Cybersécurité : le projet de loi sur la protection des infrastructures critiques adopté en commission

Le projet de loi relatif à la protection des Infrastructures d’Information critiques (IIC) et à la sécurité numérique a été adopté, jeudi 13 août 2026, en commission à l’Assemblée nationale. Porté par le ministère des Télécommunications et du Numérique, le texte entend renforcer la protection des infrastructures stratégiques et poser un nouveau cadre de prévention, de surveillance et de réponse aux cybermenaces au Sénégal.

Le texte, porté par le ministère des Télécommunications et du Numérique, a été examiné par l’Intercommission composée de la Commission de la Culture et de la Communication et de la Commission des Lois.

Son adoption en commission permet désormais de poursuivre la procédure parlementaire, notamment son examen en séance plénière.

Il s’agit d’une question qui va bien au-delà du fonctionnement des systèmes informatiques. Alors que s’accélère la numérisation de l’administration, des services publics, des télécommunications, des paiements et de l’économie sénégalaise, une attaque informatique sur une infrastructure stratégique peut désormais avoir des répercussions directes sur la continuité des services rendus aux citoyens.

Le projet de loi vise précisément à apporter une réponse juridique à cette nouvelle exposition au risque.

Des obligations accrues pour les infrastructures critiques

Le futur dispositif s’appuie sur une approche de la cybersécurité progressive. Les réseaux et systèmes d’information ordinaires seraient tenus de respecter un socle d’exigences de sécurité, les infrastructures dits critiques étant soumis à des obligations et une supervision renforcées.Le texte prévoit notamment leur identification et leur recensement ainsi que des mesures obligatoires en matière d’analyse des risques, de sauvegarde, de chiffrement des données sensibles, de continuité et de reprise d’activité.

Des tests de résilience réguliers devront également permettre d’évaluer la capacité des organisations concernées à résister à une cyberattaque et à maintenir ou rétablir rapidement leurs services.

Une nouvelle architecture de cybersécurité au niveau national

Un des points structurants du projet porte également sur l’organisation de la réponse nationale aux cybermenaces.

Le texte prévoit notamment une Autorité nationale de Cybersécurité, un CERT national, des CERT sectoriels ainsi que des Services des Opérations de Cybersécurité (SOC).

L’idée est d’avoir une architecture capable de surveiller les menaces, de détecter les attaques, de coordonner les réponses et d’intervenir à différents niveaux lorsqu’un incident touche une infrastructure sensible.

Le projet prévoit également la notification de certains incidents de cybersécurité et la déclaration des vulnérabilités. La souveraineté numérique repose sur les données publiques

Une autre mesure stratégique consiste à héberger localement les données du secteur public.

Le projet vise aussi à réguler l’externalisation des services numériques, une question devenue centrale avec le développement du cloud et l’accroissement de la dépendance des administrations aux infrastructures technologiques.

Cette disposition vise à préserver une maîtrise suffisante sur les données et systèmes stratégiques de l’État, en jeu de souveraineté.

Cette orientation s’inscrit dans les ambitions du New Deal Technologique qui fait du numérique, de la cybersécurité et de la résilience des infrastructures, des priorités de la transformation numérique du Sénégal.

Un marché de la cybersécurité à construire

Le projet de loi n’a pas qu’une ambition sécuritaire. Les nouvelles obligations imposées aux organisations devraient mécaniquement conduire à une montée des besoins en audits, analyse des risques, surveillance des réseaux, SOC, chiffrement, sauvegarde, tests de résilience et accompagnement à la conformité.

Le gouvernement entend tirer parti de cette dynamique pour stimuler l’émergence d’un marché sénégalais de la cybersécurité, soutenir les entreprises et startups spécialisées, développer des prestataires agréés et créer des emplois qualifiés.

Un enjeu majeur se dessinera alors : faire en sorte que le renforcement de la cybersécurité nationale profite aussi aux compétences et aux entreprises sénégalaises, plutôt que de créer un marché essentiellement capté par des prestataires étrangers.

Une étape parlementaire, avant l’assemblée plénière

L’adoption en commission est donc une étape importante, mais elle ne vaut pas encore adoption définitive de la loi par l’Assemblée nationale. Le prochain moment décisif sera son examen en séance plénière.

Le vote passé, les autorités devront ensuite relever un autre défi : mettre en œuvre le nouveau cadre, définir avec précision quelles infrastructures sont essentielles, fixer les règles de surveillance et allouer les ressources nécessaires aux organismes en charge de la cybersécurité nationale.

Car derrière les acronymes techniques IIC, CERT ou SOC se pose une question beaucoup plus simple : le Sénégal sera-t-il capable de maintenir le fonctionnement de ses services essentiels lorsqu’une cyberattaque majeure surviendra ?

L’adoption en commission du projet ce 13 août marque une première réponse juridique. La mise en oeuvre devra apporter la réponse opérationnelle.