Cybersécurité : le Sénégal verrouille ses infrastructures critiques, jusqu’à 800 millions FCFA d’amende
Le Sénégal renforce la cybersécurité de ses infrastructures critiques : notification sous 24 h, SOC obligatoire et sanctions jusqu’à 800 millions FCFA.
24 heures pour signaler une cyberattaque. Jusqu’à 800 millions de FCFA d’amende ou 5 % du chiffre d’affaires en cas de manquement grave. Et l’obligation de conserver les données publiques sur le territoire sénégalais.
Le Sénégal vient de durcir sérieusement son arsenal numérique.
L’Assemblée nationale a adopté le 20 août le projet de loi n°25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique. Le texte vise les réseaux et systèmes dont la compromission pourrait perturber l’État, l’économie, la santé, les télécommunications, l’énergie ou d’autres services essentiels.
Dakar ne traite donc plus la cybersécurité comme un simple problème informatique. Le pays commence à la traiter comme une question de sécurité nationale.
Le Sénégal impose de nouvelles règles cyber
La réforme arrive alors que les banques centrales africaines reconnaissent déjà un retard préoccupant face à la montée des cyberattaques.
Le Sénégal va beaucoup plus loin qu’une campagne de sensibilisation ou qu’un nouveau CERT.
Le projet de loi n°25/2026 crée un véritable régime spécifique pour les Infrastructures d’Information Critiques, ou IIC.
Une infrastructure devient critique lorsque sa perturbation ou sa destruction peut provoquer des conséquences importantes sur le fonctionnement du pays.
Cela peut concerner un système de télécommunications.
Un réseau énergétique.
Une infrastructure financière.
Une plateforme gouvernementale.
Un système de santé.
Ou encore certains services industriels stratégiques.
Le texte officiel du projet de loi publié dans les documents publics sénégalais impose notamment aux exploitants concernés d’élaborer un programme de cybersécurité dans les six mois suivant leur classement comme infrastructure critique.
Ils devront ensuite mettre en place un Security Operations Center, ou SOC, dans un délai d’un an.
Un SOC, pour simplifier, est une équipe ou une structure chargée de surveiller en permanence ce qui se passe sur un système informatique.
Connexions inhabituelles.
Tentatives d’intrusion.
Malwares.
Mouvements suspects entre serveurs.
Comportement anormal d’un compte administrateur.
L’idée est simple : ne plus découvrir une attaque plusieurs semaines après son commencement.
Le texte prévoit également des audits réguliers ainsi que des mécanismes de contrôle beaucoup plus importants.
Surtout, un incident de cybersécurité devra être notifié aux autorités dans les 24 heures.
Ce délai change beaucoup de choses.
Lorsqu’une entreprise est piratée, son premier réflexe peut être de régler discrètement le problème avant que les clients, partenaires ou autorités en entendent parler.
Sur une infrastructure critique, cette logique devient dangereuse.
Une attaque touchant une banque peut se propager vers un prestataire.
Une compromission chez un opérateur télécom peut toucher plusieurs administrations.
Une attaque contre un système de santé peut interrompre l’accès à des dossiers médicaux.
Dans ce type de scénario, quelques heures peuvent compter davantage que quelques jours.
800 millions FCFA et des données qui doivent rester au Sénégal
Le deuxième volet est financier.
Le Sénégal prévoit des sanctions administratives pouvant atteindre 800 millions de FCFA, soit environ 1,4 million de dollars, ou 5 % du chiffre d’affaires pour certains manquements graves.
Pour une grande entreprise, le deuxième seuil peut rapidement dépasser le premier.
La cybersécurité ne devient donc plus seulement une ligne budgétaire que l’on peut repousser lorsque les résultats financiers sont mauvais.
Une entreprise classée comme opérateur d’infrastructure critique devra pouvoir démontrer qu’elle protège réellement ses systèmes.
Cette évolution rejoint un débat beaucoup plus large autour de la souveraineté numérique en Afrique et du contrôle des infrastructures utilisées pour stocker les données du continent.
Car le projet sénégalais ne parle pas seulement de hackers.
Il parle aussi de l’endroit où les données sont stockées.
L’article 12 prévoit que les données publiques soient hébergées sur le territoire national, sauf exceptions prévues par la réglementation.
Ce point a provoqué un débat particulièrement animé à l’Assemblée nationale.
Plusieurs députés se sont interrogés sur le fait que certaines données sénégalaises sensibles continuent d’être stockées ou administrées avec l’intervention d’entreprises étrangères.
État civil.
Données personnelles.
Informations administratives.
Systèmes fiscaux.
Données de santé.
Pour eux, le problème n’est plus seulement de savoir si les serveurs sont bien protégés.
Il faut aussi savoir qui les contrôle.
La députée Fama Ba a ainsi relié les récentes attaques contre des administrations chargées notamment de l’état civil, de la fiscalité ou de la comptabilité publique à la question de la souveraineté numérique.
Le raisonnement dépasse la cybersécurité classique.
