Actualité

Une start-up née à Dakar vient de devenir un actif stratégique pour un groupe européen de premier plan. Annoncé ce 3 septembre, le rachat de Tanel par Alan, licorne française de l’assurance santé numérique, est une opération significative pour la jeune pousse sénégalaise. Mais son intérêt dépasse largement le secteur de l’assurance: il montre qu’une entreprise issue de l’écosystème dakarois peut se structurer, gagner en crédibilité et devenir suffisamment solide pour intéresser un acteur international. Un signal rare, et porteur d’enseignements pour toutes les entreprises du pays. Ce que dit l’opération Fondée à Dakar par Mouhamed Ndoye et Makhtar Diop, présente depuis plusieurs années au Sénégal et en Côte d’Ivoire, Tanel développe des solutions de couverture santé destinées aux entreprises. En l’intégrant à son groupe, Alan affiche un objectif clair: faire émerger d’ici 2030 une référence de la santé digitale en Afrique francophone. Les deux fondateurs conserveront la direction des activités africaines du nouvel ensemble, et l’acquéreur mise sur une entreprise qui connaît déjà les réalités, les usages et les besoins de ces marchés. ➡️​ IA et cybersécurité : pourquoi les défenses d’hier ne suffisent plus, et ce que cela change pour votre entreprise Une sortie encore rare en Afrique francophone L’opération est d’autant plus notable qu’elle intervient dans un paysage très déséquilibré. Selon des données compilées par TechCabal, le Nigeria, l’Afrique du Sud, l’Égypte et le Kenya ont concentré à eux seuls 81 % des sorties enregistrées sur le continent entre 2011 et 2026. Autrement dit, quatre marchés anglophones captent l’essentiel des rachats et cotations, tandis que les écosystèmes francophones restent nettement moins représentés. La même source note par ailleurs que la part des acquéreurs internationaux dans les sorties africaines serait passée de 56 % en 2020 à 33 % en 2025, signe d’une prudence accrue des investisseurs étrangers. Dans ce contexte, voir un groupe européen de premier plan racheter une start-up dakaroise prend une portée particulière. Cela démontre qu’une entreprise locale peut développer une offre assez structurée, crédible et scalable pour devenir un actif stratégique, et pas seulement lever des fonds ou accumuler des utilisateurs. Pour les entrepreneurs comme pour les investisseurs, un rachat international est une forme de validation. Notre lecture : la solidité, condition de la crédibilité Au-delà de la fierté légitime que suscite cette opération, il faut en tirer un enseignement concret pour les dirigeants, y compris hors du monde des start-up. Ce qui rend une entreprise attractive pour un acquéreur international tient en trois mots que la source emploie justement: structurée, crédible et scalable. Or ces qualités ne sont pas seulement commerciales, elles reposent aussi sur des fondations moins visibles. Une entreprise qui veut grandir, franchir des frontières ou passer l’examen exigeant d’un investisseur doit démontrer que ses systèmes tiennent la charge, que ses données sont protégées et conformes, et que son informatique peut suivre son ambition. Lors d’une acquisition, l’audit préalable, la fameuse due diligence, examine précisément la robustesse technique, la sécurité et la conformité de la cible. Ce point est particulièrement sensible dans le secteur de Tanel, la santé, où les données manipulées comptent parmi les plus sensibles qui soient. De manière générale, une entreprise qui traite des données personnelles, a fortiori de santé, ne peut prétendre à la crédibilité sans une gouvernance des données rigoureuse et une conformité maîtrisée, au Sénégal au regard de la loi n° 2016-29 sous le contrôle de la CDP. La sécurité et la conformité ne sont pas des contraintes secondaires: elles font partie de ce qui rend une entreprise digne de confiance et, in fine, de valeur. Il y a enfin un signal encourageant pour le marché. L’opération intervient à un moment où des investisseurs internationaux s’interrogent sur l’environnement économique