Le Sénégal franchit une nouvelle étape dans la structuration de sa défense numérique. La nouvelle loi relative à la protection des infrastructures d'information critique et à la sécurité numérique fait passer le pays d'un dispositif largement basé sur des recommandations à un système d'obligations juridiquement contraignantes, applicables aux acteurs publics comme privés.
Selon le colonel Aly Mime, directeur général du Chiffre et de la Sécurité des systèmes d'information, cette évolution comble une lacune persistante : si le Sénégal disposait déjà, depuis 2008, de textes sur la protection des données personnelles, la cybercriminalité et la cryptologie, ces dispositifs ne s'imposaient pas de façon uniforme à l'ensemble des acteurs, faute de véritable cadre législatif contraignant.
Concrètement, les entités disposant de réseaux ou de systèmes d'information devront désormais désigner un responsable de la sécurité, se doter d'une politique de sécurité, élaborer des plans de continuité et de reprise d'activité, et se soumettre à des audits réguliers. Un régime renforcé s'applique aux infrastructures jugées critiques — défense, sécurité publique, justice, douanes d'office, et secteurs comme l'eau, l'électricité, les télécommunications, la santé ou les services financiers selon une identification sectorielle. Ces structures devront mettre en place un programme de cybersécurité sous cinq mois, un dispositif de supervision permanente sous un an, des audits internes annuels, un audit externe tous les trois ans, et notifier tout incident dans un délai de 24 heures.
Loin de promettre une protection absolue, jugée irréaliste même pour les grandes puissances, le colonel Aly Mime insiste sur l'objectif de résilience : permettre à une organisation touchée par une cyberattaque de reprendre ses activités rapidement plutôt que de subir une interruption prolongée. La loi consolide par ailleurs l'architecture nationale de cybersécurité, avec une autorité dotée de prérogatives renforcées, et devrait stimuler la demande en compétences spécialisées dans un secteur appelé à se structurer autour de prestataires désormais soumis à un régime d'agrément.
Selon le colonel Aly Mime, directeur général du Chiffre et de la Sécurité des systèmes d'information, cette évolution comble une lacune persistante : si le Sénégal disposait déjà, depuis 2008, de textes sur la protection des données personnelles, la cybercriminalité et la cryptologie, ces dispositifs ne s'imposaient pas de façon uniforme à l'ensemble des acteurs, faute de véritable cadre législatif contraignant.
Concrètement, les entités disposant de réseaux ou de systèmes d'information devront désormais désigner un responsable de la sécurité, se doter d'une politique de sécurité, élaborer des plans de continuité et de reprise d'activité, et se soumettre à des audits réguliers. Un régime renforcé s'applique aux infrastructures jugées critiques — défense, sécurité publique, justice, douanes d'office, et secteurs comme l'eau, l'électricité, les télécommunications, la santé ou les services financiers selon une identification sectorielle. Ces structures devront mettre en place un programme de cybersécurité sous cinq mois, un dispositif de supervision permanente sous un an, des audits internes annuels, un audit externe tous les trois ans, et notifier tout incident dans un délai de 24 heures.
Loin de promettre une protection absolue, jugée irréaliste même pour les grandes puissances, le colonel Aly Mime insiste sur l'objectif de résilience : permettre à une organisation touchée par une cyberattaque de reprendre ses activités rapidement plutôt que de subir une interruption prolongée. La loi consolide par ailleurs l'architecture nationale de cybersécurité, avec une autorité dotée de prérogatives renforcées, et devrait stimuler la demande en compétences spécialisées dans un secteur appelé à se structurer autour de prestataires désormais soumis à un régime d'agrément.
]]>
