Réponse publiée le 11 septembre 2018

La numérisation croissante des systèmes d'armes mis à la disposition des forces armées expose effectivement ces équipements aux cybermenaces qui peuvent notamment être exercées au niveau tactique, avec des effets potentiels allant du vol de données confidentielles au sabotage. Afin d'identifier les objectifs de cybersécurité et de lutter efficacement contre les menaces, une analyse des risques cyber est menée de façon coordonnée par la direction générale de l'armement (DGA) et les états-majors des armées dans le cadre des opérations d'armement. Ces travaux prennent en compte en particulier le caractère critique d'un point de vue opérationnel du système d'arme, son exposition à la menace cyber, son architecture, mais aussi son intégration dans le système de défense global, l'interconnexion croissante pouvant entraîner l'apparition de maillons faibles extérieurs au système d'arme considéré. La vérification de la bonne prise en compte des objectifs de sécurité dans les contrats et l'évaluation des performances cyber des systèmes, lorsqu'ils sont livrés par le maître d'œuvre industriel, sont du ressort de la DGA qui détient une capacité d'expertise interne en matière de cybersécurité. La mise en service opérationnel du système relève, quant à elle, d'une décision formelle des états-majors, prise sur le fondement des travaux réalisés par la DGA. Dans ce contexte, les mesures de cybersécurité peuvent se traduire par la mise en œuvre d'une protection renforcée, de moyens de détection et de réaction à une attaque ou encore de moyens permettant une meilleure résilience afin de donner la possibilité aux armées de poursuivre leur mission même en cas de cyberattaque. Pour ce qui concerne précisément SCORPION, des études dédiées au volet cybersécurité sont notamment menées avec le groupement en charge de la maîtrise d'œuvre industrielle des véhicules GRIFFON et JAGUAR. Ces études prennent en compte les cybermenaces pouvant cibler la vétronique des véhicules, les capteurs et les armes. Les scénarios associés ne se limitent pas au contexte tactique et s'étendent, par exemple, aux risques de cyberattaques utilisant les opérations de maintenance pour se propager. Par ailleurs, ces analyses peuvent servir à identifier des mesures de cybersécurité supplémentaires applicables aux systèmes de développement et de production des maîtres d'œuvre industriels et de leurs sous-traitants, les préparatifs d'une attaque cyber de certains systèmes d'armes livrés aux forces pouvant être réalisés par ce biais. Enfin, il est précisé que cette démarche de cybersécurité est mise en œuvre de manière cohérente avec celle conduite par l'agence nationale de la sécurité des systèmes d'information, dans le cadre de l'article 22 de la loi no 2013-1168 du 18 décembre 2013, modifiée, relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale, pour le sous-secteur des activités industrielles de l'armement.