DAKAR, 21 AOUT 2026 (JVFE)—L’Assemblée nationale a adopté ce jeudi 20 août 2026 le projet de loi relatif à la protection des Infrastructures d’Information critiques (IIC) et à la sécurité numérique. Face à la multiplication des cybermenaces, le Sénégal redessine la structuration de sa défense numérique, avec la création d’une Autorité nationale de Cybersécurité (ANC) appelée à coordonner, superviser et renforcer la réponse du pays aux attaques informatiques.
C’est une avancée majeure pour la souveraineté numérique du pays.
Voici un résumé des points clés de cette nouvelle loi :
- Création de l’ANC : Mise en place de l’Autorité nationale de Cybersécurité du Sénégal.
- Statut spécial : Elle possède une personnalité juridique propre pour agir de manière autonome.
- Missions principales :
- Fixer les règles de sécurité informatique.
- Surveiller les infrastructures sensibles (IIC).
- Coordonner les réponses en cas d’attaque.
Le vote intervient alors que la cybersécurité s’impose de plus en plus comme un enjeu de souveraineté nationale.
Lors des débats parlementaires, la députée qui est intervenue sur le texte a d’ailleurs rappelé que la cybersécurité constitue désormais un enjeu de souveraineté nationale. Adopté en Conseil des ministres en juin dernier puis en commission parlementaire le 13 août, le texte vient désormais d’être approuvé en séance plénière.
Cette nouvelle architecture doit permettre au Sénégal de disposer d’un interlocuteur national clairement identifié face aux cybermenaces. Son rôle ne sera toutefois pas limité à la prévention. L’Autorité pourra également s’appuyer sur un CERT national, chargé de la surveillance et de l’analyse des incidents, de l’alerte, de l’intervention et de la coordination de la réponse aux attaques. Le CERT pourra notamment assurer une veille continue sur les systèmes des infrastructures critiques, analyser les vulnérabilités et participer à la réaction aux attaques visant les secteurs public et privé.
Comme en France, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) est l’autorité nationale et l’organisme de régulation de référence en France en matière de cybersécurité et de cyberdéfense.
Défendre et sécuriser les réseaux des administrations et des opérateurs d’importance vitale.
Réguler en qualifiant des produits et des prestataires de services de confiance.
Alerter et coordonner la réponse technique aux incidents via son centre opérationnel.
Le gouvernement français a annoncé samedi une accélération de sa stratégie de sécurisation des systèmes d’information de l’État face à la multiplication et à la sophistication des cyberattaques visant les administrations.
Cette stratégie repose sur une doctrine en cinq axes : détecter et interrompre les intrusions, poursuivre leurs auteurs, informer les personnes concernées, renforcer les dispositifs de protection et poursuivre l’effort dans la durée, indique Matignon dans un communiqué.
Paris prévoit notamment la création, avant le 1er janvier 2027, d’une nouvelle autorité numérique de l’État, ARIANE, directement rattachée au Premier ministre. Cette structure devra contribuer, aux côtés de l’ANSSI, à standardiser et sécuriser les infrastructures numériques des ministères.
L’un des principaux apports de la loi est l’instauration d’un régime spécifique pour les Infrastructures d’Information critiques (IIC). Il s’agit des réseaux et systèmes d’information dont une attaque pourrait provoquer une perturbation grave de services essentiels à la société ou à l’économie.
Au Sénégal, le texte prévoit notamment que les systèmes relevant de la Défense nationale, de la sécurité publique, des cours et tribunaux, de l’Administration pénitentiaire et des Douanes soient classés d’office comme infrastructures critiques. D’autres infrastructures seront identifiées en fonction de leur importance pour le fonctionnement de la société et de l’économie, mais également de l’impact potentiel d’une cyberattaque : nombre d’utilisateurs concernés, dépendance d’autres secteurs, conséquences économiques ou sociales, zone géographique affectée ou importance stratégique du service.
La loi introduit également une obligation particulièrement importante pour les exploitants d’infrastructures critiques : signaler rapidement les incidents de cybersécurité. Lorsqu’une attaque est susceptible de provoquer une perturbation opérationnelle grave, des pertes financières importantes ou des dommages considérables, l’incident doit être signalé à l’Autorité nationale de Cybersécurité ainsi qu’à l’autorité sectorielle compétente.
Lorsque toutes les informations ne sont pas immédiatement disponibles, les premières données doivent être communiquées dans un délai maximal de 24 heures suivant la constatation de l’incident. Cette obligation est stratégique : elle doit permettre aux autorités de ne plus découvrir les cyberattaques après leur propagation, mais de disposer rapidement d’une vision nationale de la menace.
La logique du nouveau dispositif repose également sur l’anticipation. Les exploitants d’IIC devront identifier leurs risques, protéger leurs systèmes, détecter les incidents et limiter leurs conséquences. Ils devront élaborer un programme de cybersécurité et le transmettre à l’Autorité nationale. La loi prévoit en outre des audits internes annuels, tandis qu’un audit externe devra être réalisé tous les trois ans. Les résultats devront être transmis aux autorités compétentes, dont l’Autorité nationale de Cybersécurité.
Jusqu’à 5 milliards de francs CFA d’amende
Le nouveau cadre s’accompagne d’un régime de sanctions destiné à rendre les obligations de cybersécurité effectives. Les sanctions administratives peuvent atteindre 800 millions de francs CFA, avec la possibilité, dans certains cas, d’une amende comprise entre 1 % et 5 % du chiffre d’affaires de l’entité concernée. Sur le plan pénal, certaines infractions commises par des personnes morales peuvent être sanctionnées par des amendes allant jusqu’à 5 milliards de francs CFA.
Sont notamment visés le non-respect des obligations de sécurité, l’utilisation de produits ou services non certifiés, le recours à des prestataires de cybersécurité non agréés, l’entrave aux missions du CERT national ou encore l’absence de déclaration d’un incident.
Avec cette loi, le Sénégal cherche donc à passer d’une logique de réaction aux cyberattaques à une approche davantage fondée sur l’anticipation, la surveillance et la résilience. Cette orientation s’inscrit dans la stratégie numérique du pays, qui fait de la protection des données sensibles, des services essentiels et des infrastructures critiques un enjeu de souveraineté numérique. Le projet de loi précise d’ailleurs que la maîtrise du cyberespace et la résilience face aux incidents et attaques constituent un enjeu majeur de cette souveraineté.
Le vote de ce 20 août marque ainsi un tournant institutionnel. Dans un pays où la numérisation des services publics, des banques, des télécommunications et des infrastructures stratégiques s’accélère, l’enjeu ne sera désormais plus seulement de disposer de technologies de protection, mais de savoir détecter une attaque, coordonner la riposte et maintenir les services essentiels en fonctionnement malgré une cyberattaque.
La prochaine bataille sera celle de l’application : mise en place effective de l’Autorité, moyens humains et techniques, identification des infrastructures critiques, textes réglementaires et capacité opérationnelle du CERT national. C’est à cette étape que se mesurera la portée réelle de la nouvelle loi.
Fodé CISSE, Journaliste, Rédacteur en Chef & Directeur de Publication © JVFE
