Comprendre la nouvelle loi sénégalaise sur les infrastructures d’information critiques et la sécurité numérique
La loi sénégalaise sur les infrastructures d’information critiques, issue du projet de loi n° 25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique, constitue à ce jour le cadre législatif le plus complet du pays en matière de cybersécurité.
Adopté à l’unanimité par l’Assemblée nationale, ce texte instaure des obligations contraignantes pour les opérateurs de systèmes numériques critiques, aussi bien dans le secteur public que privé. Pour les organisations opérant au Sénégal ou fournissant des services numériques dans le pays, cette loi établit désormais un nouveau cadre de référence en matière de conformité.
Qu’est-ce que la nouvelle loi sénégalaise sur les infrastructures d’information critiques et la sécurité numérique ?
Selon le rapport officiel de l’Intercommission de l’Assemblée nationale relatif au projet de loi n° 25/2026, le ministre des Télécommunications et de l’Économie numérique, Samba Diouf, a présenté le projet de loi à l’Intercommission de l’Assemblée nationale le 13 août 2026. Le texte a ensuite été adopté à l’unanimité.
La loi établit un cadre juridique général destiné à protéger les réseaux et systèmes d’information utilisés pour fournir des services numériques au Sénégal. Elle définit les grands principes nationaux de cybersécurité, tout en permettant aux autorités compétentes de préciser certaines exigences en fonction des secteurs concernés.
Ce cadre s’applique aux organisations publiques comme privées et peut, dans certains cas, avoir une portée au-delà des frontières sénégalaises. Un service numérique fourni au Sénégal peut ainsi être concerné même lorsque l’infrastructure qui le supporte est située à l’étranger.
La loi vise notamment à protéger les intérêts numériques stratégiques du Sénégal, à renforcer la souveraineté des données et à favoriser le développement d’un écosystème national de cybersécurité durable.
Les infrastructures d’information critiques
La loi prévoit différents niveaux d’exigences en matière de cybersécurité selon l’importance des systèmes d’information concernés. Si les systèmes d’information ordinaires doivent respecter des exigences minimales de sécurité, les Infrastructures d’Information Critiques (IIC) sont soumises à des obligations beaucoup plus strictes.
Une IIC désigne généralement un système dont l’interruption, la compromission ou la défaillance pourrait avoir de graves conséquences sur la sécurité nationale, l’ordre public ou la continuité des services essentiels.
Selon le rapport de l’Intercommission de l’Assemblée nationale, l’identification et la classification des IIC seront effectuées par les autorités compétentes selon une procédure formelle. La liste des infrastructures classées comme critiques ne sera pas rendue publique et ne figurera pas directement dans la loi. Elle sera protégée au titre du secret de la défense nationale. Les organisations dont une infrastructure est classée IIC seront informées directement et individuellement par les autorités compétentes.
5 exigences clés de la nouvelle loi sénégalaise sur la cybersécurité
1. Mise en place d’un programme de cybersécurité pour les opérateurs d’infrastructures critiques
Lorsqu’un système est classé comme Infrastructure d’Information Critique, son opérateur doit mettre en place un programme formel de cybersécurité. L’organisation dispose d’un délai de six mois à compter de la date de classification pour mettre ce programme en œuvre conformément aux normes et mesures de sécurité définies par l’Autorité nationale de cybersécurité.
Ces exigences peuvent notamment comprendre des évaluations de risques, des contrôles d’accès, le chiffrement des données, des systèmes de sauvegarde, des plans de continuité d’activité ainsi que des tests réguliers de résilience.
2. Déclaration des incidents de cybersécurité
Les opérateurs d’IIC doivent notifier aux autorités compétentes tout incident de cybersécurité dans un délai de 24 heures suivant sa détection.
Le rapport de l’Assemblée nationale met notamment cette obligation en perspective avec plusieurs cyberattaques récentes ayant touché des institutions publiques sénégalaises, dont le Trésor public en mai 2026, la Cour des comptes en juin 2026 et la Direction générale des Impôts et des Domaines en octobre 2025.
3. Mise en place de centres opérationnels de sécurité - SOC
Les opérateurs d’IIC devront également mettre en place des capacités opérationnelles de cybersécurité, communément appelées Security Operations Centres (SOC). Selon le rapport officiel, les opérateurs disposent d’un délai d’un an à compter de leur classification pour mettre ces capacités en place.
