Résumé

  • Le seul jugement externe identifié dans les documents examinés est la réprimande du Bureau du commissaire à l’information (ICO) de juillet 2024, qui porte sur l’adéquation des mesures de sécurité avant l’intrusion. Il s’agit d’une conclusion de conformité, non d’une évaluation de la solidité de l’infrastructure reconstruite.
  • Le rapport annuel 2024/25 de la bibliothèque elle-même évoquait encore une « longue traîne d’impact » : arriérés de catalogage considérables, lacunes dans la collecte numérique et catalogues inaccessibles au public. C’est une preuve de continuité de mission, et aucun registre de conformité n’en rend compte.

L’asymétrie au cœur du dossier

La redevabilité publique prend généralement deux formes : une conclusion sur ce qu’une organisation a mal fait, ou une assurance que le dispositif fonctionne désormais. La British Library dispose de la première et, dans les documents examinés ici, pas de la seconde. En juillet 2024, le Bureau du commissaire à l’information a adressé une réprimande formelle à la bibliothèque, concluant qu’elle n’avait pas assuré de mesures de sécurité appropriées, ce qui a permis au groupe Rhysida d’accéder à des données personnelles et de les exfiltrer (ICO, juillet 2024). Il s’agit d’un acte d’exécution publié et non d’une interprétation de presse, et les pages d’exécution du régulateur le consignent comme tel (entrée du registre de l’ICO).

Une réprimande de ce type est rétrospective par construction. Elle examine l’état des contrôles avant une intrusion et demande s’ils satisfaisaient une norme juridique. Elle ne peut pas dire au lecteur si les systèmes reconstruits ensuite tiennent, si une instance légitime l’a vérifié, ni si le service public est revenu à son niveau d’avant l’incident. Ces questions exigent un autre instrument, et aucun instrument de ce type n’apparaît dans les documents examinés pour cet article.

Ce que l’institution dit d’elle-même

La preuve la plus utile sur le présent vient des propres publications de la bibliothèque, relayées par la presse spécialisée en septembre 2026 (Museums Journal, septembre 2026) :

Le rapport annuel 2024/25 de la bibliothèque indiquait que l’attaque avait laissé une « longue traîne d’impact », notamment des arriérés considérables de documents à cataloguer et à rendre accessibles, ainsi que des lacunes dans sa collecte numérique. Si la plupart de ses grands services fonctionnent à nouveau, l’accès public reste indisponible pour un certain nombre de ses catalogues.

Il faut lire ce passage attentivement, car trois pertes distinctes y sont comprimées. Les arriérés de catalogage décrivent un travail accumulé : des pièces que l’institution détient et qu’aucun lecteur ne peut trouver. Les lacunes de la collecte numérique décrivent une acquisition manquée, des documents non rassemblés pendant que l’attention et le budget allaient ailleurs, et peut-être irrécupérables plus tard au même coût, voire pas du tout. Les catalogues inaccessibles au public décrivent une défaillance d’accès actuelle, au présent, au moment de la publication.

Aucune de ces trois pertes n’est une conclusion de sécurité. Toutes trois sont des constats de service public, et elles comptent davantage pour un lecteur que l’état d’un pare-feu. Elles échappent aussi à tous les instruments de redevabilité appliqués jusqu’ici à cet incident. Un régulateur de la protection des données n’a pas mandat pour mesurer le débit de catalogage. Une enquête pénale, si elle se poursuit, n’est pas un audit de service. Un rapport annuel peut déclarer une dépréciation sans être tenu de prouver la réparation.

Le chiffre du coût, et ce qu’il ne peut pas porter

La presse nationale indiquait en juin 2024 que l’impact financier de l’incident s’élevait à environ sept millions de livres (The Guardian, 20 juin 2024). Le chiffre a beaucoup circulé depuis, et il convient de le manier avec prudence.

Sept millions de livres constituent un total sans grand livre dans les documents examinés. Il pourrait être dominé par les honoraires d’intervention, par les recettes perdues d’édition et de location d’espaces, par des dépenses d’investissement pour une infrastructure de remplacement, ou par un montant net après indemnisation d’assurance. Ces compositions impliquent des questions de redevabilité entièrement différentes. Un coût dominé par les honoraires d’intervention interroge l’existence d’une capacité précontractualisée.

