Cybersécurité
Vingt-quatre heures
C'est le délai prévu pour signaler certains incidents. Mais est-on prêt à les détecter ?
Un incident de cybersécurité survient.
Personne ne sait encore exactement ce qui s'est passé. On doit préserver les traces, comprendre l'étendue du problème, décider quels services isoler et informer les responsables.
Et une question commence à peser : combien de temps avons-nous avant de devoir le déclarer ?
Dans le projet de loi sénégalais n°25/2026 relatif à la protection des infrastructures d'information critiques, on trouve une obligation de notification des incidents dans les 24 heures.
Sur le papier, c'est une phrase.
Dans une organisation qui n'a ni supervision, ni procédure claire, ni responsabilités définies, cela peut être un sacré défi.
Un texte qui répond à un enjeu réel
L'Assemblée nationale a adopté le projet de loi n°25/2026 le 20 août 2026, avec 127 voix pour, aucune abstention et aucune voix contre.
Le texte consultable dans les archives publiques prévoit une architecture de protection particulière pour les systèmes et services considérés comme critiques.
Il s'agit notamment de renforcer la gouvernance de la cybersécurité, de préparer les organisations à signaler les incidents et de mieux encadrer les infrastructures sensibles.
Précision juridique : l'adoption parlementaire d'un projet ne suffit pas à elle seule à confirmer la date d'entrée en vigueur de chaque obligation. La promulgation, la publication et les textes d'application doivent être vérifiés dans les sources officielles.
Ce qui attire mon attention
Le projet prévoit notamment :
- Une Autorité nationale de cybersécurité.
- Des programmes de cybersécurité pour les exploitants d'infrastructures critiques.
- La notification d'incidents selon les délais prévus.
- Des capacités de surveillance et de réponse, notamment des SOC.
- Des règles sur l'hébergement de certaines données publiques.
- Des mécanismes de contrôle et de sanctions.
Ce sont des orientations importantes. Mais un texte ne protège pas un serveur par sa seule existence.
L'efficacité dépendra des moyens, de la compétence des équipes, de la coordination entre acteurs et des modalités d'application.
La différence entre détecter et découvrir
Une entreprise qui apprend une intrusion trois semaines après les faits ne peut pas promettre une notification rapide.
Pour agir en 24 heures, encore faut-il savoir qu'un incident a eu lieu.
C'est pourquoi la supervision, les journaux d'événements, les alertes pertinentes et la préparation des équipes sont aussi importants que le délai inscrit dans la loi.
Et lorsque le service est essentiel, il faut aussi penser à la continuité de fonctionnement.
Ce que les organisations peuvent commencer à préparer
Même sans préjuger des dispositions finalement applicables, plusieurs pratiques sont utiles :
- Identifier les services dont l'arrêt aurait le plus d'impact.
- Documenter les personnes responsables et les contacts d'urgence.
- Définir une procédure de détection, de qualification et d'escalade.
- Tester les sauvegardes et les plans de reprise.
- Vérifier les accès privilégiés et les dépendances critiques.
- Former les équipes à reconnaître et signaler les anomalies.
Cela ressemble à une liste de tâches techniques. En réalité, c'est aussi un sujet de direction.
La question que je garde
Le Sénégal a besoin de systèmes numériques fiables. C'est vrai pour les grandes infrastructures comme pour des services plus modestes auxquels les citoyens font confiance.
Mais il faut éviter de confondre publication d'un texte, conformité sur papier et sécurité réellement opérationnelle.
La bonne question est moins « Avons-nous un document ? » que « Que sommes-nous capables de faire le jour où quelque chose se passe mal ? »
Analyse éditoriale du projet adopté le 20 août 2026. Pour connaître le droit applicable à une organisation précise, consulter les actes officiels publiés et les textes d'application.
