Actualité

Un nouveau texte pourrait rehausser sensiblement les exigences de cybersécurité au Sénégal. À l’ouverture de sa session extraordinaire 2026-2027, l’Assemblée nationale a inscrit à son ordre du jour le projet de loi n°25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique. Encore en discussion, ce texte porté par le Gouvernement viserait à responsabiliser l’ensemble des acteurs, publics comme privés, face aux cybermenaces. Voici ce qu’il contient, et pourquoi les entreprises ont intérêt à s’y préparer dès maintenant. L’esprit du texte Le projet part d’un constat simple: la numérisation ouvre des opportunités, mais expose aussi l’administration, l’économie et la société à des risques allant du piratage à l’espionnage, en passant par la négligence humaine. Le Sénégal dispose déjà de plusieurs lois en la matière, mais le texte estime ce dispositif encore incomplet et entend le hisser aux meilleurs standards internationaux, en cohérence avec l’agenda Sénégal 2050. Il créerait un cadre global pour la sécurité des réseaux et systèmes d’information, avec deux régimes selon le degré de criticité, et prévoirait l’intervention d’une Autorité nationale de Cybersécurité. Des obligations nouvelles pour les exploitants C’est le volet qui concerne le plus directement les entreprises. Les exploitants de réseaux et systèmes d’information devraient identifier leurs risques, mettre en place des mesures techniques et organisationnelles, désigner un responsable de la sécurité des systèmes d’information, élaborer des plans de continuité et de reprise d’activité, et réaliser des audits réguliers ainsi que, lorsque c’est nécessaire, des dispositifs de supervision et de détection. Le texte irait plus loin sur plusieurs points concrets. Il imposerait de conserver les journaux de sécurité pendant au moins six mois, d’assurer la sauvegarde et le chiffrement des données sensibles, et de mener régulièrement des tests de résilience et des analyses de vulnérabilité. En cas d’incident significatif, une notification immédiate serait requise, et en cas de violation de données personnelles, l’information des personnes concernées et la notification à la Commission des données personnelles s’imposeraient. Les infrastructures critiques sous surveillance renforcée Une partie importante du projet vise les infrastructures d’information critiques, ces systèmes jugés stratégiques pour la Nation. Certains secteurs y seraient classés d’office, comme la défense, la sécurité publique, la justice ou les douanes, et un répertoire national, tenu secret, recenserait ces infrastructures selon leur rôle et la gravité potentielle d’un incident. Les exploitants concernés devraient bâtir un programme de cybersécurité dans les six mois suivant leur classement, et mettre en place, dans un délai d’un an, un centre des opérations de sécurité chargé de la surveillance en temps réel, du suivi des vulnérabilités et du pilotage des mesures correctives. Le texte prévoit aussi des CERT sectoriels, un CERT national, et un cadre national de coordination de la détection et de la réponse aux incidents. Les exploitants d’infrastructures critiques seraient par ailleurs soumis à un audit interne annuel et à un audit externe tous les trois ans. Localisation des données et agrément des prestataires Deux dispositions retiennent l’attention. D’une part, les données produites ou détenues par l’État et par ses partenaires privés en mission de service public devraient être hébergées et traitées sur le territoire national, sauf dérogation temporaire. D’autre part, les prestataires de cybersécurité, audit, réponse aux incidents, hébergement sécurisé, conseil, maintenance, devraient obtenir un agrément de l’Autorité nationale de Cybersécurité, avec des critères portant notamment sur la localisation des infrastructures et les moyens techniques. Les marchés publics de cybersécurité seraient réservés aux prestataires agréés. Des sanctions dissuasives Pour donner de la force à ces obligations, le projet prévoit des sanctions administratives et pénales. Les amendes administratives pourraient aller de un million à 800 millions de francs CFA selon la gravité, voire, dans les cas les plus lourds, de un à cinq pour cent du chiffre d’affaires. Des peines d’emprisonnement et des amendes sont également prévues pour certaines infractions, avant toute sanction administrative, une procédure contradictoire étant garantie. Notre lecture : ce que les entreprises doivent anticiper Il s’agit d’un projet de loi, encore soumis au débat parlementaire, et son contenu final pourra évoluer. Mais sa direction est claire, et les organisations avisées ont tout intérêt à s’y préparer sans attendre son adoption. Les entreprises susceptibles d’être classées comme infrastructures critiques, ou qui travaillent pour elles et pour l’État, sont les plus directement visées: banques, télécoms, énergie, santé, et leurs sous-traitants. Pour elles, plusieurs chantiers deviendraient incontournables, et le sont déjà en bonne pratique: désigner un responsable de la sécurité des systèmes d’information, formaliser un plan de continuité et un plan de réponse aux incidents, mettre en place une supervision et un centre des opérations de sécurité, structurer une gestion continue des vulnérabilités, et surtout disposer de sauvegardes chiffrées et régulièrement testées. La conservation des journaux, les audits périodiques et la question de la localisation des données complètent ce tableau. Notre conviction est simple: se conformer ne devrait pas être vécu comme une contrainte de dernière minute, mais comme une mise à niveau de sécurité que les meilleures organisations mènent déjà. Anticiper aujourd’hui, c’est éviter la précipitation et les sanctions demain, tout en renforçant réellement sa résilience. Chez Gael Conseil, nous accompagnons les entreprises sénégalaises dans cette préparation: audit de conformité et de sécurité, mise en place d’un plan de réponse aux incidents et d’un dispositif de supervision, gestion des vulnérabilités, stratégie de sauvegarde testée, et accompagnement à la gouvernance de la sécurité. Si votre organisation pourrait être concernée, le bon moment pour faire le point est maintenant. Vous vous demandez si ce futur cadre vous concerne et comment vous y préparer ? Échangeons sur votre exposition et votre feuille de route. 👉 Cybersécurité & Résilience, Gael Conseil