La première session extraordinaire de l’Assemblée nationale au titre de l’exercice 2026-2027 s’est ouverte ce lundi à 10 heures. Parmi les textes inscrits à l’ordre du jour figure le projet de loi n°25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique, un texte qui entend renforcer le dispositif juridique sénégalais face aux menaces liées au cyberespace.

La première session extraordinaire de l’Assemblée nationale au titre de l’exercice 2026-2027 s’est ouverte ce lundi à 10 heures. À cette occasion, plusieurs textes sont inscrits à l’ordre du jour, dont le projet de loi n°25/2026 sur la protection des infrastructures d’information critiques et la sécurité numérique. Le dossier comprend notamment le décret de présentation n°2026-1256 du 2 juillet 2026, l’exposé des motifs et le projet de loi lui-même.

Lors de l’ouverture de cette première session extraordinaire de l’année 2026, le président de l’Assemblée nationale, Ousmane Sonko, a présenté les différents textes devant être examinés par les députés. Au total, sept textes sont au menu des travaux : deux propositions de loi, un projet de loi et quatre propositions de résolution portant mise en place de commissions d’enquête parlementaire.

En amont de l’examen de ces textes, le président de l’Assemblée nationale a convoqué la Conférence des présidents afin d’établir l’ordre du jour des travaux de la session.

Un nouveau cadre face aux menaces cyber

Présenté par le Gouvernement, le projet de loi n°25/2026 part du constat que le développement des technologies de l’information et de la communication (TIC) offre au Sénégal d’importantes opportunités en matière d’efficacité, de compétitivité et d’inclusion, mais expose également les activités administratives, économiques et sociales à des menaces liées au cyberespace, notamment le terrorisme, l’espionnage, le piratage et la négligence humaine.

Le document relève que le Sénégal dispose déjà d’un cadre juridique couvrant notamment la confiance numérique, la cryptographie, la protection des informations sensibles de l’État, les communications électroniques, les transactions électroniques et la cybercriminalité. Toutefois, le projet estime que ce dispositif présente encore des limites et qu’il convient de le renforcer afin de porter le niveau de sécurité numérique du pays aux meilleurs standards internationaux.

Le texte s’inscrit également dans les orientations de l’Agenda national de Transformation, Sénégal 2050, qui identifie le renforcement de la sécurité nationale et de la cybersécurité comme l’un des piliers de la politique sécuritaire nationale. Parmi les priorités figurent notamment le renforcement de la surveillance des infrastructures critiques et sensibles, des infrastructures de protection du cyberespace, ainsi que la modernisation des équipements et infrastructures face aux menaces.

Deux régimes de réglementation

Le projet entend instaurer un cadre juridique global consacré à la sécurité des réseaux et systèmes d’information utilisés pour fournir des services au Sénégal. Il établit des principes de cybersécurité de base tout en laissant aux autorités réglementaires le soin de définir les mesures adaptées à chaque secteur.

Le dispositif distingue notamment deux régimes de régulation, selon le degré de contrainte et l’intensité de la supervision exercée sur les exploitants. Les réseaux et systèmes d’information identifiés comme infrastructures d’information critiques (IIC), considérés comme des actifs stratégiques pour la Nation, sont ainsi soumis à une supervision renforcée et à des règles plus contraignantes que les systèmes ordinaires.

Le projet prévoit également l’intervention de l’Autorité nationale de Cybersécurité, qui doit assister les autorités réglementaires dans l’accomplissement de leurs missions. Il prévoit par ailleurs l’agrément de prestataires de services de cybersécurité afin de favoriser l’émergence d’un écosystème national dans ce domaine.

Des obligations renforcées pour l’État, les entreprises et les particuliers

Le texte fixe des obligations à l’État et à ses démembrements, notamment la mise en place et l’actualisation d’un cadre juridique et institutionnel adapté à la cybersécurité, la protection des infrastructures critiques et des systèmes d’information de l’État, la promotion d’une culture de cybersécurité et le renforcement des compétences techniques dans les différents secteurs.

Il impose également aux particuliers utilisant les TIC dans un cadre professionnel ou privé de respecter les normes et politiques de sécurité édictées par l’État ou les organisations auxquelles ils appartiennent.