sénégalais. L’arrivée d’un acteur étranger majeur au capital d’une entreprise locale envoie un message inverse: le Sénégal abrite des entreprises capables de créer de la valeur et d’attirer capitaux et compétences. Reste à savoir si ce rachat ouvrira une nouvelle séquence pour la tech francophone et encouragera d’autres sorties. Nous le souhaitons, car un écosystème qui mûrit profite à tous ses acteurs. Chez Gael Conseil, nous accompagnons les entreprises sénégalaises qui se structurent et se développent à bâtir ces fondations moins visibles mais décisives: une infrastructure qui suit la croissance, une sécurité solide, une gouvernance des données et une conformité maîtrisées. Autant d’atouts qui, le jour venu, font la différence entre une belle idée et une entreprise crédible aux yeux d’un partenaire ou d’un investisseur international. Vous construisez une entreprise faite pour durer et pour grandir ? Échangeons sur les fondations techniques, la sécurité et la conformité qui soutiennent votre ambition. 👉 Gael Conseil

Un chiffre a fait réagir le secteur: environ 1 000 milliards de dollars. C’est la somme qu’il faudrait investir dans le monde, selon Nikesh Arora, patron de Palo Alto Networks, l’un des géants mondiaux de la cybersécurité, pour mettre à niveau les infrastructures face à la menace croissante portée par l’intelligence artificielle. Au-delà du montant vertigineux, c’est le constat de fond qui mérite l’attention de toutes les entreprises, y compris au Sénégal: les défenses conçues il y a sept ou dix ans ne sont pas prêtes pour la vitesse des attaques dopées à l’IA. L’IA accélère et automatise les attaques Le cœur du message est là. Grâce à des modèles de plus en plus puissants, l’intelligence artificielle permet aujourd’hui de trouver et d’exploiter des failles très rapidement. Selon le dirigeant de Palo Alto Networks, cité par CNBC, rien de ce qui a été déployé il y a sept à dix ans n’est préparé à gérer cette accélération, ce qui oblige les entreprises à repenser leur architecture de cybersécurité. Le problème tient à la nature de ces nouvelles menaces: automatisées, elles peuvent se déclencher instantanément et à grande échelle. Or la plupart des défenses en place n’ont pas été conçues pour cela. Le marché, note CNBC, commence d’ailleurs à intégrer que l’IA n’intéresse pas que les entreprises légitimes: elle sert aussi aux attaquants pour faciliter et accélérer leurs opérations. ➡️​ Cybersécurité : le Sénégal adopte sa loi sur les infrastructures critiques, ce qui change pour les entreprises Une « dette de cybersécurité » mondiale à combler C’est l’image forte employée par Nikesh Arora: il existerait environ 1 000 milliards de dollars de « dette de cybersécurité » à moderniser dans le monde, pour se défendre contre ces menaces automatisées. Autrement dit, un retard accumulé, des infrastructures vieillissantes qu’il faut mettre à jour, faute de quoi elles resteront exposées. Le dirigeant ajoute un point qui résonne à l’heure où toutes les organisations veulent adopter l’IA: on ne peut pas déployer l’intelligence artificielle avec succès sans disposer au préalable d’une cybersécurité solide. La modernisation de la sécurité devient ainsi un préalable à la transformation par l’IA, pas une option à traiter plus tard. Une précision de transparence s’impose: Nikesh Arora dirige une entreprise dont le métier est précisément de vendre des solutions de cybersécurité, et il défend donc aussi ses intérêts. Mais son constat rejoint une tendance largement documentée par ailleurs, comme le récent rapport d’INTERPOL qui pointait la montée des menaces alimentées par l’IA en Afrique. ➡️​ Cybercriminalité en Afrique : 5 milliards de dollars de pertes en 2025, et le Sénégal parmi les plus exposés Notre lecture : ce que les entreprises sénégalaises doivent en retenir Un chiffre de 1 000 milliards de dollars peut sembler abstrait, et donner à une PME sénégalaise le sentiment que le sujet la dépasse. C’est l’inverse qu’il faut lire. La leçon n’est pas « dépensez une fortune », mais « ne comptez