Cyberattaques – Le Sénégal va se doter d’une Autorité nationale de Cybersécurité

L’Assemblée nationale a adopté ce jeudi 20 août 2026 le projet de loi relatif à la protection des Infrastructures d’Information critiques (IIC) et à la sécurité numérique. Face à la multiplication des cybermenaces, le Sénégal  redessine la structuration de sa défense numérique, avec la création d’une Autorité nationale de Cybersécurité appelée à coordonner, superviser et renforcer la réponse du pays aux attaques informatiques.

Le vote intervient alors que la cybersécurité s’impose de plus en plus comme un enjeu de souveraineté nationale. Lors des débats parlementaires, la députée qui est intervenue sur le texte a d’ailleurs rappelé que la cybersécurité constitue désormais un enjeu de souveraineté nationale. Adopté en Conseil des ministres en juin dernier puis en commission parlementaire le 13 août, le texte vient désormais d’être approuvé en séance plénière.

Une réponse à la montée des cyberattaques

Le législateur sénégalais entend répondre à une évolution majeure du paysage numérique : les cyberattaques ne ciblent plus uniquement des ordinateurs ou des sites internet. Elles peuvent désormais perturber des services essentiels, provoquer des pertes financières importantes et affecter des infrastructures dont dépendent des pans entiers de l’économie. Le projet de loi part précisément de ce constat. Dans son exposé des motifs, le texte relève que la transformation numérique des activités administratives, économiques et sociales expose parallèlement le pays à des menaces telles que le terrorisme, l’espionnage, le piratage et la négligence humaine. La nouvelle loi vise ainsi à protéger les systèmes dont une compromission pourrait avoir des conséquences dépassant largement le cadre informatique.

Une Autorité nationale au centre du dispositif

Le texte institue une Autorité nationale de Cybersécurité du Sénégal, dotée de la personnalité juridique et d’un statut spécial. Elle aura notamment pour rôle de contribuer à l’élaboration des normes de cybersécurité, d’assurer le suivi des infrastructures critiques, de superviser leur niveau de protection et de coordonner différents mécanismes de prévention et de réponse.

Cette nouvelle architecture doit permettre au Sénégal de disposer d’un interlocuteur national clairement identifié face aux cybermenaces. Son rôle ne sera toutefois pas limité à la prévention. L’Autorité pourra également s’appuyer sur un CERT national, chargé de la surveillance et de l’analyse des incidents, de l’alerte, de l’intervention et de la coordination de la réponse aux attaques. Le CERT pourra notamment assurer une veille continue sur les systèmes des infrastructures critiques, analyser les vulnérabilités et participer à la réaction aux attaques visant les secteurs public et privé.

https://www.facebook.com/share/p/1cwDWpPDRV/?mibextid=wwXIfr

L’un des principaux apports de la loi est l’instauration d’un régime spécifique pour les Infrastructures d’Information critiques (IIC). Il s’agit des réseaux et systèmes d’information dont une attaque pourrait provoquer une perturbation grave de services essentiels à la société ou à l’économie.

Le texte prévoit notamment que les systèmes relevant de la Défense nationale, de la sécurité publique, des cours et tribunaux, de l’Administration pénitentiaire et des Douanes soient classés d’office comme infrastructures critiques. D’autres infrastructures seront identifiées en fonction de leur importance pour le fonctionnement de la société et de l’économie, mais également de l’impact potentiel d’une cyberattaque : nombre d’utilisateurs concernés, dépendance d’autres secteurs, conséquences économiques ou sociales, zone géographique affectée ou importance stratégique du service.

Déclarer une cyberattaque dans les 24 heures

La loi introduit également une obligation particulièrement importante pour les exploitants d’infrastructures critiques : signaler rapidement les incidents de cybersécurité. Lorsqu’une attaque est susceptible de provoquer une perturbation opérationnelle grave, des pertes financières importantes ou des dommages considérables, l’incident doit être signalé à l’Autorité nationale de Cybersécurité ainsi qu’à l’autorité sectorielle compétente.

Lorsque toutes les informations ne sont pas immédiatement disponibles, les premières données doivent être communiquées dans un délai maximal de 24 heures suivant la constatation de l’incident. Cette obligation est stratégique : elle doit permettre aux autorités de ne plus découvrir les cyberattaques après leur propagation, mais de disposer rapidement d’une vision nationale de la menace.

La logique du nouveau dispositif repose également sur l’anticipation. Les exploitants d’IIC devront identifier leurs risques, protéger leurs systèmes, détecter les incidents et limiter leurs conséquences. Ils devront élaborer un programme de cybersécurité et le transmettre à l’Autorité nationale. La loi prévoit en outre des audits internes annuels, tandis qu’un audit externe devra être réalisé tous les trois ans. Les résultats devront être transmis aux autorités compétentes, dont l’Autorité nationale de Cybersécurité.

Jusqu’à 5 milliards de francs CFA d’amende

Le nouveau cadre s’accompagne d’un régime de sanctions destiné à rendre les obligations de cybersécurité effectives. Les sanctions administratives peuvent atteindre 800 millions de francs CFA, avec la possibilité, dans certains cas, d’une amende comprise entre 1 % et 5 % du chiffre d’affaires de l’entité concernée. Sur le plan pénal, certaines infractions commises par des personnes morales peuvent être sanctionnées par des amendes allant jusqu’à 5 milliards de francs CFA.

Sont notamment visés le non-respect des obligations de sécurité, l’utilisation de produits ou services non certifiés, le recours à des prestataires de cybersécurité non agréés, l’entrave aux missions du CERT national ou encore l’absence de déclaration d’un incident.

Avec cette loi, le Sénégal cherche donc à passer d’une logique de réaction aux cyberattaques à une approche davantage fondée sur l’anticipation, la surveillance et la résilience. Cette orientation s’inscrit dans la stratégie numérique du pays, qui fait de la protection des données sensibles, des services essentiels et des infrastructures critiques un enjeu de souveraineté numérique. Le projet de loi précise d’ailleurs que la maîtrise du cyberespace et la résilience face aux incidents et attaques constituent un enjeu majeur de cette souveraineté.

Le vote de ce 20 août marque ainsi un tournant institutionnel. Dans un pays où la numérisation des services publics, des banques, des télécommunications et des infrastructures stratégiques s’accélère, l’enjeu ne sera désormais plus seulement de disposer de technologies de protection, mais de savoir détecter une attaque, coordonner la riposte et maintenir les services essentiels en fonctionnement malgré une cyberattaque.

La prochaine bataille sera celle de l’application : mise en place effective de l’Autorité, moyens humains et techniques, identification des infrastructures critiques, textes réglementaires et capacité opérationnelle du CERT national. C’est à cette étape que se mesurera la portée réelle de la nouvelle loi.