Un coût dominé par les recettes perdues demande qui a absorbé le manque : réserves, subventions, ou budgets d’acquisition et de conservation qui ne produisent aucun revenu immédiat. Un coût dominé par l’investissement demande si le remplacement a été financé comme une dépense d’urgence ponctuelle ou comme une hausse permanente du coût de fonctionnement de l’infrastructure.

Le chiffre est donc cité ici comme rapporté, non comme un montant comptable. Les comptes déposés existent, puisque la bibliothèque a publié son rapport annuel et ses comptes 2023/24 en septembre 2024 (British Library, septembre 2024), mais ils n’ont pas été obtenus sous forme de texte pour cette analyse. Aucun mouvement de réserves, aucune addition d’immobilisation, aucune indemnisation d’assurance n’est affirmé.

Les documents qui existent et ceux qui ont été lus

Trois documents primaires sont connus pour exister et n’ont pas été lus au cours de cette analyse. La bibliothèque a publié une revue post-incident, « Learning lessons from the cyber-attack », en juin 2024 (British Library, juin 2024). La commission Culture, médias et sport de la Chambre des communes a ouvert une enquête sur l’attaque et publié un recueil de ses auditions (publications de la commission). Et il y a le rapport annuel et les comptes mentionnés plus haut.

Les nommer n’est pas une formalité. Chacun répondrait à une question que cet article ne peut pas trancher. La revue de la bibliothèque est le récit de l’institution sur ce qui a échoué et sur ce qu’elle s’est engagée à changer ; c’est le seul document de l’ensemble qui pourrait établir si la remédiation a été spécifiée en termes mesurables. Le dossier de la commission est le seul lieu où l’institution aurait été interrogée par des personnes ayant le pouvoir de publier des réponses gênantes. Les comptes sont le seul endroit où l’argent est traité selon des normes comptables plutôt que rapporté.

Aucun des trois n’ayant été lu ici, rien dans cet article n’attribue une conclusion, un chiffre ou un engagement à l’un d’eux. C’est une limite de cette analyse, énoncée clairement pour que les lecteurs distinguent ce qui est établi de ce qui est simplement localisé.

Trois pouvoirs, et la place de chacun

Si l’on dépouille l’incident, il répartit trois pouvoirs séparables. Quelqu’un exploite l’infrastructure au quotidien : il applique les correctifs, surveille, décide quand un système est trop ancien pour être sûr. Quelqu’un détient le budget et l’obligation légale : l’institution, responsable devant un ministère de tutelle et en dernier ressort devant le Parlement. Quelqu’un teste le résultat de façon indépendante : un régulateur, un auditeur ou un pair ayant qualité pour publier.

Le commentaire tend à fondre ces trois pouvoirs dans « la bibliothèque », ce qui explique pourquoi les débats de redevabilité sur cet incident s’enlisent si souvent. Les trois pouvoirs engendrent trois questions différentes, chacune exigeant des preuves différentes :

  • Qui détenait l’autorité sur les systèmes en fin de vie avant l’attaque : l’institution, ou un opérateur sous contrat travaillant selon une définition de service qui facturait le remplacement en supplément ?
  • Qui contrôlait la détection et l’escalade, et une instance extérieure à l’institution a-t-elle consigné une chronologie différente de celle de l’institution ?
  • Qui a payé, sur quelle ligne budgétaire, et la reprise a-t-elle été financée en réaffectant des moyens destinés aux collections, aux acquisitions ou à la conservation ?
  • Qu’est-ce qui, le cas échéant, a examiné l’infrastructure reconstruite et publié une conclusion à son sujet ?

Dans les documents examinés, seules la deuxième et la troisième de ces quatre questions ont des réponses partielles : un acte de conformité externe et un chiffre financier rapporté. La première, la localisation de l’autorité technique, n’a aucune réponse. Rien dans le dossier n’établit si l’infrastructure était exploitée en interne ou sous contrat ; cet article n’affirme donc ni l’un ni l’autre.

La lacune d’assurance, énoncée précisément

Voici le constat, daté. Au 17 octobre 2026, aucune évaluation technique ou de résilience opérationnelle indépendante de l’infrastructure reconstruite de la British Library n’a été identifiée dans les documents examinés. C’est une affirmation sur une recherche, non sur le monde. Une évaluation peut exister sans être publiée, ou avoir été remise en privé à un conseil ou à un financeur. Ce que l’on peut dire, c’est qu’un lecteur ne peut pas en trouver, et que l’institution n’a pas été tenue d’en publier une.

