Depuis un an, les incidents s’accumulent, et pas sur n’importe quels systèmes : la Direction générale des Impôts et des Domaines en octobre 2025, la Direction de l’Automatisation des Fichiers en février — avec, à la clé, une production de cartes d’identité bloquée pendant plusieurs semaines —, le Trésor public en mai, avec près de 70 Go de données exfiltrées puis diffusées en ligne, la Cour des comptes en juin. Quatre institutions, en neuf mois. Interpol classe d’ailleurs le Sénégal, dans son rapport 2026, parmi les pays africains les plus ciblés par les cybercriminels — une tentative de détournement de 7,9 millions de dollars contre une compagnie pétrolière a récemment été déjouée de justesse. On n’a pas toujours le détail exact de ce qui s’est passé dans chaque cas, les communiqués officiels restent assez pudiques sur ces sujets, mais l’idée générale est facile à suivre : l’administration se numérise plus vite qu’elle ne se protège.

Le projet de loi n°25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique vient d’être adopté en commission à l’Assemblée nationale, le 13 août. Son examen en séance plénière — le vote qui comptera vraiment — est prévu ce jeudi 20 août. Et sur le fond, c’est une bonne nouvelle. Voilà des années que celles et ceux qui travaillent sur ces sujets au quotidien le disent : la sécurité des systèmes d’information au Sénégal repose surtout sur des recommandations, pas sur des obligations qu’on peut vraiment faire respecter. Ce texte change la donne, avec un régime différent selon la criticité des systèmes, une Autorité nationale de Cybersécurité, un CERT national dont les pouvoirs sont enfin écrits noir sur blanc, des sanctions qui ne sont plus symboliques.

Voter la loi, c’est la partie facile

Dix-sept ans dans ce métier, en Afrique, m’ont appris une chose qu’on redécouvre à chaque nouvelle loi : un texte-cadre ne règle jamais rien à lui seul. Le vrai travail commence après, dans les décrets — et c’est là, justement, que la plupart des textes du genre finissent par s’essouffler ailleurs sur le continent. On vote, on communique, puis l’attention part ailleurs. Deux ans plus tard, l’autorité censée piloter le tout n’a toujours pas de statut clair, les listes ne sont pas publiées, et il ne reste du texte qu’une bonne intention bien écrite.

Trois points méritent qu’on s’y arrête.

L’Autorité nationale de Cybersécurité, d’abord. Tout l’édifice repose sur elle, et pourtant son statut n’est pas fixé dans la loi : il viendra par décret, plus tard. Sans autonomie réelle ni visibilité sur le calendrier de ce décret, le reste du texte n’a pas grand-chose sous les pieds.

Ensuite l’agrément des prestataires de cybersécurité, avec des critères de nationalité plutôt stricts. Sur le principe, aucun débat : après le Trésor, la DGID, la Cour des comptes, et un rapport Interpol qui classe le Sénégal parmi les pays africains les plus ciblés, la dépendance à des prestataires étrangers pour protéger nos systèmes les plus sensibles n’est plus une option. La vraie question n’est pas de savoir s’il faut viser la souveraineté — c’est d’éviter qu’elle reste sur le papier. Sans un marché local suffisamment structuré, le risque n’est pas de ralentir l’ambition : c’est de la vider de son sens. Des prestataires étrangers qui s’installent derrière une façade locale juste pour cocher la case de l’agrément, ça n’a rien d’une souveraineté — c’est son contraire, avec un vernis en plus. Réussir ce chantier suppose une vraie période de structuration du marché sénégalais, pas juste un décret qui fixe des critères sans donner au secteur les moyens d’y répondre.

Et puis il y a ce qu’on oublie toujours : les compétences. La loi fixe des délais courts — six mois pour un programme de cybersécurité, un an pour monter un centre d’opérations de sécurité — alors que beaucoup de structures n’ont tout simplement pas les profils pour tenir ces délais. Pas un problème de bonne volonté. Un problème de vivier, qui ne se comble pas en un an.
Une fenêtre qui ne restera pas ouverte indéfiniment

Le Sénégal fait encore partie, sur l’indice mondial de cybersécurité de l’UIT, du groupe des pays en rattrapage — dans la même catégorie que le Nigeria, loin derrière le Maroc, le Rwanda ou le Kenya, qui ont leur cadre légal depuis plusieurs années. Ce texte peut vraiment faire avancer les choses, et il s’inscrit bien dans la logique du New Deal Technologique, dont l’ambition de souveraineté numérique ne veut pas dire grand-chose sans un volet cyber solide derrière.

Mais un texte voté, en soi, ne protège personne. Ce qui protège vraiment, c’est ce qui vient après : des décrets publiés dans des délais raisonnables, une autorité qui a réellement les moyens d’agir, une vraie discussion avec les acteurs économiques avant que les règles ne soient figées, plutôt qu’une réglementation qu’on découvre après coup. C’est un travail technique, long, peu visible — mais c’est celui-là qui compte.

Le vote décisif a lieu le 20 août. La sécurité, elle, se jouera sur le terrain, bien après — et c’est là qu’il faudra continuer à regarder.

Mame DIOP-BA [1]

(Source : CIO Mag, 18 août 2026)