Tallinn Manualen 2.0 blev udgivet i foråret 2017 og udgør det formentligt mest autoritative og gennemarbejde værk om folkerettens anvendelse på aktiviteter i cyber space. Som det fremgår af titlen, er dette den anden – udvidede og omarbejdede – udgave af Tallinn Manualen fra 2013. Arbejdsformen og filosofien bag andenudgaven har været identisk med førsteudgaven: Der er bred enighed om, at folkeretten finder anvendelse også på cyberspace. Lad os sætte en bred gruppe af internationale juridiske eksperter sammen i nogle år og diskutere, hvordan de gældende folkeretlige regler finder anvendelse, når problemstillingen er cyber-relateret.
Bogens 600 sider er inddelt i fire hovedafsnit og indeholder en gennemgang af en lang række såvel generelle som specifikke folkeretlige områder. De generelle emner omfatter blandt andet suverænitet, jurisdiktion, statsansvar og due dilligence, mens der under de specifikke emner eksempelvis behandles menneskeret, diplomatret, havret, luftret og international telekommunikationsret. Hovedafsnit III og IV indeholder kapitler om magtanvendelse (jus ad bellum), kollektiv sikkerhed, og den humanitære folkeret (jus in bello), der som bekendt angår kampmetoder, måludpegning, våbentyper, besættelsesregler, neutralitet, etc. Mens Manualen således har relevans for et bredt spektrum af folkeretlige problemstillinger i cyber space har bogen særlig fokus på, hvad der med et moderne dansk udtryk karakteriseres som “international security law”.
Der er tale om et spændende, læseværdigt og særdeles relevant værk, som er nødvendig læsning for enhver (jurist), der ønsker at tage et spadestik dybere i temaet folkeret i cyberspace. Bogen har karakter af en manual i form af 154 “regler” med tilhørende forklarende og underbyggende kommentarer. Når der tales om “regler”, er der altså ikke tale om traktatregler, men ekspertgruppens forsøg på at udkrystallisere de relevante folkeretlige principper i nogle overordnede normer. Som det ofte er tilfældet med den type værker, er værdien i høj grad kommentarernes analyse af folkeretten, eksempler på reglens mulige anvendelse og gengivelse af relevant (domstols)-praksis.
Tallinn-manualen er udarbejdet af, som det hedder på Manualens forside, “the International Group of Experts at the Invitation of the NATO Cooperative Cyber Defence Centre of Excellence“. NATO Centeret (CCDCOE) er beliggende i Tallinn, Estland; deraf navnet på Manualen. Der er tale om en gruppe uafhængige folkeretsjurister, samlet af projektleder professor Michael Schmitt, der i forordet udtrykkeligt fremhæver, at det forhold, at det er NATO CCDCOE, der står bag udgivelsen, på ingen måde indebærer, at værket er udtryk for NATO-landenes forståelsen af folkeretten eller på anden måde er politisk styret. Scmitts fokus herpå skal blandt andet ses i lyset af den kritik, som Tallinn 1.0 var genstand for og også derfor har Scmitt til 2.0-versionen rekrutteret en ekspertgruppe med betydelig bredere geografisk (og politisk?) baggrund. Dette styrker selvsagt Manualens legitimitet, men betyder også en større variation blandt synspunkterne, der gengives i Manualen. Som Schmitt forklarer i det læseværdige forord, betyder denne metodik, at der i kommentarerne – i visse tilfælde, hvor ekspertgruppen var internt uenige i en regels formulering, eller sågar reglens eksistens – er gengivet mindretallets retsopfattelse parallelt med den egentlige kommentar. Personligt finder jeg det nyttigt og oplysende med denne variation, men det gør umiddelbart Manualen mindre autoritativ og det er i visse tilfælde uklart, hvor bred støtte et givet mindretalssynspunktet har.
En generel udfordring for Manualen, som også udtrykkeligt erkendes flere steder i værket, er den udbredte usikkerhed om, hvad statspraksis egentlig er inden for cyber-området. Som bekendt etableres folkeretlig sædvaneret ved staters praksis, hvor sådanne handlinger/undladelser er båret af en følelse af retlig overbevisning (opinio juris). Den fortrolighed, der i mange tilfælde knytter sig til staters ageren inden for cyber området inden for sikkerhedspolitikken, udgør selvsagt en udfordring i så henseende. Manualens konklusioner står af denne grund mindre skarpt, idet der nok kan gælde en generel sædvaneregel om eksempelvis staters udøvelse af jurisdiktion i relation til handlinger på andre staters territorium, men det er uklart om stater praksis specifikt på cyberområdet for så vidt angår jurisdiktionsudøvelse adskiller sig fra, hvad der gælder/tillades på andre felter. Fristelsen for ekspertgruppen til at ekstrapolere fra en almen regel til cyber er forståelig, men samtidig i visse tilfælde problematisk.