plus sur des défenses pensées pour un monde d’avant l’IA ». Plusieurs enseignements concrets se dégagent, et ils rejoignent ce que nous observons. D’abord, la vitesse devient le facteur décisif. Si les attaques se déploient instantanément et automatiquement, la capacité à détecter et à réagir vite compte plus que jamais. Cela plaide pour une protection moderne et comportementale plutôt que pour des outils qui ne reconnaissent que les menaces connues, et pour une surveillance continue, idéalement managée, capable d’agir sans délai. Ensuite, la dette de cybersécurité est particulièrement sensible là où le parc informatique est ancien, ce qui est fréquent localement: moderniser son architecture, corriger ses vulnérabilités en continu et repenser sa défense en profondeur sont des chantiers d’autant plus urgents. Enfin, pour toute entreprise qui envisage d’adopter l’IA, le message est clair: sécuriser d’abord, déployer ensuite. Il y a aussi un signal encourageant pour le Sénégal. La nouvelle loi n°25/2026 sur les infrastructures critiques a fait un choix pertinent en privilégiant des principes généraux de sécurité plutôt que des technologies figées, précisément pour rester adaptable face à des menaces comme celles portées par l’IA. Le cadre local anticipe donc, en partie, cette évolution. Un dernier mot, fidèle à notre approche: ce constat vient d’un acteur du marché, et il ne s’agit pas d’adopter une marque en particulier. L’enjeu réel est méthodologique: évaluer honnêtement sa maturité, moderniser ce qui doit l’être, et bâtir une défense capable de tenir le rythme des menaces automatisées. Chez Gael Conseil, nous aidons les entreprises sénégalaises à faire ce diagnostic sans dramatisation ni surenchère: évaluer l’état réel de vos défenses, moderniser votre protection des postes et votre architecture, structurer une gestion continue des vulnérabilités, mettre en place une surveillance réactive, et sécuriser vos projets d’IA dès leur conception. Face à des menaces qui accélèrent, l’important n’est pas de tout dépenser, mais de moderniser juste et vite. Vos défenses sont-elles à la hauteur des menaces d’aujourd’hui ? Échangeons sur l’état de votre sécurité et vos priorités de modernisation. 👉 Cybersécurité & Résilience, Gael Conseil

Le projet de loi que nous vous présentions il y a quelques jours est désormais une loi. Ce jeudi 20 août 2026, l’Assemblée nationale a adopté le texte n°25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique, à l’unanimité des votants, par 127 voix pour, sans voix contre ni abstention. Présenté par le ministre des Télécommunications et du Numérique, Samba Diouf, avec le soutien du ministre de la Communication, Bacary Sarr, le texte adapte le cadre juridique sénégalais à la multiplication et à la sophistication des cyberattaques. Voici ce que cette adoption change concrètement, et pourquoi les entreprises concernées doivent désormais passer à l’action. Une protection renforcée des infrastructures stratégiques Le cœur de la loi reste la protection des infrastructures, systèmes et plateformes jugés essentiels au fonctionnement et à la sécurité du pays. Ces infrastructures d’information critiques bénéficient d’un régime renforcé, sous la supervision de l’Autorité nationale de Cybersécurité, et certaines installations stratégiques pourront relever du secret de la défense nationale. Comme nous l’avions détaillé, leurs exploitants devront se conformer à des normes de sécurité précises, avec à la clé un régime de sanctions administratives et pénales pour en garantir le respect. Un point notable: le périmètre de la loi ne s’arrête pas aux frontières. Certains services numériques accessibles au Sénégal depuis des équipements situés à l’étranger pourront également être concernés, selon les modalités prévues par la réglementation ou les accords internationaux. Une approche par principes, pensée pour l’intelligence artificielle Le législateur a fait un choix intéressant face à l’évolution rapide des technologies. Plutôt que de viser des technologies précises, vite