Un mémorandum signé par Donald Trump ouvre la voie à des opérations menées par des sociétés privées contre les organisations criminelles transnationales qui commettent des crimes numériques, catégorie que le texte désigne sous le sigle CE-TCO. Concrètement, des entreprises sélectionnées par Washington pourront agir pour le compte du gouvernement américain dans ce que le mémorandum qualifie lui-même d'attaques d'État menées par le secteur privé.

Le texte définit les CE-TCO comme toute organisation étrangère qui s'en prend, par des moyens numériques, au gouvernement des États-Unis, à ses citoyens ou à ses intérêts. Une précision compte particulièrement : les pirates travaillant pour des États rivaux sont explicitement écartés du dispositif. L'objectif affiché est d'éviter tout affrontement direct entre Washington et des puissances étrangères.

Le pilotage du programme revient au Centre national de coordination, chargé de le bâtir et de le faire tourner au quotidien. Deux ministères en assurent la supervision : la Justice et la Sécurité intérieure, chacun devant désigner son propre directeur exécutif. Le ministère de la Justice intervient en priorité dès que les opérations touchent des citoyens étasuniens ou soulèvent une question de droit interne.

Surveillance ou attaque, deux options possibles

Les entreprises retenues pourront mener deux types d'opérations. La première, la surveillance, consiste à récolter du renseignement sans se faire repérer. La seconde, qualifiée d'attaque, recouvre la manipulation, la perturbation, la dégradation ou la destruction de systèmes adverses, explique Les Numériques. Le mémorandum précise que ces deux catégories restent liées : même une opération de simple surveillance entraîne des perturbations.

Pour participer, les sociétés intéressées devront faire leurs preuves chaque année lors d'une évaluation obligatoire. Le programme prévoit des places aussi bien pour de grandes entreprises que pour des structures plus petites et agiles, appelées à intervenir sur des tâches spécialisées ponctuelles.

Chaque opération devra recevoir une approbation écrite des directeurs de programme avant d'être lancée. Le mémorandum pose une limite claire : aucune action ne doit entraîner de perte de vies, de blessures graves, ni constituer un acte assimilable à une attaque au regard du droit international.

Reste une zone d'ombre, et elle est de taille. Le cadre légal du programme n'est pas stabilisé, notamment sur l'immunité dont pourraient bénéficier les entreprises engagées dans ces opérations. La loi étasunienne protège les activités d'enquête ou de renseignement menées par une agence fédérale, mais aucun tribunal ne s'est encore prononcé sur l'extension de cette protection à des sociétés privées sous contrat avec l'administration Trump.

Les avis divergent chez les juristes. Ceux du cabinet Jenner & Block estiment qu'une opération menée sous la direction et le contrôle du gouvernement américain pourrait entrer dans le cadre de cette exemption légale. Ceux du cabinet Skadden, eux, préviennent que la loi doit changer en profondeur avant que le programme ne soit pleinement légal.

La Maison-Blanche avait déjà évoqué ce mémorandum en mars 2026. L'administration Trump présente ce programme comme la concrétisation d'une promesse : mobiliser les capacités du secteur privé pour répliquer face aux cyberattaques adverses.