espace de déni et de contestation. La démarche est pragmatique : analyse documentaire de textes de référence et de positions étatiques, puis étude de cas sur NotPetya ⁽²⁾. L’objectif n’est pas de trancher un débat doctrinal, mais de montrer comment l’incertitude devient une ressource stratégique.

La coercition géoéconomique sous le seuil

La zone grise n’est pas un vague entre-deux. Il s’agit d’une méthode : accumuler des actions limitées, suffisamment sérieuses pour peser, mais pas assez lisibles pour déclencher une réponse lourde. Dans le cyberespace, cette méthode est particulièrement efficace parce que l’accès est souvent à distance, la vitesse d’exécution élevée et la dénégation plausible plus facile qu’ailleurs. Dans cette logique, la cible n’est pas toujours l’État de front. Elle est souvent une entreprise, un prestataire, une chaîne de sous-traitance, un éditeur logiciel, un Opérateur d’importance vitale (OIV). La pression remonte ensuite vers le politique. C’est ce qui donne à la conflictualité cyber une couleur géoéconomique : on pèse sur une économie pour obtenir un effet stratégique.

Cette coercition passe par trois ressorts récurrents. D’abord, la perturbation, qui crée des arrêts, des retards et des goulots d’étranglement. Ensuite, la prédation, qui vise les données, l’innovation, les secrets industriels et les informations de marché. Enfin, le signal, quand l’attaque rappelle qu’un secteur peut être touché à tout moment et que l’incertitude devient un message. Le dommage le plus utile n’est pas forcément spectaculaire. Une indisponibilité brève, un redémarrage long, une perte de données, une désorganisation logistique peuvent suffire à créer un effet d’entraînement. Les entreprises revoient leurs contrats, paient davantage d’assurance, déplacent des investissements, renoncent parfois à des projets. La prime de risque devient un coût permanent, souvent invisible, mais stratégiquement décisif.

Ce qui rend la zone grise si attractive pour un acteur étatique est l’asymétrie. Le coût de l’attaque est souvent inférieur au coût de la défense et du rétablissement. Le coût politique est limité, car l’auteur peut nier. À l’inverse, la victime doit prouver, convaincre et calibrer sa réponse. Même lorsqu’elle dispose d’indices solides, elle doit choisir entre se taire, réagir discrètement, ou s’exposer à une escalade que ses partenaires ne suivront pas forcément. Dans une économie ouverte où la numérisation est un moteur de productivité, cette usure pèse sur l’innovation et la compétitivité. Le Maroc a engagé, comme d’autres États, une structuration de sa gouvernance de cybersécurité centrée sur la résilience des administrations et des infrastructures d’importance vitale. La Directive nationale de la sécurité des systèmes d’information fixe un socle de mesures, la loi n° 05-20 consolide le cadre juridique et la stratégie nationale à l’horizon 2030 inscrit ces efforts dans le temps long ⁽³⁾.

Ambiguïté juridique, attribution et démonstration par NotPetya

Le droit international n’est pas absent du cyberespace. La Charte des Nations unies, les règles de la responsabilité internationale et les principes de souveraineté et de non-intervention s’y appliquent. Cependant, les débats se concentrent sur les seuils. Quand une opération devient-elle un emploi de la force, voire une attaque armée ? Et que peut faire un État victime lorsque l’opération reste en dessous de ces catégories ?

Un raisonnement fréquent consiste à comparer les effets d’une opération cyber à ceux d’une action physique. Le Royaume-Uni retient l’idée qu’une cyberopération peut constituer une attaque armée si son ampleur et ses effets sont équivalents à ceux d’une attaque menée par des moyens cinétiques ⁽⁴⁾. La France a publié une position sur le droit international appliqué au cyberespace ⁽⁵⁾. La doctrine, par exemple le Tallinn Manual 2.0, aide à clarifier, sans produire un consensus entre États ⁽⁶⁾.

Cette approche par les effets dispose d’une logique, mais elle laisse une grande zone d’incertitude dès que l’on parle de perturbations massives sans destruction physique. Or, la zone grise joue précisément avec cet entredeux. Les atteintes les plus courantes visent des effets économiques, organisationnels ou psychologiques, difficiles à ranger dans des catégories juridiques stabilisées. Sous le seuil de l’emploi de la force, le droit de la responsabilité internationale ouvre des réponses possibles, dont des contre-mesures proportionnées en réaction à un fait internationalement illicite. Néanmoins, ce raisonnement repose sur des conditions exigeantes : imputation, preuve suffisante, proportionnalité, et une communication qui tienne face à la contestation. Dans la zone grise, c’est souvent la chaîne de preuve qui se brise avant même le débat juridique.