Denne usikkerhed om statspraksis er også årsagen til, at ekspertgruppen i samarbejde med det hollandske udenrigsministerium som led i udarbejdelse af Tallinn 2.0 inviterede repræsentanter fra over 50 stater til en række konsultationer i Haag med henblik på i uformelle rammer at “afprøve” ekspertgruppens overvejelser på praktikere. Schmitt udtrykker i forordet sin tilfredshed med det input, denne proces medførte, men understreger samtidig også behovet for, at stater er mere aktive og åbne i deres tilkendegivelse om, hvordan de forstår folkerettens anvendelse på cyber space. Mens dette ud fra en akademikers perspektiv er et forståeligt ønske, sætter det samtidig fingeren på et dilemma for stater mellem åbenhed om cyber-operationer i et forsøg på at påvirke normdannelsen og behov for fortrolighed om metoder og kapaciteter.
Udfordringerne med hensyn til at afklare statspraksis afspejler sig selvsagt også i Manualens regler og kommentarer. “Kilderne” til Manualen er i vidt omfang ikke specifikt cyber-relaterede. Således er der en overvægt af henvisninger til FN Pagten, ILCs udkast til statsansvarsregler, IHL og menneskeretlige konventioner, ICJ afgørelser og andre domstolsafgørelser uden speciel relevans for cyber, men mindre direkte relevante “cybermateriale”. Manualen inddrager i et vis omfang cyber events, der har fundet sted i senere år (cyberangreb på Georgien i 2008, på Estland 2007, Iran/Stuxnet 2010), men “bevisværdien” af disse hændelser begrænses ofte af manglende offentlige tilkendegivelser fra de (antageligt) involverede stater om den retlige ramme for operationerne. Manualen har derfor visse steder et noget traditionelt, konservativt udtryk, og det må betvivles om alle stater i deres ageren i cyber-domænet tillægger eksempelvis ICJ afgørelsers dicta om generelle principper samme vægt som Tallinn-eksperterne gør.
Disse mangler til trods er der som anført tale om et meget velkomment værk, der forhåbentlig kan stimulere dialogen og udviklingen af normer på cyber-området. For der er ikke meget, der tyder på, at staterne selv står foran umiddelbare fremskridt, når det kommer til forhandling af cyber-konventioner eller blot enighed om anvendelsen af den generelle folkeret på cyber-domænet. De seneste forhandlinger i FNs ekspertgruppe om cyber-forhold (Group of Governmental Experts on Developments in the Field of Information and Telecommunications in the Context of International Security (forkortet “GGE”)) brød sammen i slutningen af juni 2017 uden resultat. GGE, der tæller repræsentanter fra 25 lande, herunder de permanente medlemmer af Sikkerhedsrådet, var uenige i grundlæggende spørgsmål om bl.a. retten til at reagere på folkeretsstridige handlinger fra en modpart med handlinger, der ellers ville være ulovlige (“countermeasures”), ret til selvforsvar mod væbnet cyberangreb samt hvorvidt den humanitære folkeret finder anvendelse i cyber space. I en kommentar på Just Security-bloggen fastslår Schmitt om bl.a. Cuba, Kina og Rusland, som han vurderer som de ansvarlige for sammenbruddet i GGE: “Reduced to basics, the States concerned have put forward what are essentially political arguments that make little legal sense. The real legal challenge lies in determining when and how the aforementioned rights and legal regimes apply in the unique cyber context, questions Russia, China and the other recalcitrant States have deftly sidestepped.”
Så mens vi venter på, at klimaet for interstatslige forhandlinger og normfastlæggelse forbedres, er publikationer som Tallin Manualen 2.0 et godt sted at starte, hvis man ønsker (at kunne deltage på kvalificeret vis i) en nuancerede og væsentlige debat om folkeret i cyberspace.
”Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations”, second edition, Udarbejdet af the International Group of Experts at the Invitation of the NATO Cooperative Cyber Defence Centre of Excellence, Cambridge University Press (2017)
