Le Sénégal vient de franchir une nouvelle étape dans son arsenal de cybersécurité. L’Assemblée nationale a adopté à l’unanimité, ce jeudi 20 août 2026, par 127 voix, le projet de loi n°25/2026 relatif à la protection des Infrastructures d’Information Critiques (IIC) et à la sécurité numérique. Le texte fixe notamment des normes et standards de sécurité, soumet les exploitants d’infrastructures critiques à des obligations spécifiques, encadre la fourniture de produits et services de cybersécurité et prévoit des sanctions administratives et pénales en cas de manquement. L’objectif : mieux protéger les systèmes essentiels au fonctionnement du pays et renforcer la capacité de l’État à prévenir et répondre aux cybermenaces.
Il y a des textes qui accompagnent une évolution, et d’autres qui peuvent marquer un véritable tournant. Cette loi appartient, je l’espère, à cette seconde catégorie. Il faut saluer cette avancée majeure et féliciter le Ministère des Télécommunications et du Numérique, la Présidence de la République du Sénégal, la Direction Générale du Chiffre et de la Sécurité des Systèmes d’Information (DCSSI), ainsi que tous les acteurs qui se sont impliqués de près ou de loin. Une mention particulière au Colonel Aly MIME, avec qui j’ai beaucoup échangé sur ce texte et qui avait d’ailleurs accordé au Tech Observateur un point spécial sur le sujet.
J’espère surtout que, dans sa mise en œuvre, cette loi consacrera une véritable obligation de déclaration et de transparence en cas de cyberattaque. Lorsqu’une administration est attaquée, le citoyen doit pouvoir savoir, dans les limites imposées par la sécurité nationale, ce qui a été touché, l’ampleur des dommages et les éventuelles conséquences sur ses données ou les services publics. Trop souvent, lorsqu’une attaque survient, on parle “d’incident technique”, “d’indisponibilité” ou de simple “perturbation”, alors que des soupçons de cyberattaque existent. Lorsqu’une attaque est avérée, il faut pouvoir le dire, expliquer et rassurer. La transparence fait aussi partie de la cybersécurité.
Cette loi doit également renforcer l’hygiène numérique dans l’administration. Les données de l’État ne peuvent plus être manipulées n’importe comment, transférées sur des adresses personnelles ou conservées sur des outils non sécurisés. Il faut former, sensibiliser et responsabiliser les agents. La cybersécurité ne peut pas être uniquement une affaire de sanctions, de police ou de dispositifs militaires : elle est d’abord une culture et une discipline quotidienne.
Enfin, après les applaudissements, place à l’application. Le Sénégal n’en est ni à sa première loi ni à sa première stratégie numérique ambitieuse. Le véritable défi reste la rigueur. Sans contrôle, sans sanctions lorsque cela est nécessaire et sans moyens pour les administrations, cette loi restera un beau texte de plus. La véritable révolution sera donc dans son application, avec rigueur, transparence et constance.
