Le Sénégal franchit une nouvelle étape dans le renforcement de son dispositif de cybersécurité. Invité de l’émission « Point de vue » de la RTS, le colonel Aly Mime, directeur général du Chiffre et de la Sécurité des Systèmes d’Information, a détaillé l’évolution du cadre juridique national et les nouvelles obligations qui s’imposent désormais aux acteurs publics et privés.
Selon lui, le Sénégal avait commencé à structurer son arsenal juridique dès 2008, notamment à travers des textes relatifs à la protection des données personnelles, à la sécurité des systèmes d’information et à la cryptologie. Mais plusieurs mesures reposaient jusqu’ici sur de simples recommandations ou circulaires.
La nouvelle législation entend changer de logique. « Ce sont les lois qui permettent de créer des obligations et des sanctions pour le monde privé, le monde public et l’administration », explique le colonel Aly Mime.
Des obligations pour les entreprises
La nouvelle réglementation concerne les entités qui mettent en place et exploitent des systèmes d’information. Elles devront notamment désigner un responsable de la sécurité des systèmes d’information, adopter une politique de sécurité, élaborer un plan de continuité et de reprise d’activité, protéger les données sensibles et réaliser régulièrement des audits de sécurité.
Elles seront également tenues de notifier les incidents de cybersécurité. En cas de fuite de données personnelles, les personnes concernées devront être informées.
Un régime renforcé pour les infrastructures critiques
Le dispositif prévoit des exigences particulières pour les infrastructures d’information critiques, dont l’interruption pourrait avoir de graves conséquences sur le fonctionnement de l’État ou la fourniture de services essentiels.
Ces structures devront notamment disposer d’un programme de cybersécurité, de dispositifs de supervision de type SOC, réaliser des audits réguliers et signaler les incidents à l’autorité nationale compétente. Pour certaines infrastructures critiques, la notification devra intervenir dans un délai de 24 heures.
La liste précise de ces infrastructures ne sera toutefois pas rendue publique. Pour le colonel Aly Mime, cette confidentialité répond à des impératifs de sécurité : « On ne peut pas dire telle entité est une infrastructure critique ».
La défense, la sécurité publique, la justice et certaines administrations centrales figurent parmi les secteurs particulièrement sensibles. L’eau, les télécommunications, l’électricité ou encore l’état civil feront également l’objet d’une identification spécifique.
Place désormais à la mise en œuvre
Le Sénégal entre ainsi dans une phase opérationnelle consacrée à l’identification et à la classification des systèmes critiques. Les entités désignées disposeront ensuite de délais pour mettre en place leur programme de cybersécurité et les mécanismes de supervision requis.
Des audits internes et externes périodiques devront également permettre de contrôler leur niveau de protection.
La logique, résume le directeur général du Chiffre et de la Sécurité des Systèmes d’Information, est claire : un système devient critique lorsque son interruption est susceptible d’avoir « des impacts graves pour l’État » ou de compromettre la continuité d’un service essentiel.
Avec ce nouveau cadre, le Sénégal entend donc passer d’une cybersécurité fondée principalement sur la recommandation à une culture de la conformité, de la prévention et de la responsabilité, assortie désormais d’obligations et de sanctions.
