Le Sénégal vient de franchir une étape importante dans la construction de sa souveraineté numérique.

Le jeudi 13 août 2026, le projet de loi relatif à la protection des Infrastructures d’Information critiques (IIC) et à la sécurité numérique a été présenté devant l’Intercommission de l’Assemblée nationale réunissant la Commission de la Culture et de la Communication et la Commission des Lois.

Derrière cette étape institutionnelle se trouve surtout un travail de fond porté notamment par la Direction générale du Chiffre et de la Sécurité des Systèmes d’Information (DCSSI), acteur central du dispositif national de cybersécurité, avec le portage institutionnel du Ministère des Télécommunications et du Numérique.

Et le changement de paradigme est important : la cybersécurité n’est définitivement plus seulement une affaire d’informaticiens. Elle devient une question de sécurité nationale, de souveraineté et de continuité de l’État.

Protéger ce qui fait fonctionner le pays

Que se passerait-il si une cyberattaque paralysait pendant plusieurs heures ou plusieurs jours une infrastructure essentielle ?

Télécommunications, énergie, eau, banques, santé, transports, administrations publiques : notre fonctionnement quotidien dépend désormais de systèmes numériques interconnectés.

La compromission de certains de ces systèmes pourrait donc provoquer bien plus qu’une simple panne informatique : interruption de services essentiels, pertes économiques, exposition de données sensibles, perturbation des activités de l’État ou atteinte aux droits des citoyens.

C’est précisément tout l’intérêt de la notion d’Infrastructure d’Information critique.

Toutes les infrastructures n’ont pas la même importance stratégique et ne peuvent donc pas être protégées de la même manière.

Le projet prévoit ainsi l’identification et le recensement des IIC ainsi qu’un ensemble d’exigences adaptées aux risques : analyses de risques, sauvegardes, chiffrement des données sensibles, continuité et reprise d’activité, tests de résilience ou encore notification des incidents.

Nous passons progressivement d’une cybersécurité souvent fondée sur la recommandation à une cybersécurité fondée sur des responsabilités et des obligations clairement établies.

Autorité nationale, CERT, CERT sectoriels, SOC : construire un véritable dispositif national

C’est probablement l’un des aspects les plus structurants du projet.

Le dispositif annoncé prévoit notamment une Autorité nationale de Cybersécurité, un CERT national, des CERT sectoriels ainsi que des Services des Opérations de Cybersécurité (SOC).

Il faut bien comprendre l’enjeu.

Un SOC n’est pas à lui seul une stratégie nationale de cybersécurité. Un CERT non plus.

Face à une attaque majeure, il faut toute une chaîne : prévenir, détecter, qualifier, alerter, coordonner, répondre, restaurer et tirer les enseignements de l’incident.

La mise en place de CERT sectoriels prend alors tout son sens. Les menaces visant le secteur financier ne sont pas nécessairement identiques à celles visant l’énergie, les télécommunications, la santé ou l’administration.

L’enjeu sera donc de développer une capacité nationale coordonnée, tout en conservant une expertise proche des réalités opérationnelles de chaque secteur.

La DCSSI au cœur d’un changement de dimension

Il faut également reconnaître l’importance du travail réalisé en amont.

La cybersécurité nationale ne se construit pas uniquement le jour où un projet de loi arrive devant l’Assemblée nationale. Elle nécessite des années de réflexion, de construction institutionnelle, d’analyse des menaces et d’adaptation aux réalités nationales.

À travers ce projet, le travail mené par la DCSSI prend une dimension supplémentaire : il ne s’agit plus uniquement de protéger les systèmes de l’État, mais de contribuer à organiser un véritable écosystème national de résilience numérique.

Et c’est probablement l’une des évolutions les plus importantes.

La cyberdéfense d’un pays ne peut plus reposer sur une seule institution. Elle nécessite une articulation entre l’État, les opérateurs d’infrastructures critiques, les entreprises, les prestataires de cybersécurité, les chercheurs, les universités et les professionnels du secteur.

La souveraineté passe aussi par les données

Le projet aborde également un sujet particulièrement stratégique : l’hébergement des données du secteur public sur le territoire national et l’encadrement de l’externalisation des services numériques.

C’est une avancée importante.

Mais il faudra aller encore plus loin dans notre réflexion collective.

Héberger une donnée au Sénégal ne signifie pas automatiquement que cette donnée est souveraine.

La souveraineté suppose également la maîtrise des infrastructures, des accès, de l’administration, des dépendances technologiques, des compétences et des conditions juridiques entourant les solutions utilisées.

La localisation constitue donc une composante de la souveraineté numérique, mais elle doit s’inscrire dans une stratégie beaucoup plus globale de maîtrise technologique.

Une énorme opportunité pour l’écosystème cyber sénégalais

Cette loi pourrait également transformer profondément le marché sénégalais de la cybersécurité.

Car derrière chaque nouvelle obligation apparaissent de nouveaux besoins.

Audit de sécurité, analyse de risques, tests d’intrusion, SOC, réponse aux incidents, continuité d’activité, gouvernance, conformité, formation, sécurisation des infrastructures, investigation numérique…

Les besoins seront considérables.

L’ambition annoncée de développer des prestataires agréés et de favoriser l’émergence de champions nationaux peut devenir un puissant accélérateur pour l’écosystème local.

Nos entreprises et startups doivent pouvoir saisir cette opportunité.

Nos universités et écoles devront également former davantage de profils spécialisés.

Et nos professionnels devront continuer à monter en compétence.

Parce qu’il serait paradoxal de construire notre souveraineté numérique tout en dépendant presque exclusivement de compétences et de capacités opérationnelles extérieures pour protéger nos propres infrastructures.

Le plus difficile commence maintenant

Une bonne loi est indispensable.

Mais une loi ne bloque pas un ransomware.

Une loi ne détecte pas une intrusion à trois heures du matin.

Une loi ne restaure pas un système critique après une attaque.

Ce sont les capacités opérationnelles qui le font.

Le véritable défi sera donc celui de l’application : ressources humaines, moyens techniques, gouvernance, coordination intersectorielle, procédures d’incident, exercices de crise, audits réguliers et capacité réelle à contrôler les obligations imposées.

Il faudra également éviter un piège classique : transformer la cybersécurité en une simple course à la conformité documentaire.

Une organisation peut posséder toutes les politiques de sécurité demandées et rester extrêmement vulnérable.

Le véritable indicateur devra rester sa capacité à prévenir, détecter, résister, répondre et se relever.

Une loi peut créer le cadre. La souveraineté, elle, se construit.

Ce projet représente une avancée majeure pour le Sénégal.

Il traduit surtout une prise de conscience : nos infrastructures numériques font désormais partie de nos infrastructures stratégiques nationales.

Les protéger revient à protéger notre économie, nos institutions, nos données, nos citoyens et notre capacité à exercer pleinement notre souveraineté.

Le travail engagé par la DCSSI et porté aujourd’hui au niveau institutionnel ouvre donc un nouveau chapitre.

Mais le texte juridique ne sera que le commencement.

La prochaine bataille sera celle de l’exécution, des compétences, des infrastructures, de la recherche, de l’innovation locale et de notre capacité à développer des acteurs nationaux suffisamment solides pour participer réellement à la protection du cyberespace sénégalais.

La souveraineté numérique ne se décrète pas. Elle se construit, se protège et surtout, elle se défend.