Pouvoirs de renseignement élargis en Allemagne : ce que le texte prévoit pour le BND et le BfV

L'Allemagne réécrit le cadre légal de ses services de renseignement. European Express rapporte que le cabinet allemand a approuvé une réforme des lois sur le renseignement, étendant l'autorité du Service fédéral de renseignement, le BND, et de l'Office fédéral de protection de la Constitution, le BfV. Le texte n'est pas encore en vigueur : la même publication précise qu'il doit encore être adopté par le Bundestag.

L'élément le plus notable ne tient pas à l'élargissement de la collecte, mouvement désormais banal en Europe, mais à l'apparition d'une catégorie d'action différente. Selon European Express, les services pourraient mener des mesures de protection actives contre des opérations attribuées à des puissances étrangères, comme la désactivation de serveurs ou le remplacement de composants dans des chaînes d'approvisionnement hostiles. On passe de l'observation à l'intervention sur des infrastructures.

Cet article détaille ce que contient le texte tel qu'il est rapporté, les objections qui lui sont opposées, et ce que son adoption changerait concrètement pour les directions sûreté et les équipes de veille des entreprises européennes, y compris françaises, dont les chaînes d'approvisionnement traversent l'Allemagne.

Ce que la réforme allemande étend, service par service

Deux services sont concernés et leurs mandats ne se confondent pas. Le BND est le service de renseignement extérieur allemand, chargé de la collecte à l'étranger et rattaché à la chancellerie. Le BfV est l'office fédéral de protection de la Constitution, compétent sur le territoire national pour le contre-espionnage et la surveillance des mouvements considérés comme hostiles à l'ordre constitutionnel. Étendre les deux simultanément revient à traiter la menace comme un continuum, sans coupure entre intérieur et extérieur.

European Express rapporte que le ministre de l'Intérieur, Alexander Dobrindt, justifie la réforme par une pression soutenue de l'espionnage, des cyberattaques, du sabotage et de l'influence étrangère. Cette énumération est en elle-même instructive : elle place sur un même plan des actions relevant traditionnellement de régimes juridiques séparés, la collecte clandestine, l'atteinte aux systèmes, la destruction matérielle et la manipulation de l'information. Le texte est construit sur l'idée que ces quatre registres sont employés de façon coordonnée.

Un incident précis est cité à l'appui de ce cadrage. Selon European Express, un drone contenant des explosifs a été découvert à l'aéroport de Leipzig et Halle, un hub fret soutenant l'aide à l'Ukraine, sans que les autorités identifient les responsables. L'absence d'attribution est ici significative : elle illustre exactement la situation que le texte prétend traiter, celle d'une action hostile constatée dont l'auteur reste hors de portée des voies procédurales ordinaires.

Les mesures de protection actives, une catégorie nouvelle

Les deux exemples rapportés par European Express méritent d'être pris au sérieux séparément. La désactivation de serveurs relève de l'intervention sur une infrastructure tierce, souvent située hors du territoire national et fréquemment mutualisée avec des usages légitimes. Le remplacement de composants dans des chaînes d'approvisionnement hostiles relève d'autre chose encore : d'une action sur des flux physiques de matériel, en amont de leur livraison.

Ces deux capacités posent des questions distinctes. La première est une question de proportionnalité et d'effets collatéraux, puisqu'un serveur désactivé héberge rarement une seule activité. La seconde est une question de confiance dans la chaîne logistique elle-même : si un État peut légalement substituer des composants en transit, la garantie d'intégrité du matériel livré devient une affaire de doctrine publique et non plus seulement de sécurité industrielle.

Il faut souligner que le conditionnel employé dans le compte rendu n'est pas un artifice de style. European Express écrit que les services pourraient mener ces mesures, ce qui reflète l'état du texte : approuvé en cabinet, pas encore voté. Entre l'approbation gouvernementale et l'adoption parlementaire, le périmètre des autorisations, les seuils de déclenchement et les mécanismes de contrôle sont précisément ce qui se négocie.

Les objections : protection des sources et contrôle démocratique

L'opposition la plus documentée vient du monde de la presse. European Express rapporte que des organisations de journalistes, dont Reporters sans frontières, dénoncent une protection insuffisante des sources. L'objection est technique autant que politique : dès lors que la collecte s'étend aux métadonnées de communication et aux infrastructures, la distinction entre la cible visée et le journaliste qui communique avec elle devient difficile à maintenir par la seule bonne volonté opérationnelle.

L'enjeu dépasse la profession concernée. La protection des sources est le mécanisme par lequel une information d'intérêt public parvient à être publiée sans que celui qui l'a transmise en subisse les conséquences. La fragiliser réduit le volume d'informations vérifiables disponibles publiquement, y compris celles qui alimentent la veille économique et l'analyse des risques. Une contrainte pesant sur le journalisme d'investigation appauvrit à terme le corpus de sources ouvertes exploitables.

