Qualifier un incident informatique de « cyberguerre » suppose de déterminer qui agit, contre quoi et avec quels effets. Une intrusion destinée à collecter des renseignements ne produit pas les mêmes effets qu’une opération qui perturbe durablement une infrastructure. Les campagnes de désinformation, les vols de données et les attaques contre des réseaux peuvent relever d’acteurs et de logiques différents. Employer systématiquement le vocabulaire de la guerre risque donc de confondre espionnage, criminalité et opérations militaires.
La diversité des acteurs et la difficulté d’établir certaines responsabilités compliquent les réponses des États. Les opérations peuvent franchir les frontières très rapidement, mobiliser des infrastructures situées dans des pays tiers et être difficiles à attribuer avec certitude. Des États, des groupes criminels et des acteurs militants peuvent utiliser certains moyens comparables, sans poursuivre les mêmes objectifs. Cette situation complique la réaction des autorités : elles doivent établir les faits, évaluer la gravité des conséquences et choisir une réponse politique, judiciaire ou diplomatique adaptée. Le vocabulaire employé a des conséquences politiques : présenter un incident comme une guerre peut légitimer une réaction disproportionnée, tandis que le réduire à une simple panne peut masquer un acte intentionnel. L’analyse doit donc commencer par les effets observables et leur contexte.
Le droit distingue les incidents criminels, les actes hostiles et les situations relevant véritablement d’un conflit armé. Le seuil de gravité exigé pour qualifier un recours à la force n’est donc pas atteint par la plupart des incidents. Pour analyser une crise numérique, l’ampleur réelle des dommages importe davantage que l’emploi systématique du vocabulaire militaire.