Le projet de loi que nous vous présentions il y a quelques jours est désormais une loi. Ce jeudi 20 août 2026, l’Assemblée nationale a adopté le texte n°25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique, à l’unanimité des votants, par 127 voix pour, sans voix contre ni abstention. Présenté par le ministre des Télécommunications et du Numérique, Samba Diouf, avec le soutien du ministre de la Communication, Bacary Sarr, le texte adapte le cadre juridique sénégalais à la multiplication et à la sophistication des cyberattaques. Voici ce que cette adoption change concrètement, et pourquoi les entreprises concernées doivent désormais passer à l’action.
Une protection renforcée des infrastructures stratégiques
Le cœur de la loi reste la protection des infrastructures, systèmes et plateformes jugés essentiels au fonctionnement et à la sécurité du pays. Ces infrastructures d’information critiques bénéficient d’un régime renforcé, sous la supervision de l’Autorité nationale de Cybersécurité, et certaines installations stratégiques pourront relever du secret de la défense nationale. Comme nous l’avions détaillé, leurs exploitants devront se conformer à des normes de sécurité précises, avec à la clé un régime de sanctions administratives et pénales pour en garantir le respect.
Un point notable: le périmètre de la loi ne s’arrête pas aux frontières. Certains services numériques accessibles au Sénégal depuis des équipements situés à l’étranger pourront également être concernés, selon les modalités prévues par la réglementation ou les accords internationaux.
Une approche par principes, pensée pour l’intelligence artificielle
Le législateur a fait un choix intéressant face à l’évolution rapide des technologies. Plutôt que de viser des technologies précises, vite dépassées, le texte privilégie des principes généraux de sécurité et des normes techniques susceptibles d’évoluer. Cette approche vise à garder le cadre adaptable face aux nouvelles menaces, notamment celles liées à l’intelligence artificielle, dont le rôle croissant dans les cyberattaques est explicitement pris en compte.
La souveraineté des données au premier plan
Autre axe majeur confirmé: la souveraineté numérique. La loi consacre le principe de conservation sur le territoire national des données considérées comme sensibles pour l’État. Les infrastructures nationales d’hébergement, notamment le data center de Sénégal Numérique, occupent une place centrale dans cette stratégie, appelées à accueillir ces données stratégiques.
Un volet usagers : enfants et inclusion
La loi ne se limite pas aux infrastructures étatiques. Elle intègre un volet de protection des usagers, avec un plan d’action dédié à la protection des enfants en ligne. Elle prévoit par ailleurs des garanties d’accès et d’emploi sans discrimination pour les personnes en situation de handicap dans le secteur de la cybersécurité, un signal en faveur de l’inclusion dans cette filière.
Notre lecture : l’anticipation n’est plus une option
Avec cette adoption, ce que nous présentions comme une perspective devient une réalité juridique. Le message pour les dirigeants change de nature: il ne s’agit plus de surveiller un projet, mais de se préparer à des obligations qui vont s’appliquer, dont les modalités précises seront fixées par décrets.
Les entreprises susceptibles d’être classées comme infrastructures critiques, banques, télécoms, énergie, santé, industrie, et leurs partenaires travaillant pour l’État, sont en première ligne. Pour elles, les chantiers que nous évoquions ne relèvent plus de la bonne pratique facultative: désigner un responsable de la sécurité des systèmes d’information, formaliser des plans de continuité et de réponse aux incidents, mettre en place une supervision et un centre des opérations de sécurité, structurer une gestion continue des vulnérabilités, conserver les journaux, réaliser des audits, et disposer de sauvegardes chiffrées et testées. La question de la localisation des données, désormais adossée aux infrastructures nationales, devient également stratégique dans les choix de cloud et de sauvegarde.
Un point mérite l’attention des acteurs du secteur: la loi encadre les services et produits de cybersécurité, ce qui ouvre la voie à un régime d’agrément des prestataires par l’Autorité nationale de Cybersécurité. Autrement dit, le marché sénégalais de la cybersécurité va se structurer et se professionnaliser autour de ce cadre.
Notre conviction reste la même, et elle se renforce: la conformité bien menée n’est pas une contrainte, mais une mise à niveau de sécurité qui protège réellement l’entreprise. Ceux qui anticipent aujourd’hui éviteront la précipitation, les sanctions et le stress d’une mise en conformité de dernière minute.
Chez Gael Conseil, nous accompagnons les entreprises sénégalaises dans cette préparation: audit de conformité et de sécurité, mise en place d’un plan de réponse aux incidents et d’une supervision, gestion des vulnérabilités, stratégie de sauvegarde testée, et gouvernance de la sécurité. Si votre organisation pourrait être concernée, le moment d’agir, c’est maintenant.
Votre entreprise est-elle prête pour ce nouveau cadre ? Échangeons sur votre exposition et votre feuille de route de conformité.