La comparaison avec le cadre français éclaire le débat. l'Opinion rappelle que Viginum, service de l'État chargé de la lutte contre les ingérences numériques étrangères, a été créé en 2021 et rattaché à Matignon par le Secrétariat général de la défense et de la sécurité nationale, et qu'il emploie une quarantaine d'enquêteurs au quotidien pour détecter et caractériser des phénomènes inauthentiques. La même publication indique que des opérations de désinformation russes ont ciblé les candidats potentiels Édouard Philippe, Raphaël Glucksmann et Gabriel Attal au mois d'août. Le modèle français reste centré sur la caractérisation publique, quand le texte allemand ouvre la voie à l'action directe.

Détecter et nommer une opération hostile, ou intervenir sur l'infrastructure qui la porte, ne sont pas deux degrés d'une même politique. Ce sont deux doctrines, et elles n'exposent pas aux mêmes risques.

Ce que cela change pour les entreprises et leurs équipes de veille

La première conséquence porte sur les chaînes d'approvisionnement. Une entreprise dont les composants transitent par l'Allemagne ou dont les fournisseurs y sont établis doit intégrer l'existence d'un cadre autorisant, sous conditions, une intervention étatique sur du matériel en transit. Cela ne change pas la probabilité qu'un incident survienne, mais cela ajoute une hypothèse à la liste des explications possibles lorsqu'un lot présente une anomalie de conformité inexpliquée.

La deuxième porte sur la lecture des incidents techniques. Decode39 rapporte que, selon Teresa Coratella, directrice adjointe du bureau de Rome de l'ECFR, les attaques hybrides font partie de la réalité quotidienne des Européens, et que les outils identifiés sont les cyberattaques, les drones, le sabotage et les attaques contre les infrastructures critiques, la pression économique, l'instrumentalisation de la migration et la désinformation, la désinformation étant présentée comme l'outil le plus visible et le plus tangible. Dans un environnement où plusieurs acteurs interviennent activement, l'attribution d'un incident isolé devient nettement plus incertaine.

La troisième porte sur la veille réglementaire elle-même. Un texte approuvé en cabinet et non encore voté produit un flux documentaire long : projet transmis, avis d'instances, auditions parlementaires, amendements, contentieux constitutionnels éventuels. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues et remonte les publications institutionnelles et parlementaires étrangères dès leur parution, ce qui raccourcit le délai entre le dépôt d'un amendement à Berlin et son analyse par une direction juridique française.

L'Observatoire de l'Intelligence Économique note que les réformes de cadre de renseignement se lisent utilement par leurs mécanismes de contrôle plus que par l'étendue des pouvoirs accordés, l'autorisation préalable, la traçabilité des mesures et la voie de recours déterminant en pratique l'usage réel d'un texte. C'est sur ces trois points que le passage devant le Bundestag mérite d'être suivi.

Questions fréquentes

Que prévoit la réforme allemande du renseignement ?

European Express rapporte que le cabinet allemand a approuvé une réforme étendant l'autorité du BND, service fédéral de renseignement, et du BfV, office fédéral de protection de la Constitution. Selon cette publication, les services pourraient mener des mesures de protection actives contre des opérations attribuées à des puissances étrangères, notamment la désactivation de serveurs ou le remplacement de composants dans des chaînes d'approvisionnement hostiles. Le texte doit encore être adopté par le Bundestag.

Qu'est-ce qu'une mesure de protection active ?

C'est une action qui intervient sur l'infrastructure adverse au lieu de se limiter à l'observer. Les deux exemples rapportés en donnent la mesure : rendre inopérant un serveur utilisé par une opération hostile, ou substituer un composant dans une chaîne d'approvisionnement considérée comme compromise. Cette catégorie déplace le renseignement du registre de la connaissance vers celui de l'effet, avec les questions de proportionnalité, d'effets collatéraux et de contrôle juridictionnel qui en découlent.

Pourquoi des organisations de journalistes s'opposent-elles au texte ?

European Express rapporte que des organisations de journalistes, dont Reporters sans frontières, dénoncent une protection insuffisante des sources. Lorsque la collecte porte sur des infrastructures et des métadonnées de communication, isoler la cible visée sans atteindre ceux qui communiquent avec elle devient techniquement difficile. L'effet indirect est une réduction du volume d'informations d'intérêt public parvenant à la publication, ce qui appauvrit aussi le corpus de sources ouvertes disponible pour l'analyse.

Le texte est-il applicable aujourd'hui ?

Non. European Express précise que le texte doit encore être adopté par le Bundestag. L'approbation en cabinet marque l'accord du gouvernement sur une version de travail, pas l'entrée en vigueur. La période qui s'ouvre est celle où se fixent les seuils de déclenchement, les autorisations préalables et les mécanismes de contrôle, autrement dit les paramètres qui détermineront l'usage effectif des pouvoirs annoncés. C'est cette phase qu'une veille réglementaire doit suivre, et non le seul communiqué initial.