Le Cyber Safety Review Board peut tout constater et ne contraindre personne

Résumé

• L’article 5 de l’Executive Order 14028 ordonne au conseil de « review and assess » et de « provide recommendations to the Secretary » ; le seul verbe d’exécution du texte, « take steps to implement them as appropriate », s’adresse au Secretary of Homeland Security, jamais à l’entreprise ou à l’agence examinée.
• Un constat publié est un registre. Il ne devient un remède que lorsqu’un acteur disposant d’un pouvoir légal, contractuel ou judiciaire le convertit — obligation codifiée, clause d’achat ou condition d’assurance, pièce versée à un dossier, ou archive qui rend un schéma lisible.

Le Federal Register a publié l’Executive Order 14028, « Improving the Nation’s Cybersecurity », le 17 mai 2021, et son article 5 crée le Cyber Safety Review Board. La bonne manière de lire cet article n’est pas d’y chercher une déclaration de mission, mais d’y relever des verbes et leurs titulaires. (Federal Register)

Trois fragments font presque tout le travail. Article 5(b) : « The Board shall review and assess ». Article 5(d) : le conseil doit « provide recommendations to the Secretary ». Article 5(j) : le Secretary est chargé de « take steps to implement them as appropriate ». Un seul document, trois phrases, deux adressées au conseil et une au Secretary of Homeland Security.

Comptez le parti absent. Le texte dit au conseil quoi faire d’un incident, et au Secretary quoi faire du produit du conseil. Il ne dit rien à l’entreprise examinée, ni à l’agence examinée. Dans l’article 5 tel que publié, aucune formulation expresse ne rend les conclusions ou recommandations du conseil contraignantes pour une entité examinée, et l’on n’y trouve ni obligation de compte rendu, ni échéance, ni conséquence énoncée en cas d’inaction.

Ce n’est pas une note de bas de page. C’est la conception même du dispositif. L’évaluation siège dans une instance, la discrétion dans une autre, et l’entité à l’origine de l’examen reste en dehors de la chaîne d’obligation. Le mot « appropriate » de l’article 5(j) est l’endroit exact où réside cette discrétion : celui qui tient ce verbe décide quelles conclusions deviennent des programmes, lesquelles deviennent des recommandations d’usage, et lesquelles finissent en PDF daté.

Voilà pourquoi il faut décrire le produit du conseil avec exactitude plutôt qu’avec flatterie. Un constat publié qui ne lie personne est un registre. Il ne devient une réalité opérationnelle que lorsqu’un acteur réellement habilité — un législateur qui écrit une obligation, un acheteur qui rédige une clause, un assureur qui fixe une condition, un plaideur qui produit un rapport en preuve — reprend ce registre et le convertit en contrainte. Jusque-là, le conseil a produit la chose la plus précieuse de toute chaîne de responsabilité et la moins exécutoire : un récit clair de ce qui s’est passé, en public, avec des noms.

La description publique que l’agence donne du conseil va dans le même sens, mais elle nous parvient de seconde main. La Cybersecurity and Infrastructure Security Agency publie une page consacrée au conseil, et les éléments conservés pour ce briefing en restituent le cadrage comme consultatif, les constats et recommandations y étant décrits comme non contraignants pour les entités privées comme publiques. (CISA) (Ressources CISA) Ce cadrage est arrivé sous forme de résumé des pages et non de texte lisible, ce qui en fait une indication secondaire — qui se trouve concorder avec l’instrument principal ; la formulation à retenir reste celle de l’article 5 lui-même.

La précision vaut dans l’autre sens également. L’article 11(d) de l’ordre dispose de façon générale qu’il ne crée aucun droit ni avantage opposable. C’est une clause générale de sauvegarde à propos de l’ordre, et non une décision expresse selon laquelle les recommandations du conseil seraient dépourvues de force contraignante : les deux propositions sont confondues en permanence, alors que la différence est exactement le genre de point qu’un lecteur doit pouvoir vérifier au lieu de l’accepter. Ce que l’article 5 dit et ne dit pas se tient seul ; l’article 11(d) ne le renforce ni ne l’affaiblit.

La date de signature mérite d’être tenue droite, car c’est souvent la seule qui circule : l’ordre a été signé le 12 mai 2021 et publié au Federal Register cinq jours plus tard sous le numéro de document 2021-10460. (The White House) Tout ce qui suit cette signature — rapports, recommandations, suites éventuelles — doit être argumenté à partir de documents, pas à partir de la cérémonie.

À quoi sert donc ce registre ? À bien plus que ne le suggère le mot « consultatif ». Un dossier d’enquête produit par une instance qui dispose d’un accès documentaire contraignant auprès des opérateurs, publié avec constats et recommandations, fait ce qu’aucun communiqué ne fait : il fixe une version des faits pendant qu’il est encore coûteux de la corriger. Il nomme les défaillances dans l’ordre. Il inscrit les parties concernées au dossier. Il crée un document que des acteurs ultérieurs pourront citer sans avoir à reconstituer l’incident eux-mêmes.

C’est la matière première du remède. La conversion est concrète et observable, et quatre convertisseurs méritent surveillance. Le premier est législatif : un parlement qui inscrit une recommandation dans une obligation, avec échéance et conséquence en cas de manquement. Le deuxième est contractuel : des clauses d’achat et des conditions d’assurance qui renvoient à des constats publiés, de sorte que la non-adoption devienne visible dans un prix, une offre ou un renouvellement. Le troisième est probatoire : des constats utilisés en contentieux ou en contrôle, où le rapport cesse d’être un commentaire pour devenir une pièce.

Le quatrième est archivistique : une série de rapports qui transforme des défaillances isolées en schéma perceptible, parce que c’est le schéma qui déplace le rapport de force quand le texte lui-même ne lie personne.

Chacun de ces mouvements changerait la classification de l’instrument, et le changement se lirait dans des pièces publiées plutôt que dans des commentaires. Une obligation codifiée avec un destinataire nommé, une obligation de compte rendu assortie d’une date, un registre de conformité montrant qui a donné suite à un constat et qui ne l’a pas fait, une clause d’achat qui en cite un — tout cela convertit le registre en instrument de responsabilité, et cette conversion est un événement documentaire, non une humeur interprétative.

Une limite doit figurer à côté des affirmations ci-dessus, et non en guise de conclusion fleurie. Dans les documents examinés pour ce briefing — la version de l’ordre publiée au Federal Register, deux pages de la CISA consacrées au conseil, la publication de la Maison-Blanche et la page d’accueil du Department of Homeland Security — aucune déclaration officielle sur la composition ou la situation actuelle du conseil n’est apparue. (DHS) Cela concerne cinq documents consultés le 12 novembre 2026, et non l’absence d’une telle déclaration ; c’est la raison pour laquelle ce briefing analyse l’instrument fondateur plutôt que l’état présent du conseil.

L’instrument est réel et le registre vaut la peine d’exister. Dans cette architecture, la responsabilité ne réside pas dans les conclusions du conseil ; elle réside chez celui qui accepte d’agir sur elles. Une instance capable de tout constater et de ne rien contraindre n’est pas un échec d’ambition. C’est une division du travail, et cette division ne vaut que ce que vaut sa seconde moitié. (Fiche d’annuaire)