Concrètement, les organisations devront être en mesure de surveiller leurs systèmes en continu, de détecter les menaces potentielles et de réagir rapidement en cas d’incident de sécurité. Cette obligation fait évoluer la cybersécurité d’une approche essentiellement réactive vers une fonction permanente de surveillance, de détection et de réponse aux incidents.
4. Stockage des données et souveraineté numérique
La loi accorde une importance particulière à la souveraineté des données. Selon le rapport de l’Intercommission de l’Assemblée nationale, les données de l’État doivent, de manière générale, être stockées au Sénégal sur des infrastructures publiques appartenant à l’État ou auprès de prestataires privés agréés.
Le stockage ou le traitement de ces données en dehors du Sénégal ne pourra être autorisé que dans certaines circonstances exceptionnelles définies par voie réglementaire. Pour les fournisseurs de services cloud et les organisations traitant des données gouvernementales, la localisation des données et le choix des infrastructures deviennent donc des éléments essentiels de conformité.
L’Autorité nationale de cybersécurité devra également définir les conditions d’agrément auxquelles les fournisseurs privés de services cloud devront répondre pour pouvoir proposer légalement ces services au Sénégal.
5. Prestataires de cybersécurité et de services cloud
La loi introduit également un système formel d’agrément pour les prestataires de services de cybersécurité. L’article 15 prévoit notamment l’agrément de ces prestataires dans le cadre d’une stratégie plus large visant à structurer l’écosystème sénégalais de cybersécurité, protéger les infrastructures critiques, renforcer les capacités nationales et favoriser le développement de prestataires locaux.
La nouvelle Autorité nationale de cybersécurité
Le projet de loi n° 25/2026 crée une Autorité nationale de cybersécurité, chargée principalement de superviser les normes de cybersécurité ainsi que la protection des Infrastructures d’Information Critiques.
L’Autorité est actuellement rattachée à la Présidence de la République. Son organisation, ses missions précises et ses modalités de fonctionnement devront être définies par décret.
Elle travaillera en coordination avec une équipe nationale de réponse aux incidents informatiques (CERT), des CERT sectoriels ainsi que les services opérationnels de cybersécurité. L’objectif est de mettre en place un système national coordonné permettant de détecter, gérer et traiter les cybermenaces dans les différents secteurs de l’économie.
Le rapport prévoit également un système de corégulation impliquant l’Autorité nationale de cybersécurité, l’Autorité de Régulation des Télécommunications et des Postes (ARTP) et la Commission de Protection des Données Personnelles (CDP) afin d’éviter les chevauchements de compétences et d’assurer une application coordonnée des règles relatives à la cybersécurité, aux télécommunications et à la protection des données.
Sanctions en cas de non-conformité
La loi prévoit des sanctions importantes en cas de non-respect des obligations de cybersécurité. Le projet de loi définit le cadre d’identification et de classification des Infrastructures d’Information Critiques, tandis que son chapitre 4 prévoit les sanctions applicables en cas de violation des obligations imposées.
Pour les manquements les plus graves, les sanctions administratives peuvent atteindre 800 millions de FCFA ou 5 % du chiffre d’affaires de l’organisation, l’article 51 prévoyant cette sanction maximale.
Les autorités compétentes pourront également imposer, dans certains secteurs ou pour certaines organisations particulièrement exposées aux cyberrisques, la souscription d’une assurance cybersécurité.
Ce que cette nouvelle loi implique pour les entreprises opérant au Sénégal
1. Votre organisation entre-t-elle dans le champ d’application de la loi ? Il convient d’évaluer si certains de vos systèmes pourraient être classés comme Infrastructures d’Information Critiques.
2. Vos mesures de cybersécurité sont-elles suffisantes ? Les dispositifs existants doivent être examinés au regard des normes qui seront établies par l’Autorité nationale de cybersécurité.
3. Pouvez-vous détecter et déclarer un incident dans un délai de 24 heures ? Si vos procédures actuelles de détection, d’escalade et de déclaration ne permettent pas de respecter ce délai, elles devront être renforcées.
