Portugal : un nouveau cadre légal pour les chercheurs en cybersécurité

La principale évolution introduite par le Portugal concerne la reconnaissance explicite de la recherche en cybersécurité comme activité d’intérêt public. La loi modifiée intègre un nouvel article, le 8.º-A, qui définit les « actes non punissables en raison de l’intérêt public pour la cybersécurité ». Selon BleepingComputer, cette disposition crée un cadre de type safe harbor, permettant à certains actes techniques d’échapper aux poursuites pénales lorsqu’ils sont réalisés dans un but de recherche légitime.

Jusqu’à présent, de nombreuses activités indispensables à l’évaluation de la sécurité des systèmes pouvaient être assimilées à des infractions, notamment l’accès non autorisé à un système ou l’interception de données. La nouvelle loi portugaise introduit une distinction claire entre ces actes lorsqu’ils relèvent de la cybercriminalité et lorsqu’ils s’inscrivent dans une démarche de recherche responsable. CyberMaterial souligne que cette clarification juridique réduit un flou qui freinait la collaboration entre chercheurs, industriels et institutions publiques.

Cependant, la réforme ne constitue pas une dépénalisation générale. La loi précise que l’exemption ne s’applique que si la finalité exclusive de l’action est l’identification de vulnérabilités et la contribution à l’amélioration de la cybersécurité. Toute intention malveillante ou toute recherche visant un avantage économique illicite demeure pénalement répréhensible. Le texte exclut explicitement les activités poursuivant un gain financier autre que la rémunération professionnelle normale, afin d’éviter toute exploitation abusive du dispositif.

Pour les secteurs industriels et de défense, la portée de la réforme tient autant aux protections accordées qu’aux obligations imposées. La loi portugaise encadre de manière détaillée les conditions dans lesquelles la recherche en cybersécurité peut être menée. L’un des piliers du dispositif repose sur l’obligation de signalement. Toute vulnérabilité découverte doit être immédiatement notifiée au propriétaire du système concerné, au contrôleur de données et au Centre national de cybersécurité portugais.

La législation interdit par ailleurs un large éventail de techniques jugées incompatibles avec une recherche responsable. Sont notamment proscrites les attaques par déni de service, les campagnes d’hameçonnage, l’ingénierie sociale, le vol de mots de passe, la modification volontaire de données ou le déploiement de logiciels malveillants. Cybersecurity-Help.cz précise que cette liste vise à prévenir tout risque de perturbation des systèmes industriels critiques ou des infrastructures liées à la défense nationale.

Un autre changement majeur concerne la gestion des données collectées lors des travaux de cybersécurité. Les informations obtenues doivent rester confidentielles et ne peuvent être conservées indéfiniment. La loi impose leur suppression dans un délai maximal de dix jours après la correction de la vulnérabilité, selon SCWorld. Pour les acteurs industriels et de défense, cette contrainte répond à des impératifs de protection des secrets industriels, des données sensibles et des informations classifiées. Ce cadre strict traduit une approche équilibrée. Le Portugal cherche à faciliter la recherche tout en maintenant un haut niveau de contrôle, afin d’éviter que des tests de sécurité ne se transforment en vecteurs de risques supplémentaires pour les systèmes critiques.

Au-delà de l’aspect juridique, la réforme s’inscrit dans une stratégie plus large de renforcement de la cybersécurité nationale. Les autorités portugaises partent d’un constat partagé par de nombreux États : la complexité croissante des systèmes industriels et militaires dépasse les capacités de sécurisation internes. Dans ce contexte, les chercheurs indépendants, les équipes académiques et les spécialistes du secteur privé jouent un rôle clé dans l’identification précoce des vulnérabilités exploitables par des acteurs hostiles. L’objectif de la réforme est d’augmenter le volume et la qualité des signalements de failles, en supprimant la crainte de poursuites pénales qui dissuadait certains chercheurs d’agir.

Du point de vue de la défense, la clarification du cadre légal favorise une coopération plus fluide entre chercheurs civils et institutions publiques. En centralisant les signalements via le Centre national de cybersécurité, l’État portugais renforce sa capacité à analyser les tendances, à prioriser les risques et à coordonner les réponses.Cette approche permet de mieux intégrer la recherche en cybersécurité dans une logique de sécurité nationale, sans ouvrir la porte à des pratiques incontrôlées.