La non-intervention interdit la contrainte dans les affaires relevant de la souveraineté, mais la contrainte en cyber est rarement frontale. Elle peut être diffuse, graduelle, indirecte. Même lorsqu’un État est convaincu de l’origine, il lui faut encore convaincre ses partenaires et accepter que l’adversaire conteste publiquement la qualification.

À ce flou s’ajoute la question de l’imputabilité. L’attribution n’est pas seulement une affaire d’analyse technique. C’est une décision politique, parce qu’elle suppose d’arbitrer entre la transparence et la protection des sources. Publier trop peu fragilise la crédibilité ; publier trop expose les capacités. L’attaquant, lui, investit dans le déni : relais criminels, infrastructures tierces, faux signaux. Le résultat est un déséquilibre simple : l’attaque est rapide, la riposte doit être justifiée. NotPetya illustre cette mécanique. Diffusée en juin 2017, l’opération a frappé en priorité des organisations en Ukraine, avant de se propager largement à l’international par l’interconnexion des systèmes et des logiciels. En février 2018, le Royaume-Uni puis les États-Unis ont attribué publiquement l’opération à la Russie, en insistant sur son caractère destructeur et sur le coût économique global ⁽⁷⁾.

L’intérêt du cas tient moins à un débat technique qu’à la dynamique politique : une attaque peut causer des dommages massifs tout en restant, pour un temps, dans un brouillard de qualification et de preuve publiable. C’est un terrain favorable à la zone grise. Les effets sont considérables, mais la qualification et la preuve publiable restent discutables. La riposte privilégie l’attribution publique, la sanction et la coalition, plutôt qu’une escalade militaire revendiquée. Autrement dit, le cyber permet de frapper fort tout en gardant de la marge de déni, et il pousse la victime à répondre sans offrir un prétexte à l’emballement.

Stabiliser sans militariser : résilience, coalition, riposte graduée

Face à la zone grise, la première réponse est la résilience, parce qu’elle réduit le rendement économique de l’attaque. La capacité à restaurer vite, à segmenter des réseaux, à sécuriser des sauvegardes, à tester des plans de continuité, n’est pas un détail technique. C’est un facteur de puissance. Chaque jour de service retrouvé plus vite est un jour de coercition en moins. Cette résilience suppose aussi de traiter la chaîne d’approvisionnement comme un enjeu stratégique. Beaucoup d’attaques passent par un fournisseur, une mise à jour, un prestataire. Diversifier des dépendances, imposer des exigences de sécurité dans les contrats, renforcer la maîtrise des composants critiques, ce sont des décisions économiques qui produisent des effets géopolitiques. La régulation devient aussi un levier. La directive NIS2 sur la sécurité des réseaux et des systèmes d’information et le règlement DORA sur la résilience opérationnelle numérique du secteur financier imposent des exigences de gouvernance, de notification et de continuité, et font de la résilience une norme de marché ⁽⁸⁾. Au Maroc, la Directive nationale et la loi n° 05-20 poursuivent une logique comparable d’homogénéisation des exigences, centrée sur les administrations et les infrastructures d’importance vitale ⁽⁹⁾. Cela ne supprime pas le risque, mais cela limite la contagion et rend plus coûteuse la stratégie d’usure.

La deuxième réponse est la cohérence collective. Une attribution isolée est facile à contester. Une attribution portée par plusieurs partenaires devient un signal stratégique. Pour la France, la coordination avec des partenaires proches, dont le Maroc, renforce la crédibilité et protège des chaînes de valeur communes. L’objectif n’est pas une certitude absolue, mais un niveau de crédibilité suffisant pour justifier une réponse proportionnée, dans la durée. À ce titre, l’Union européenne (UE) s’est dotée d’un cadre de réponse diplomatique conjointe face aux activités cyber malveillantes, consolidé par des lignes directrices de mise en œuvre ⁽¹⁰⁾. Il rappelle un point souvent sous-estimé : l’attribution reste une décision politique souveraine, et toutes les mesures de réponse ne nécessitent pas une attribution formelle. Cette souplesse est précieuse en zone grise.