dépassées, le texte privilégie des principes généraux de sécurité et des normes techniques susceptibles d’évoluer. Cette approche vise à garder le cadre adaptable face aux nouvelles menaces, notamment celles liées à l’intelligence artificielle, dont le rôle croissant dans les cyberattaques est explicitement pris en compte. ➡️​ Cybercriminalité en Afrique : 5 milliards de dollars de pertes en 2025, et le Sénégal parmi les plus exposés La souveraineté des données au premier plan Autre axe majeur confirmé: la souveraineté numérique. La loi consacre le principe de conservation sur le territoire national des données considérées comme sensibles pour l’État. Les infrastructures nationales d’hébergement, notamment le data center de Sénégal Numérique, occupent une place centrale dans cette stratégie, appelées à accueillir ces données stratégiques. Un volet usagers : enfants et inclusion La loi ne se limite pas aux infrastructures étatiques. Elle intègre un volet de protection des usagers, avec un plan d’action dédié à la protection des enfants en ligne. Elle prévoit par ailleurs des garanties d’accès et d’emploi sans discrimination pour les personnes en situation de handicap dans le secteur de la cybersécurité, un signal en faveur de l’inclusion dans cette filière. Notre lecture : l’anticipation n’est plus une option Avec cette adoption, ce que nous présentions comme une perspective devient une réalité juridique. Le message pour les dirigeants change de nature: il ne s’agit plus de surveiller un projet, mais de se préparer à des obligations qui vont s’appliquer, dont les modalités précises seront fixées par décrets. Les entreprises susceptibles d’être classées comme infrastructures critiques, banques, télécoms, énergie, santé, industrie, et leurs partenaires travaillant pour l’État, sont en première ligne. Pour elles, les chantiers que nous évoquions ne relèvent plus de la bonne pratique facultative: désigner un responsable de la sécurité des systèmes d’information, formaliser des plans de continuité et de réponse aux incidents, mettre en place une supervision et un centre des opérations de sécurité, structurer une gestion continue des vulnérabilités, conserver les journaux, réaliser des audits, et disposer de sauvegardes chiffrées et testées. La question de la localisation des données, désormais adossée aux infrastructures nationales, devient également stratégique dans les choix de cloud et de sauvegarde. Un point mérite l’attention des acteurs du secteur: la loi encadre les services et produits de cybersécurité, ce qui ouvre la voie à un régime d’agrément des prestataires par l’Autorité nationale de Cybersécurité. Autrement dit, le marché sénégalais de la cybersécurité va se structurer et se professionnaliser autour de ce cadre. Notre conviction reste la même, et elle se renforce: la conformité bien menée n’est pas une contrainte, mais une mise à niveau de sécurité qui protège réellement l’entreprise. Ceux qui anticipent aujourd’hui éviteront la précipitation, les sanctions et le stress d’une mise en conformité de dernière minute. Chez Gael Conseil, nous accompagnons les entreprises sénégalaises dans cette préparation: audit de conformité et de sécurité, mise en place d’un plan de réponse aux incidents et d’une supervision, gestion des vulnérabilités, stratégie de sauvegarde testée, et gouvernance de la sécurité. Si votre organisation pourrait être concernée, le moment d’agir, c’est maintenant. Votre entreprise est-elle prête pour ce nouveau cadre ? Échangeons sur votre exposition et votre feuille de route de conformité. 👉 Cybersécurité & Résilience, Gael Conseil

