La réglementation relative au risque de cyberattaque au sein des chaînes d’approvisionnement

Les chaînes d’approvisionnement constituent aujourd’hui une opportunité pour les cyberattaquants. En effet, si une entité améliore son niveau de sécurité, l’attaquant change de stratégie : il frappe l’un de ses partenaires, pour ensuite atteindre l’entité elle-même. L’attaquant exploite donc l’interaction entre une entité et ses partenaires, pour pouvoir atteindre la première. Les entités sont ainsi dans une situation paradoxale : leurs partenaires sont nécessaires pour leur activité, mais constituent également pour elles un point de vulnérabilité, en matière de cyberattaque. Le rapport de force, avec leurs partenaires, aggrave ce contexte. En effet, certaines entités semblent parfois démunies face à leurs partenaires : elles peinent à placer des obligations contractuelles, relatives à la cybersécurité, à la charge de leurs partenaires et à les faire respecter. Dans ce contexte, les règles juridiques sur la cybersécurité des chaînes d’approvisionnement ont un aspect salvateur : elles encadrent les rapports entre les entités et leurs partenaires. Cependant, ces règles juridiques sont nombreuses : certains évoquent ainsi le « mille-feuille » que constitue aujourd’hui le droit de la cybersécurité. Les règles juridiques sur la cybersécurité des chaînes d’approvisionnement semblent donc nécessaires, mais sont également pléthoriques. L’objectif de cette thèse est donc d’étudier ces règles juridiques, pour en proposer un ordonnancement et identifier, entre elles, des voies d’harmonisation.