Un pays peut chiffrer parfaitement ses données et utiliser de solides mots de passe tout en restant fortement dépendant d’une infrastructure étrangère pour les stocker.
Si le cloud, les logiciels, la maintenance et parfois les administrateurs sont contrôlés ailleurs, l’autonomie reste limitée.
C’est exactement la question que plusieurs États africains commencent aujourd’hui à poser.
Le Sénégal veut donc développer ses propres capacités.
Son New Deal Technologique prévoit déjà la construction de data centers souverains, le renforcement de la cyberdéfense et une réduction progressive de la dépendance aux infrastructures numériques étrangères.
Cela ne signifie pas que toutes les données vont quitter AWS, Microsoft Azure ou d’autres clouds étrangers demain matin.
Ce serait irréaliste.
Il faudra des capacités locales suffisantes, de l’électricité stable, des data centers certifiés, des équipes compétentes et surtout des solutions capables d’offrir le même niveau de disponibilité.
La souveraineté numérique coûte cher.
Mais une dépendance totale peut coûter encore davantage lorsqu’un système essentiel tombe.
Une Autorité nationale de cybersécurité prend le contrôle
Le texte crée également une Autorité nationale de Cybersécurité.
Elle sera dotée de la personnalité juridique et placée au cœur du dispositif de supervision.
Son rôle sera notamment de contrôler l’application des normes, coordonner certains mécanismes de sécurité et surveiller les acteurs soumis aux nouvelles obligations.
À côté du CERT national, des CERT sectoriels pourront également intervenir.
La différence mérite d’être expliquée.
Un CERT — Computer Emergency Response Team — intervient principalement sur les incidents : identifier une attaque, partager des alertes, analyser une compromission et aider à répondre.
Un SOC surveille les systèmes en permanence.
L’autorité, elle, se trouve au-dessus de ces dispositifs : elle organise la gouvernance, fixe ou applique certaines exigences et contrôle leur respect.
Le Sénégal veut donc passer d’une défense fragmentée à une architecture plus structurée.
C’est indispensable lorsque les attaques deviennent elles-mêmes beaucoup plus industrielles.
Le rapport de force a changé.
Un criminel n’a plus nécessairement besoin d’une équipe de dix spécialistes pour lancer une campagne sophistiquée.
Des outils automatisés peuvent scanner des milliers de serveurs.
L’IA peut améliorer un e-mail de phishing.
Un malware peut tester plusieurs méthodes d’attaque.
Des identifiants volés peuvent être essayés automatiquement sur plusieurs services.
Face à cela, protéger une infrastructure seulement lorsqu’un technicien reçoit une alerte manuelle ne suffit plus.
Le Sénégal semble l’avoir compris.
Reste maintenant l’étape la moins spectaculaire et probablement la plus difficile : appliquer la loi.
Les députés ont eux-mêmes posé la question des moyens humains, techniques et budgétaires dont disposeront l’Autorité nationale de Cybersécurité et le CERT national.
Le texte peut imposer un SOC.
Encore faut-il trouver les analystes capables de le faire fonctionner 24 heures sur 24.
Il peut imposer des audits.
Encore faut-il disposer d’auditeurs qualifiés.
Il peut demander d’héberger davantage de données localement.
Encore faut-il construire suffisamment de capacité de stockage et de calcul au Sénégal.
C’est là que le projet sera réellement jugé.
La loi crée les obligations.
Les prochains mois diront si Dakar construit aussi les moyens de les respecter.
Le ministre des Télécommunications et du Numérique, Samba Diouf, a résumé l’évolution avec une formule assez juste : le numérique devient une infrastructure de souveraineté au même titre que l’énergie, l’eau ou les transports.
C’est probablement la principale rupture du texte.
Pendant longtemps, une cyberattaque était considérée comme le problème du service informatique.
Lorsqu’elle peut couper un hôpital, un réseau de paiement, une administration fiscale ou un opérateur télécom, elle devient le problème de l’État.
En bref
- Le Sénégal a adopté le 20 août 2026 le projet de loi n°25/2026 sur les infrastructures d’information critiques et la sécurité numérique.
- Les exploitants concernés devront notifier certains incidents cyber dans un délai de 24 heures.
- Un programme de cybersécurité devra être mis en place dans les six mois suivant le classement comme infrastructure critique.
- Les opérateurs devront disposer d’un SOC dans un délai d’un an.
- Les sanctions administratives peuvent atteindre 800 millions FCFA ou 5 % du chiffre d’affaires pour certains manquements graves.
- Les données publiques devront être stockées au Sénégal, sauf dérogations réglementaires.
- Une Autorité nationale de Cybersécurité est créée pour renforcer la supervision.
À propos de l’auteur
Mosengo Léon
Mosengo Léon est un analyste crypto et rédacteur pour BrefCrypto.com, reconnu pour ses analyses approfondies des marchés Bitcoin et cryptomonnaies, l’impact des événements structurants comme les crises et levées de fonds, et sa capacité à rendre accessibles les enjeux techniques et économiques de la blockchain pour investisseurs et passionnés