L’essor numérique de l’Afrique a un revers: il attire les cybercriminels. Dans un rapport publié le 3 août 2026, INTERPOL estime à au moins 5 milliards de dollars les dommages économiques directs causés par la cybercriminalité sur le continent en 2025. Le document, fondé sur une enquête menée dans 36 pays africains, dresse le tableau d’une menace qui s’aggrave vite, se sophistique grâce à l’intelligence artificielle, et n’épargne pas le Sénégal, classé quatrième pays le plus touché par les vulnérabilités détectées. Voici ce qu’il faut en retenir, et ce que cela implique pour les entreprises sénégalaises. Une menace qui explose Les chiffres décrivent une accélération brutale. Selon INTERPOL, les pertes financières déclarées liées aux cyberattaques sont passées de 192 millions de dollars en 2024 à 484 millions en 2025, soit une hausse de 152% en un an. Sur la même période, le nombre de victimes identifiées est passé de 35 000 à 87 000. Dans les pays d’Afrique de l’Ouest et australe étudiés, la cybercriminalité représente désormais plus de 30% des infractions enregistrées, une part en progression. Cette flambée accompagne l’expansion de l’économie numérique africaine, qui compte plus de 1,1 milliard d’abonnements mobiles et a enregistré plus de 1 100 milliards de dollars de transactions numériques en 2025. Autrement dit, plus l’Afrique se numérise, plus sa surface d’exposition grandit. ➡️ Réseaux télécoms : pourquoi ils deviennent la cible stratégique numéro un des cyberattaques Escroqueries, vol d’identité et intelligence artificielle Le rapport identifie clairement les modes opératoires dominants. Les escroqueries en ligne restent la forme la plus répandue de cybercriminalité, et servent souvent de porte d’entrée vers des attaques plus complexes: usurpation d’identité et fraude financière. Une fois des identifiants compromis, les criminels accèdent à des comptes bancaires, à des portefeuilles numériques ou à des services publics en ligne. INTERPOL souligne d’ailleurs que les violations de données de 2025 ont formé le socle sur lequel se sont appuyées la plupart des grandes formes de cybercriminalité. Deux tendances méritent l’attention. D’abord, la fraude au faux ordre de virement, qui détourne des échanges professionnels pour obtenir des paiements frauduleux, représente à elle seule 21% des attaques liées à une compromission d’identité. Ensuite, les menaces alimentées par l’intelligence artificielle gagnent du terrain: deepfakes et contenus synthétiques servent désormais à la manipulation, à la sextorsion et au harcèlement. Des défenses qui ne suivent pas le rythme Le rapport pointe une faiblesse structurelle. Malgré des dépenses estimées à 15,3 milliards de dollars consacrées à la cybersécurité en Afrique en 2025, les capacités de défense ne progressent pas aussi vite que les menaces. De nombreux pays restent confrontés à des infrastructures insuffisantes, à des cadres réglementaires hétérogènes et à un faible niveau de sensibilisation. La Shadowserver Foundation a par ailleurs identifié plus de 6 000 vulnérabilités exploitables sur le continent en 2025. C’est sur ce dernier point que le Sénégal apparaît nommément. Le pays se classe au quatrième rang africain pour la part des vulnérabilités détectées, avec 4,6%, derrière l’Afrique du Sud, le Kenya et le Nigeria, qui comptent aussi parmi les nations les plus connectées du continent. ➡️ Cybersécurité au Sénégal : ce que prévoit le projet de loi sur les infrastructures critiques, et ce qu’il changerait pour… Notre lecture : ce que cela change pour les entreprises sénégalaises Ce rapport n’est pas une actualité lointaine: il nomme le Sénégal parmi les pays les plus exposés du continent. Cette place, corrélée à un fort taux de connexion et à l’essor du mobile money, signifie une chose simple pour les dirigeants: la question n’est plus de savoir si votre entreprise sera visée, mais quand, et si vous serez prêt. Plusieurs enseignements ressortent, et ils rejoignent ce que nous constatons sur le terrain. D’abord, la menace vise l’humain avant la technique. Escroqueries, vol d’identifiants, faux ordres de virement: ces attaques exploitent la confiance et l’inattention des collaborateurs, pas des failles logicielles exotiques. La sensibilisation et la formation, notamment à la détection du phishing, sont donc la première ligne de défense, pas un supplément. Ensuite, la donnée est le carburant des attaques. Une fuite de données n’est pas un incident