La lacune a une forme précise. Une réprimande de conformité dit qu’une norme a été enfreinte avant un événement. Elle ne dit pas si la conception de remplacement a été revue au regard d’un modèle de menace, si la restauration a été répétée, si les objectifs de reprise ont été fixés par l’opérateur ou par le détenteur du budget, ni si quelqu’un a validé le risque résiduel en connaissant ce qui restait non traité. Ce sont les questions qui décident de la récidive, et une réprimande n’en résout aucune.

Une mise en garde mérite d’être explicite, car c’est là que ce type d’argument dérape habituellement. L’absence d’évaluation publiée est une lacune d’assurance et de transparence. Ce n’est pas la preuve que la réparation était défectueuse, ni la preuve d’une dissimulation. Traiter l’absence de preuve comme preuve de défaillance est la manière dont les arguments légitimes de redevabilité se font écarter, et c’est ainsi que les mauvaises personnes finissent blâmées.

Pourquoi cela dépasse une seule bibliothèque

Tout organisme financé publiquement qui exploite une infrastructure technologique vieillissante, en partie contractualisée, affronte le même arbitrage. Musées, archives, hôpitaux publics, collectivités locales et universités détiennent tous des systèmes assez anciens pour être un passif, des agents qui les comprennent, et des budgets qui traitent le remplacement comme un investissement à reporter. La défaillance commune n’est pas la naïveté face aux rançongiciels.

C’est une conception de la gouvernance dans laquelle celui qui sait qu’un système est dangereux n’est pas celui qui peut financer son remplacement, et dans laquelle l’instance qui jugera l’après-coup mesure la conformité plutôt que le service.

La leçon transférable porte sur l’instrumentation. Un registre de conformité consigne si une organisation a respecté une norme à un instant donné. Il ne consigne pas si un service public est revenu. Quand le seul instrument externe braqué sur un incident mesure le premier, le second disparaît du dossier de redevabilité, et le préjudice persistant devient une affaire d’auto-déclaration institutionnelle. C’est exactement ce qu’est la phrase sur la « longue traîne d’impact ».

Ce qui changerait le constat

Trois pièces transformeraient ce dossier sur une lacune en dossier sur une réparation, et chacune est à la portée d’une institution :

  1. Une évaluation indépendante de l’infrastructure reconstruite, assez détaillée pour montrer ce qui a été testé, par qui, contre quel modèle de menace, et ce qui a été exclu du périmètre.
  2. Une référence de service datée : quels catalogues et quelles fonctions de salle de lecture étaient disponibles avant octobre 2023, lesquels le sont aujourd’hui, et lesquels restent restreints, avec la raison de chacun.
  3. Un état de restauration détaillé pour les deux préjudices que l’institution a elle-même divulgués, l’arriéré de catalogage et la lacune de collecte numérique, exprimé en volumes et en échéances plutôt qu’en adjectif.

N’importe laquelle permettrait à un lecteur de vérifier l’affirmation selon laquelle la plupart des grands services fonctionnent à nouveau. Ensemble, elles permettraient à un financeur, à une commission ou à un lecteur de poser la seule question qui compte après une reprise : non pas si l’intrusion a été stoppée, mais si l’institution peut désormais démontrer qu’elle survivrait à la suivante.

Ce que cet article n’établit pas

Il n’établit pas si les arriérés de catalogage, les lacunes de collecte numérique et les catalogues inaccessibles ont été causés par l’attaque, s’ils lui préexistaient, ou s’ils ont été aggravés par des contraintes de financement et de personnel ; il n’existe aucune référence antérieure à l’incident dans les documents examinés. Il n’établit pas qui exploitait l’infrastructure, ce qu’un contrat exigeait, ni comment les décisions de reprise ont été prises. Il n’établit pas la composition de l’impact financier rapporté. Il n’établit pas si un suivi réglementaire ou une vérification de remédiation a suivi la réprimande.

Et il n’établit pas qu’aucune évaluation indépendante n’existe, seulement qu’aucune n’a été identifiée dans les documents examinés.

Ce qu’il établit est plus étroit et plus solide. Le jugement externe sur cet incident porte sur le passé. Les propres publications de l’institution montrent une atteinte à la mission qui persiste près de trois ans après l’attaque. Entre ces deux faits se tient une question de redevabilité à laquelle aucun document publié examiné ici ne répond. Pour une bibliothèque nationale, et pour l’entrée de répertoire qui la suit (la British Library dans le répertoire BTW), c’est le constat à retenir.