Résumé

  • Dans la lecture du 19 octobre 2026, le CERT-MU se présente comme un département rattaché au Ministry of Information Technology, Communication and Innovation et aligne des documents datés par référence et par classe, jamais par auteur.
  • Le Cybercrime and Cybersecurity Act 2021 n'a pas pu être obtenu sous forme de texte exploitable à la date de l'enquête : aucune clause de fonction, de nomination ou de directive ministérielle ne peut en être citée.
  • Aucun document consulté ne désigne Kaleem Ahmed Usmani comme responsable du CERT-MU, ne signe un avis de son nom, ni ne lui attribue une décision précise ; ce rattachement est une mention du répertoire de BTW.

Un catalogue ordonné par date et par classe

La page d'accueil de l'office, lue le 19 octobre 2026, se décrit en une phrase comme « A Department under the Ministry of Information Technology, Communication and Innovation », puis affiche immédiatement une liste d'éléments datés (CERT-MU). Les trois entrées visibles lors de cette lecture étaient une note de vulnérabilité, VN-2026-10, datée du 17 septembre 2026 et consacrée à Docker Sandboxes ; un avis, AD-2026-03, daté du 30 juin 2026 et consacré à Cisco Identity Services Engine ; et une alerte de sécurité, SA-2026-05, datée du 1er octobre 2026, portant sur des annonces immobilières frauduleuses diffusées sur TikTok.

La forme est précise, mais elle s'arrête à ce que la page montre. La numérotation distingue trois classes — note de vulnérabilité, avis, alerte — et trois dates séparées de quatre mois : le 30 juin, le 17 septembre et le 1er octobre 2026. Chaque référence commence par l'année puis par un rang propre à sa classe (10, 03, 05). Trois pièces n'établissent pas une cadence : elles montrent un ordre interne à chaque classe, et rien qui se compare à une année antérieure ni qui autorise à parler d'un rythme de publication.

Ce que la même lecture ne fournit pas est tout aussi précis. Aucun responsable, directeur ou agent de permanence n'est nommé. Il n'y a ni signature, ni bloc d'émetteur, ni mention « publié par », ni personne à qui attribuer un document dans les intitulés. Aucun volume d'incidents, aucun décompte de dossiers, aucun délai de traitement et aucun rapport annuel n'apparaît dans le corpus consulté. Cette absence n'est pas un trou dans une page : c'est la forme constante de la surface publiée.

L'instrument resté hors de portée

Le Cybercrime and Cybersecurity Act 2021, hébergé par l'Assemblée nationale, est le texte que l'on consulterait normalement pour savoir ce qu'un centre national de réponse aux incidents est habilité à faire, comment son responsable est désigné et jusqu'où va la directive ministérielle. Le 19 octobre 2026, ce document ne s'est pas résolu en texte lisible : aucun numéro d'article, aucune liste de fonctions, aucune clause de nomination et aucune clause de directive ministérielle n'en a été obtenu (Cybercrime and Cybersecurity Act 2021).

Cela importe parce que la couche qui ancrerait normalement une conclusion au niveau d'une personne disparaît. Sans le texte, une note ne peut pas affirmer que le responsable de l'office occupe une fonction statutaire, ni que la nomination obéit à des critères énoncés, ni que le ministre peut diriger ou non les jugements techniques de l'office. Chacune de ces phrases serait une inférence tirée de l'existence de l'office, non une lecture de l'instrument. L'absence est consignée ici comme une propriété du corpus à une date donnée, non comme un jugement sur le législateur, le ministère ou l'office.

Une recherche complémentaire sur le site de l'office, visant un index d'archives, un rapport annuel ou une page de statistiques d'incidents, n'a pas produit davantage de texte exploitable (CERT-MU archive). Le corpus disponible pour cette enquête se réduit donc à une autodescription ministérielle et à trois documents datés — base mince pour une affirmation sur la performance d'une institution, et base tout aussi mince pour une affirmation sur le contrôle exercé par une personne.

Où se situe réellement le rattachement

Le répertoire de BTW enregistre Kaleem Ahmed Usmani comme titulaire de la fonction de Head of CERT-MU. Cette mention est à l'origine du rattachement examiné ici, et elle est une affirmation de répertoire, non la citation d'un acte de nomination de première main. L'enquête visait à la vérifier : elle ne l'a pas confirmée.

Ce que l'enquête a trouvé est plus étroit. Aucun document consulté ne le nomme à la tête du CERT-MU. Aucun avis de la série publiée n'est signé de lui ni ne lui est attribué. Rien ne relie une décision technique précise — le choix de publier une note sur une faille de bac à sable de conteneurs, le calendrier d'un avis sur un produit d'identité d'entreprise, la formulation d'une alerte de fraude destinée au grand public — à un responsable identifiable de l'office.

Ce résultat ne doit pas être lu à l'envers. Il ne démontre pas qu'il n'occupe pas cette fonction. Il ne démontre pas que l'office dissimule sa direction. Il montre que le corpus publié, tel que lu, sépare entièrement la production de l'office de la personne : l'institution parle en dates et en numéros de référence, et la question de savoir qui décide renvoie à d'autres types de documents — un acte de nomination, une insertion au journal officiel, une liste de personnel, un rapport annuel — dont aucun n'a été obtenu ici.

Pourquoi il s'agit d'une question de responsabilité, non d'une biographie

L'intérêt du silence documentaire n'est pas qu'un homme soit invisible. Il est qu'un lecteur désireux de demander des comptes sur une fonction nationale de réponse cybernétique n'a, sur cette base, rien à saisir. Les avis sont datés et citables ; l'office est nommé ; la personne responsable n'est identifiée nulle part dans la chaîne.

Cette asymétrie a des conséquences sur la manière de lire la production de l'office. On ne peut attribuer ni le crédit d'un avis publié à temps, ni le blâme d'un avis manqué. Une note qui louerait la cadence de l'office décrirait un calendrier de publication. Une note qui critiquerait une lacune décrirait une absence sur une page, non la défaillance d'un décideur nommé. Les deux gestes convertiraient une surface institutionnelle en jugement personnel, et aucun des deux n'est étayé.

Une conséquence concrète en découle, et c'est elle qui justifie de consigner ce dossier. L'alerte SA-2026-05 du 1er octobre 2026 portait sur des annonces immobilières frauduleuses sur TikTok : c'est la seule des trois pièces adressée à des particuliers en recherche de logement plutôt qu'à des administrateurs systèmes. Une personne trompée par ce type d'annonce et cherchant à qui demander des comptes sur le contenu du texte, ou sur sa mise à jour, trouve un document daté et numéroté, et aucune fonction nommée. C'est le seul effet pratique que cette base permette d'établir, et il suffit.

L'étape qui changerait la situation est documentaire et non analytique : un texte lisible de la loi, ou tout document de première main nommant un responsable, ferait passer le rattachement du statut de mention de répertoire à celui de fait vérifié. D'ici là, la conclusion reste datée et bornée, et le sujet de cette note demeure, dans le corpus examiné, un nom sans signature.