isolé, mais le point de départ de fraudes en cascade, ce qui rend la protection des données et la conformité d’autant plus stratégiques. Enfin, l’intelligence artificielle change l’échelle. Deepfakes et contenus synthétiques rendent les manipulations plus crédibles, ce qui impose de renforcer les procédures de vérification, en particulier pour les paiements. La leçon de fond du rapport est que les dépenses seules ne suffisent pas: ce qui compte, c’est une défense structurée. Sensibiliser les équipes, protéger et sauvegarder les données, corriger ses vulnérabilités en continu, et disposer d’un plan de réponse aux incidents valent mieux que des outils empilés sans stratégie. Chez Gael Conseil, nous aidons les entreprises sénégalaises à transformer ce constat en action: sensibilisation et formation des équipes, audit et gestion des vulnérabilités, protection des données et sauvegardes testées, et préparation à la réponse aux incidents. Face à une menace qui progresse plus vite que les défenses, l’avantage revient à ceux qui anticipent. Votre entreprise est-elle réellement préparée face à ces menaces ? Échangeons sur votre exposition et vos priorités de protection. 👉 Cybersécurité & Résilience, Gael Conseil

Les banques et les administrations n’étaient qu’un début. Selon un récent livre blanc de GSMA Intelligence, ce sont désormais les opérateurs de télécommunications qui figurent parmi les infrastructures les plus exposées aux cyberattaques. La raison est simple: les réseaux mobiles sont devenus le socle sur lequel repose toute la transformation numérique, celle des États comme des entreprises. Les attaquer, c’est menacer bien plus que des communications. Voici ce que dit ce constat, et ce qu’il implique concrètement pour les entreprises sénégalaises. Pourquoi les télécoms sont devenus une cible de choix Le raisonnement des cybercriminels a changé. Plutôt que de viser une organisation à la fois, ils s’attaquent au maillon dont tout le reste dépend. Or aujourd’hui, une multitude de services reposent directement sur la disponibilité et l’intégrité des réseaux télécoms: les communications bien sûr, mais aussi les services financiers via le mobile money, les objets connectés, les services cloud, les administrations numériques et les infrastructures critiques. Compromettre un opérateur, c’est donc frapper d’un seul coup un écosystème entier. La GSMA identifie plusieurs facteurs qui expliquent cette montée en exposition. Le déploiement de la 5G, la virtualisation des réseaux, le recours croissant au cloud et la multiplication des objets connectés élargissent considérablement la surface d’attaque. Les attaquants ciblent aussi de plus en plus les chaînes d’approvisionnement, les systèmes de gestion des réseaux et les plateformes d’authentification, capables de compromettre simultanément un très grand nombre de services. Le message central du livre blanc est un changement de regard: pour les opérateurs, la cybersécurité ne peut plus être vue comme une simple fonction informatique. Elle devient un enjeu stratégique de continuité des services et de souveraineté numérique. À mesure que les économies se numérisent, protéger les réseaux télécoms revient à protéger le fonctionnement même de sociétés désormais entièrement connectées. ➡️ Cybersécurité au Sénégal : ce que prévoit le projet de loi sur les infrastructures critiques, et ce qu’il changerait pour… Notre lecture : ce que cela change pour les entreprises au Sénégal Ce constat résonne particulièrement au Sénégal, où la dépendance aux réseaux télécoms est encore plus directe qu’ailleurs. Le mobile money y porte une part entière de l’activité économique, la 5G y est désormais déployée, et de plus en plus de services d’entreprise reposent sur la connectivité mobile. Autrement dit, ici comme dans le livre blanc de la GSMA, la sécurité du réseau télécom n’est pas l’affaire des seuls opérateurs: elle conditionne la continuité de milliers d’entreprises. Deux enseignements méritent d’être retenus par les décideurs. D’abord, la dépendance est un