Les exploitants de réseaux et systèmes d’information doivent, pour leur part, identifier les risques, prendre des mesures techniques et organisationnelles, désigner un responsable de la sécurité des systèmes d’information, élaborer des plans de continuité et de reprise d’activité, procéder à des audits réguliers et mettre en place, lorsque nécessaire, des moyens de supervision et de détection.

Ils devront également conserver les journaux liés à la sécurité du réseau pendant au moins six mois, assurer la sauvegarde et le chiffrement des données sensibles et réaliser régulièrement des tests de résilience et des scans de vulnérabilité.

Notification obligatoire des incidents et stockage des données

Le projet prévoit la notification immédiate des intrusions, attaques et autres perturbations susceptibles d’avoir un impact significatif sur la continuité des services. Les exploitants peuvent également déclarer directement un incident à l’Autorité nationale de Cybersécurité lorsque l’intérêt public le justifie.

Le texte encadre par ailleurs le stockage des données. Les données produites, collectées ou détenues par les services de l’État ou par des partenaires privés exécutant une mission de service public doivent être hébergées et traitées sur le territoire national, sauf dérogation temporaire autorisée pour des raisons impérieuses.

En cas de violation de données personnelles consécutive notamment à une cyberattaque, le responsable du traitement doit informer les personnes concernées et effectuer les notifications prévues auprès de la Commission des Données personnelles. Le délai de notification peut, dans certaines circonstances liées à l’ampleur de l’incident, être prolongé par l’Autorité nationale de Cybersécurité.

Le projet prévoit aussi la possibilité pour les exploitants de souscrire une assurance couvrant les préjudices liés aux incidents informatiques et cyberattaques. L’indemnisation est toutefois subordonnée au dépôt d’une plainte auprès des autorités judiciaires sénégalaises compétentes.

Des exigences pour les prestataires et objets connectables

L’Autorité nationale de Cybersécurité doit agréer les prestataires intervenant notamment dans l’audit de sécurité, la prévention et la réaction aux incidents, l’hébergement sécurisé des données, la certification des produits et services, ainsi que le conseil et la maintenance sécurisée des systèmes d’information.

L’accès à ces activités est soumis à plusieurs critères, portant notamment sur la nationalité des dirigeants et professionnels, la localisation des infrastructures et équipements, ainsi que les moyens techniques et technologiques utilisés. Les contrats de commande publique portant sur des services réglementés de cybersécurité devront être exécutés par des prestataires disposant d’une autorisation d’exercice délivrée par l’Autorité nationale de Cybersécurité.

Le projet encadre également les objets connectables. Ceux-ci devront respecter les meilleurs standards de sécurité et les normes nationales lorsqu’elles existent. Les fabricants, fournisseurs et distributeurs devront notamment fournir une documentation technique complète, informer les utilisateurs des données susceptibles d’être collectées et assurer, le cas échéant, des mises à jour régulières.

Les infrastructures critiques sous surveillance renforcée

Une partie importante du projet est consacrée aux infrastructures d’information critiques (IIC). L’objectif est de préserver la continuité des services et systèmes d’information indispensables à la Nation, en empêchant leur compromission ou, lorsque celle-ci survient, en permettant de la détecter et d’en limiter l’impact.

Sont notamment classés d’office comme IIC les réseaux et systèmes d’information relevant de la Défense nationale, de la sécurité publique, des cours et tribunaux, de l’Administration pénitentiaire et de l’Administration des Douanes.

Le texte prévoit un répertoire national des IIC, tenu secret et communiqué uniquement aux personnes habilitées qui en ont besoin. L’identification des infrastructures repose notamment sur leur rôle dans la fourniture de services essentiels et sur la gravité potentielle d’un incident. Parmi les critères retenus figurent le nombre d’utilisateurs concernés, la dépendance d’autres secteurs essentiels, les conséquences économiques ou sociales, l’importance économique de l’entité, l’étendue géographique des dommages possibles et l’existence ou non de solutions de remplacement.

Les exploitants d’IIC devront mettre en place des programmes de cybersécurité, protéger leurs systèmes contre toute compromission, détecter les incidents et en réduire l’impact. Ces programmes devront être élaborés dans les six mois suivant la notification du classement de l’infrastructure.

SOC, CERT et mécanisme national de coordination

Le projet de loi prévoit la mise en place de CERT sectoriels chargés notamment du suivi et de l’analyse des incidents, de l’intervention en cas d’attaque, de l’alerte précoce et de la coordination avec le CERT national.