4. Où vos données sont-elles stockées ? Les organisations traitant des données de l’État doivent s’assurer que leurs solutions de stockage et leurs infrastructures cloud respectent les exigences de souveraineté des données.
5. Disposez-vous d’une surveillance continue de vos systèmes ? Pour les opérateurs d’IIC, la mise en place de capacités SOC constitue une obligation juridique.
6. Votre documentation est-elle prête pour un audit ? Les politiques de sécurité, évaluations de risques, rapports de tests et registres d’incidents doivent être documentés, conservés et accessibles en cas de contrôle réglementaire.
Comment les organisations peuvent-elles se préparer aux nouvelles exigences ?
Se conformer aux nouvelles exigences relatives aux Infrastructures d’Information Critiques et à la sécurité numérique peut nécessiter une expertise spécialisée, notamment pour les organisations devant gérer leur conformité parallèlement à leurs activités quotidiennes.
A&D Forensics accompagne les organisations dans l’évaluation de leurs cyberrisques, le renforcement de leurs dispositifs de sécurité et leur préparation aux nouvelles exigences réglementaires.
1. Réaliser une évaluation des risques de cybersécurité
La conformité commence par une bonne compréhension du niveau de risque actuel de l’organisation. Nos services d’évaluation des risques de cybersécurité permettent d’identifier les vulnérabilités des systèmes critiques, d’évaluer les mesures de sécurité existantes et de documenter l’exposition aux risques. Cette analyse constitue une base essentielle pour hiérarchiser les améliorations à apporter et mettre en place un programme de conformité efficace.
2. Tester l’efficacité des dispositifs de sécurité
Disposer de mesures de sécurité ne suffit pas. Les organisations doivent également vérifier leur efficacité. Nos services de Vulnerability Assessment and Penetration Testing (VAPT) permettent d’identifier les faiblesses et vulnérabilités exploitables avant qu’elles ne puissent être utilisées par des acteurs malveillants.
Des tests réguliers de sécurité et de résilience permettent également de documenter les efforts de cybersécurité réalisés et d’identifier les mesures correctives nécessaires.
3. Renforcer la détection et la réponse aux incidents
L’obligation de notifier les incidents dans un délai de 24 heures implique que les organisations disposent, avant même qu’un incident ne survienne, de procédures claires de détection, d’évaluation, d’escalade et de déclaration.
4. Améliorer la surveillance de la sécurité
Les opérateurs d’IIC peuvent être amenés à mettre en place des capacités de Security Operations Centre (SOC) dans les délais prévus par le cadre réglementaire. A&D Forensics accompagne les organisations dans l’évaluation de leurs capacités actuelles de surveillance, l’identification des insuffisances et le développement de processus adaptés de surveillance continue et de détection des menaces, en fonction de leurs activités et de leur profil de risque.
5. Maintenir une documentation prête pour les audits
Une conformité efficace nécessite des preuves concrètes et ne peut reposer uniquement sur des politiques écrites. A&D Forensics accompagne les organisations dans l’élaboration et la tenue à jour de documents essentiels tels que les politiques de sécurité, les évaluations des risques, les rapports de tests, les registres d’incidents et les éléments démontrant la mise en œuvre des mesures correctives.
Une documentation organisée et facilement accessible permet de démontrer plus efficacement la conformité de l’organisation lors d’un contrôle réglementaire ou d’un audit.
Si vous souhaitez évaluer la position de votre organisation au regard du nouveau cadre sénégalais de cybersécurité, contactez dès aujourd’hui l’équipe A&D Forensics.
Conclusion
Le projet de loi n° 25/2026 introduit des obligations contraignantes en matière de cybersécurité pour les organisations exploitant des systèmes numériques critiques au Sénégal, avec des sanctions importantes en cas de non-conformité.
Les organisations concernées doivent commencer à évaluer leur niveau d’exposition, renforcer leurs dispositifs de sécurité et développer les capacités de surveillance et de documentation nécessaires pour répondre aux nouvelles exigences.
Anticiper ces mesures permettra aux organisations de mieux se préparer aux contrôles réglementaires et de réduire les risques liés à la non-conformité.
Contributor: Ademola-Adesola Ifeoluwaposimi