risque en soi. Une entreprise dont l’activité repose sur une connexion unique, pour ses paiements, son cloud ou ses communications, est vulnérable à toute perturbation de cette chaîne, qu’elle soit accidentelle ou malveillante. Prévoir une redondance de connectivité et des solutions de secours n’est plus un luxe. Ensuite, la surface d’attaque s’étend à mesure qu’on connecte. Chaque objet connecté, chaque service cloud, chaque nouvelle intégration élargit le périmètre à protéger. La 5G et l’internet des objets, riches en opportunités, imposent d’intégrer la sécurité dès la conception des projets, et non après. Il faut aussi souligner un point que le livre blanc met en avant et que nous partageons: la cybersécurité est devenue un enjeu de souveraineté et de continuité, pas une ligne technique parmi d’autres. Pour une entreprise, cela signifie hisser le sujet au niveau de la direction, cartographier ses dépendances vis-à-vis des réseaux et des services tiers, et bâtir sa propre résilience plutôt que de la déléguer entièrement à des acteurs sur lesquels elle n’a pas la main. Chez Gael Conseil, nous aidons les entreprises sénégalaises à réduire cette exposition: analyse des dépendances et des points de défaillance uniques, sécurisation des usages mobiles et cloud, redondance de connectivité, protection des projets 5G et objets connectés dès leur conception, et préparation à la réponse aux incidents. Face à des menaces qui visent désormais le socle de la connectivité, la meilleure protection reste d’anticiper. Votre activité dépend-elle d’un réseau ou d’un service dont la compromission vous paralyserait ? Échangeons sur votre exposition et votre résilience. 👉 Cybersécurité & Résilience, Gael Conseil

Un nouveau texte pourrait rehausser sensiblement les exigences de cybersécurité au Sénégal. À l’ouverture de sa session extraordinaire 2026-2027, l’Assemblée nationale a inscrit à son ordre du jour le projet de loi n°25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique. Encore en discussion, ce texte porté par le Gouvernement viserait à responsabiliser l’ensemble des acteurs, publics comme privés, face aux cybermenaces. Voici ce qu’il contient, et pourquoi les entreprises ont intérêt à s’y préparer dès maintenant. L’esprit du texte Le projet part d’un constat simple: la numérisation ouvre des opportunités, mais expose aussi l’administration, l’économie et la société à des risques allant du piratage à l’espionnage, en passant par la négligence humaine. Le Sénégal dispose déjà de plusieurs lois en la matière, mais le texte estime ce dispositif encore incomplet et entend le hisser aux meilleurs standards internationaux, en cohérence avec l’agenda Sénégal 2050. Il créerait un cadre global pour la sécurité des réseaux et systèmes d’information, avec deux régimes selon le degré de criticité, et prévoirait l’intervention d’une Autorité nationale de Cybersécurité. Des obligations nouvelles pour les exploitants C’est le volet qui concerne le plus directement les entreprises. Les exploitants de réseaux et systèmes d’information devraient identifier leurs risques, mettre en place des mesures techniques et organisationnelles, désigner un responsable de la sécurité des systèmes d’information, élaborer des plans de continuité et de reprise d’activité, et réaliser des audits réguliers ainsi que, lorsque c’est nécessaire, des dispositifs de supervision et de détection. Le texte irait plus loin sur plusieurs points concrets. Il imposerait de conserver les journaux de sécurité pendant au moins six mois, d’assurer la sauvegarde et le chiffrement des données sensibles, et de mener régulièrement des tests de résilience et des analyses de vulnérabilité. En cas d’incident significatif, une notification immédiate serait requise, et en cas de violation de données personnelles, l’information des personnes concernées et la notification à la Commission des données personnelles s’imposeraient. Les infrastructures critiques sous surveillance renforcée Une partie importante du projet vise les infrastructures