Une seule défaillance informatique, chez un simple prestataire, suffirait à paralyser tout un système financier national. C’est l’avertissement lancé par la Banque centrale du Nigéria à l’ensemble des acteurs bancaires et technologiques du pays. Porté par la directrice de la supervision des systèmes de paiement, le Dr Rakiya Opemi Yusuf, lors de la 19ᵉ conférence annuelle de l’Institut agréé des banquiers du Nigéria, tenue à Abuja les 8 et 9 septembre 2026 selon la presse locale, ce message dépasse largement les frontières nigérianes. Il pointe une vulnérabilité que partagent toutes les entreprises connectées, y compris au Sénégal: le risque venu de leurs prestataires.
Le maillon faible peut tout emporter
Le constat de la régulatrice est simple et redoutable. Les institutions financières dépendent aujourd’hui fortement d’acteurs extérieurs: entreprises de paiement, plateformes d’hébergement en ligne, développeurs de logiciels. Or cette dépendance crée autant de passerelles par lesquelles une attaque informatique peut se propager rapidement d’un acteur à tout l’écosystème.
Pour illustrer cette propagation, le Dr Rakiya a comparé le phénomène à un incendie parti d’un foyer unique qui devient aussitôt un sinistre global. Un incident localisé chez un sous-traitant ne reste pas localisé: il peut embraser toute la chaîne. Et cette chaîne est particulièrement dense au Nigéria, où le paysage financier compte, selon les données de la Banque centrale, 28 banques commerciales, six banques d’affaires, plus de 800 institutions de microfinance, 17 opérateurs de paiement mobile et cinq banques de services de paiement, autant d’éléments étroitement interconnectés où la rupture du maillon le plus faible menace l’ensemble.
La résilience redéfinie, et de nouvelles obligations
Face à ce risque, la Banque centrale du Nigéria opère un changement de doctrine notable. La résilience ne se résume plus à empêcher les attaques: elle réside désormais dans la capacité à maintenir les services essentiels et à rétablir les systèmes après une panne critique. Autrement dit, il ne s’agit plus seulement de se protéger, mais de tenir et de se relever.
Concrètement, la régulatrice exige des banques et des fintechs une cartographie scrupuleuse de l’ensemble de leurs sous-traitants. Elle renforce aussi ses contrôles: l’évaluation des risques technologiques devient un critère central pour autoriser la mise sur le marché de nouveaux produits financiers. Surtout, elle pose un principe fort: les établissements doivent assumer la fiabilité de leurs partenaires technologiques, au lieu de les considérer comme extérieurs à leur périmètre de sécurité. La sécurité d’un prestataire devient la responsabilité de celui qui y recourt.
Signalement, IA et souveraineté des données
Trois autres messages complètent l’alerte. Le signalement immédiat des anomalies et le partage d’informations en temps réel entre banques, prestataires et forces de l’ordre sont jugés essentiels, car toute dissimulation ou tout retard offre aux attaquants un délai précieux pour étendre leur action, un défaut d’interopérabilité déjà pointé par INTERPOL dans son rapport sur la cybercriminalité en Afrique. Sur l’intelligence artificielle, la Banque centrale rappelle que l’automatisation ne doit jamais supprimer la responsabilité humaine dans les décisions financières. Enfin, elle insiste sur la gouvernance et la maîtrise des données: les institutions doivent garder un contrôle absolu de la localisation et de l’usage de leurs données, sous peine de voir une perte de contrôle sur des infrastructures clés se transformer en risque systémique.
Notre lecture : le risque des tiers concerne toutes les entreprises
On pourrait croire ce sujet réservé aux grandes banques nigérianes. Ce serait passer à côté de l’enseignement le plus important, valable pour toute entreprise sénégalaise et de la zone UEMOA, quelle que soit sa taille.
Car le risque décrit ici, celui des tiers, est universel. Presque toutes les entreprises dépendent aujourd’hui de prestataires: hébergeur, éditeur de logiciel, solution de paiement, infogérant, opérateur cloud. La leçon de la Banque centrale du Nigéria s’applique à elles toutes: la faille de votre prestataire est votre faille. Vous pouvez sécuriser parfaitement vos propres systèmes ; si un partenaire à qui vous avez ouvert un accès est compromis, vous l’êtes aussi. La cybersécurité ne s’arrête donc pas à vos murs, elle englobe votre chaîne de dépendances.
Trois réflexes concrets en découlent pour un dirigeant. D’abord, cartographier ses prestataires et ses dépendances: savoir qui accède à quoi, avec quel niveau de sécurité, est le point de départ. Ensuite, contractualiser cette exigence: un bon contrat d’infogérance ou de prestation encadre les obligations de sécurité du prestataire, sa qualité de sous-traitant des données, et la réversibilité, cette capacité à reprendre la main si la relation tourne mal. Enfin, penser résilience plutôt que seule prévention: disposer de sauvegardes testées, d’un plan de réponse aux incidents et de la maîtrise de ses données, pour tenir et se relever même quand un maillon cède.
Cet appel résonne enfin avec l’actualité sénégalaise. La nouvelle loi n° 25/2026 sur les infrastructures critiques suit exactement la même logique: agrément des prestataires de cybersécurité, obligations de résilience et de continuité, et conservation des données sensibles sur le territoire national. Ce que la Banque centrale du Nigéria formule pour son secteur financier, le législateur sénégalais l’inscrit dans le droit. Le message est convergent: à l’ère des écosystèmes interconnectés, la sécurité et la souveraineté des données ne sont plus des options, mais les conditions de la confiance.
Chez Gael Conseil, nous aidons les entreprises sénégalaises à maîtriser ce risque des tiers: cartographier leurs dépendances, sécuriser et encadrer leurs relations avec les prestataires, garder la maîtrise de leurs données, et bâtir une vraie résilience, pour ne pas dépendre de la sécurité des autres.
Savez-vous quels prestataires ont accès à vos systèmes, et si leur sécurité tient ? Échangeons sur votre exposition au risque des tiers.