Chaque exploitant d’IIC devra également mettre en place, au plus tard un an après la notification de son inscription au répertoire national des IIC, un Service des Opérations de Cybersécurité (SOC). Celui-ci sera chargé notamment de la surveillance en temps réel des réseaux, systèmes et applications, de la protection des données, du suivi des vulnérabilités, de la veille en sécurité informatique et du pilotage des mesures correctives.

Le texte institue par ailleurs un Cadre national de Coordination des Activités de Détection, d’Alerte et de Réponse aux Incidents informatiques et autres cyberattaques (CADARCA), destiné à favoriser la coopération entre autorités administratives et judiciaires et acteurs du secteur non étatique.

Coopération, audits et protection du secret

Le projet encadre le partage d’informations relatives à la protection des IIC. Ces informations restent soumises aux règles de protection du secret administratif et aux obligations de discrétion et de confidentialité.

Des échanges peuvent néanmoins être effectués avec les autorités étrangères compétentes en matière de cybersécurité et avec les institutions communautaires, dans le respect des accords conclus par le Sénégal et des impératifs de sécurité nationale. Une collaboration spécifique avec les autorités judiciaires est également prévue dans le cadre des enquêtes pénales.

Les exploitants d’IIC devront réaliser chaque année un audit interne de leurs réseaux et systèmes d’information. Un audit externe devra également être réalisé tous les trois ans, avec transmission des rapports aux autorités sectorielles et à l’Autorité nationale de Cybersécurité. Cette dernière pourra conduire ses propres audits et contrôles, notamment sur les réseaux et systèmes d’information, les infrastructures physiques et logiques, les projets et marchés, la conformité et la communication.

Des sanctions administratives pouvant atteindre 800 millions de francs CFA

Le projet prévoit un dispositif de sanctions administratives et pénales destiné à assurer l’effectivité des obligations de cybersécurité.

Avant toute sanction administrative, une procédure contradictoire est prévue. L’exploitant concerné est informé des manquements constatés et dispose d’un délai pour présenter ses moyens de défense ou solliciter une audition.

Les sanctions administratives comprennent notamment l’avertissement, le blâme et l’amende administrative. Cette dernière peut être comprise entre 1 million et 800 millions de francs CFA, selon la gravité du manquement. Le projet prévoit également, dans certains cas, une amende comprise entre 1 % et 5 % du chiffre d’affaires de l’entité concernée lorsque la gravité des faits justifie de dépasser le plafond de 800 millions de francs CFA.

Des sanctions pénales pour les personnes morales et physiques

Le texte prévoit aussi des infractions visant les personnes morales. Sont notamment concernés les exploitants d’IIC qui omettent certaines mesures de cybersécurité, utilisent des produits ou services non certifiés, recourent à des prestataires non agréés, entravent les missions des agents du CERT national, empêchent les opérations d’audit ou hébergent des données hors du territoire national en violation des dispositions de la loi.

Sont également visés les exploitants qui ne déclarent pas un incident dans les conditions prévues ou les opérateurs de télécommunications et exploitants de systèmes d’information qui n’informent pas leurs clients d’une attaque ayant entraîné une violation de leurs données, sauf décision contraire de l’Autorité nationale de Cybersécurité.

Pour les personnes physiques, le projet prévoit, selon les infractions, des peines pouvant aller de six mois à cinq ans d’emprisonnement, assorties d’amendes comprises entre 500 000 et 10 millions de francs CFA. Les comportements concernés incluent notamment l’entrave aux audits de sécurité ou aux missions du CERT national, la propagation de programmes malveillants, la fourniture illégale de services de cybersécurité, le refus d’exécuter certaines diligences demandées par les agents du CERT et la divulgation d’informations classifiées relatives à la protection des IIC.

Le projet de loi, qui comporte 55 articles répartis en cinq chapitres, s’achève par une disposition finale renvoyant, en tant que de besoin, à des décrets pour fixer les autres modalités de son application.

À travers ce texte, l’Exécutif entend ainsi consolider le cadre juridique sénégalais de la cybersécurité, renforcer la protection des infrastructures considérées comme stratégiques et responsabiliser l’ensemble des acteurs, publics comme privés, face aux risques croissants liés aux cyberattaques. Le projet est désormais soumis à l’examen des députés au cours de cette première session extraordinaire de l’exercice 2026-2027.

(Source : La Vie Sénégalaise, 10 août 2026)