d’information critiques, ces systèmes jugés stratégiques pour la Nation. Certains secteurs y seraient classés d’office, comme la défense, la sécurité publique, la justice ou les douanes, et un répertoire national, tenu secret, recenserait ces infrastructures selon leur rôle et la gravité potentielle d’un incident. Les exploitants concernés devraient bâtir un programme de cybersécurité dans les six mois suivant leur classement, et mettre en place, dans un délai d’un an, un centre des opérations de sécurité chargé de la surveillance en temps réel, du suivi des vulnérabilités et du pilotage des mesures correctives. Le texte prévoit aussi des CERT sectoriels, un CERT national, et un cadre national de coordination de la détection et de la réponse aux incidents. Les exploitants d’infrastructures critiques seraient par ailleurs soumis à un audit interne annuel et à un audit externe tous les trois ans. Localisation des données et agrément des prestataires Deux dispositions retiennent l’attention. D’une part, les données produites ou détenues par l’État et par ses partenaires privés en mission de service public devraient être hébergées et traitées sur le territoire national, sauf dérogation temporaire. D’autre part, les prestataires de cybersécurité, audit, réponse aux incidents, hébergement sécurisé, conseil, maintenance, devraient obtenir un agrément de l’Autorité nationale de Cybersécurité, avec des critères portant notamment sur la localisation des infrastructures et les moyens techniques. Les marchés publics de cybersécurité seraient réservés aux prestataires agréés. Des sanctions dissuasives Pour donner de la force à ces obligations, le projet prévoit des sanctions administratives et pénales. Les amendes administratives pourraient aller de un million à 800 millions de francs CFA selon la gravité, voire, dans les cas les plus lourds, de un à cinq pour cent du chiffre d’affaires. Des peines d’emprisonnement et des amendes sont également prévues pour certaines infractions, avant toute sanction administrative, une procédure contradictoire étant garantie. Notre lecture : ce que les entreprises doivent anticiper Il s’agit d’un projet de loi, encore soumis au débat parlementaire, et son contenu final pourra évoluer. Mais sa direction est claire, et les organisations avisées ont tout intérêt à s’y préparer sans attendre son adoption. Les entreprises susceptibles d’être classées comme infrastructures critiques, ou qui travaillent pour elles et pour l’État, sont les plus directement visées: banques, télécoms, énergie, santé, et leurs sous-traitants. Pour elles, plusieurs chantiers deviendraient incontournables, et le sont déjà en bonne pratique: désigner un responsable de la sécurité des systèmes d’information, formaliser un plan de continuité et un plan de réponse aux incidents, mettre en place une supervision et un centre des opérations de sécurité, structurer une gestion continue des vulnérabilités, et surtout disposer de sauvegardes chiffrées et régulièrement testées. La conservation des journaux, les audits périodiques et la question de la localisation des données complètent ce tableau. Notre conviction est simple: se conformer ne devrait pas être vécu comme une contrainte de dernière minute, mais comme une mise à niveau de sécurité que les meilleures organisations mènent déjà. Anticiper aujourd’hui, c’est éviter la précipitation et les sanctions demain, tout en renforçant réellement sa résilience. Chez Gael Conseil, nous accompagnons les entreprises sénégalaises dans cette préparation: audit de conformité et de sécurité, mise en place d’un plan de réponse aux incidents et d’un dispositif de supervision, gestion des vulnérabilités, stratégie de sauvegarde testée, et accompagnement à la gouvernance de la sécurité. Si votre organisation pourrait être concernée, le bon moment pour faire le point est maintenant. Vous vous demandez si ce futur cadre vous concerne et comment vous y préparer ? Échangeons sur votre exposition et votre feuille de route. 👉 Cybersécurité & Résilience, Gael Conseil