La troisième réponse est d’assumer une riposte graduée. Tout incident ne justifie pas la même réaction, mais l’absence de réaction répétée est une invitation. La riposte peut aller de la communication stratégique et de la coopération judiciaire à des sanctions ciblées, en passant par le soutien aux opérateurs essentiels. L’important est d’être cohérent, proportionné et lisible. Dans ce continuum, la clarification juridique a un rôle très concret. Plus un État publie sa doctrine, plus il réduit la marge de contestation et plus il prépare la construction de coalitions. Les Nations unies encouragent d’ailleurs les États à partager leurs vues sur la manière dont le droit international s’applique au cyberespace, afin de renforcer la prévisibilité ⁽¹¹⁾. En zone grise, la bataille se joue aussi sur le récit juridique. Reste un enjeu politique : stabiliser sans militariser. À force de subir des coups sous le seuil, on peut finir par accepter la coercition comme un bruit de fond. À force de répondre à tout, on peut militariser toutes les frictions. La voie étroite consiste à protéger ce qui est vital, à réduire la rentabilité des attaques et à construire des coalitions capables de tenir dans le temps.

Conclusion

La zone grise cyber prospère moins sur un vide juridique que sur une incertitude exploitable. Les règles existent, mais la qualification, l’attribution publiable et la décision politique prennent du temps, alors que l’attaque se joue en minutes. Dans un monde d’interdépendances, cette asymétrie permet une coercition géoéconomique durable, qui modifie les coûts et les dépendances, de la France au Maroc. Pour la France, l’Europe et leurs partenaires, la réponse la plus solide combine résilience, attribution collective et riposte graduée, sans basculer dans la militarisation systématique. La question décisive est simple : le cyberespace deviendra-t-il un espace où la compétition reste contenue, ou un espace où l’usure sous le seuil devient la routine de la rivalité internationale ? ♦

(1) Organisation des Nations unies, Groupe de travail à composition non limitée sur la sécurité dans l’utilisation des technologies de l’information et de la communication 2021-2025, Rapport final, A/AC.292/2025/CRP.1, 11 juillet 2025 (https://docs.un.org/en/A/AC.292/2025/INF/5).
(2) Sur ce sujet, voir aussi Dugoin-Clement Christine, « De Petya à NotPetya : du cybercrime à la cyberguerre ? (Tribune n° 909) », RDN, 30 juin 2017, 4 pages (https://www.defnat.com/e-RDN/vue-tribune.php?ctribune=991).
(3) Direction générale de la sécurité des systèmes d’information (Maroc), Directive nationale de la sécurité des systèmes d’information, Circulaire n° 3/2014 du Chef du Gouvernement, 2014. Loi n° 05-20 relative à la cybersécurité, Bulletin officiel n° 6906, 6 août 2020 (https://www.dgssi.gov.ma/).
(4) Foreign, Commonwealth and Development Office, Application of international law to states’ conduct in cyberspace, 3 juin 2021 (www.gov.uk/).
(5) Ministère des Armées, Droit international appliqué aux opérations dans le cyberespace, 2019 (www.defense.gouv.fr/).
(6) Schmitt Michael N. (dir.), Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations, Cambridge University Press, 2017.
(7) Attribution de NotPetya : Royaume-Uni, « Foreign Office Minister condemns Russia for NotPetya attacks », 15 février 2018 (www.gov.uk/) ; États-Unis, The White House, « Statement from the Press Secretary on NotPetya », 15 février 2018 (https://trumpwhitehouse.archives.gov/briefings-statements/statement-press-secretary-25/).
(8) Union européenne, Directive (UE) 2022/2555 du 14 décembre 2022 sur la sécurité des réseaux et des systèmes d’information (https://eur-lex.europa.eu/legal-content/FR/LSU/?uri=oj:JOL_2022_333_R_0002) et Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier, Journal officiel de l’Union européenne, L 333, 27 décembre 2022 (https://eur-lex.europa.eu/eli/reg/2022/2554/oj?locale=fr).
(9) Direction générale de la sécurité des systèmes d’information (Maroc), op. cit. Loi n° 05-20 relative à la cybersécurité, op. cit.
(10) Conseil de l’Union européenne, Revised Implementing Guidelines of the Cyber Diplomacy Toolbox, document ST 10289/23, 8 juin 2023 (https://data.consilium.europa.eu/doc/document/ST-10289-2023-INIT/en/pdf).
(11) Nations unies, op. cit.