L'Assemblée nationale du Sénégal a adopté à l'unanimité, le 20 août 2026, le projet de loi n° 25/2026 relatif à la protection des infrastructures d'information critiques (IIC) et à la sécurité numérique, avec 127 voix pour et aucune contre. Le texte fixe des normes de sécurité pour l'État, les organisations privées et les particuliers, place les exploitants d'IIC sous des obligations spécifiques contrôlées par les autorités administratives compétentes et l'Autorité nationale de Cybersécurité, et institue des sanctions administratives et pénales en cas de manquement. Le compte rendu officiel figure dans le communiqué de l'Assemblée nationale du 20 août 2026.
Le vote clôt une session extraordinaire ouverte le 10 août 2026. Le texte doit encore être promulgué par le Président de la République et publié au Journal officiel avant de lier les opérateurs ; aucune date d'entrée en vigueur n'a été annoncée lors de l'adoption. Pour les banques, les télécoms, les services publics, les hôpitaux, les infrastructures numériques de l'État et les fournisseurs de cybersécurité actifs au Sénégal, le compte à rebours opérationnel commence maintenant : cartographier l'exposition IIC probable, inventorier les systèmes qui soutiennent des activités sur le territoire sénégalais, et se préparer aux obligations de désignation et de normes de sécurité dès que la couche d'application sera publiée.
Que l'Assemblée nationale a-t-elle concrètement adopté le 20 août 2026 ?
Le projet de loi n° 25/2026 est une loi votée, non un document de stratégie. Il bâtit un cadre de référence pour la sécurité des systèmes d'information, définit les normes et standards applicables à l'État, aux organisations privées et aux particuliers, et soumet les exploitants d'IIC à des obligations spécifiques sous le contrôle des autorités administratives et de l'Autorité nationale de Cybersécurité. Il encadre aussi la fourniture de produits et services de cybersécurité, et assortit ces devoirs d'un régime de sanctions administratives et pénales pour en assurer l'effectivité.
Le cadrage de l'Assemblée est stratégique : cybermenaces en hausse, attaques plus sophistiquées, dépendance accrue aux infrastructures numériques. L'objectif est de préserver la sécurité globale du Sénégal, de protéger ses intérêts souverains et de renforcer la capacité de l'État à anticiper, prévenir et répondre aux menaces numériques. Pour les équipes de conformité, la nouveauté est nette : le Sénégal passe d'un droit fragmenté (cybercriminalité, économie numérique) à une loi IIC explicite, avec une autorité nationale dédiée et un double levier administratif et pénal.
Qui est concerné, y compris depuis l'étranger ?
La loi couvre les réseaux et systèmes d'information qui servent de support à des activités exercées au Sénégal et qui sont totalement ou partiellement établis sur le territoire national. Cela vise les exploitants d'IIC classiques implantés sur place : réseaux de télécommunications, rails bancaires et de paiement, systèmes de contrôle de l'énergie et de l'eau, systèmes cliniques hospitaliers, et plateformes numériques de l'État, notamment celles relevant de l'ADIE et des infrastructures numériques publiques associées.
Le champ peut aussi s'étendre à certains services numériques fournis au Sénégal au moyen d'équipements situés à l'étranger. Ces situations seront encadrées par voie réglementaire ou par des accords de coopération internationale ; les fournisseurs étrangers de cloud, de SaaS et de sécurité managée qui délivrent vers le Sénégal doivent traiter la portée extraterritoriale comme une question de conception actuelle, non comme un risque lointain. Lorsque le fonctionnement d'un réseau est déjà régi par un accord international, la loi ne s'applique que dans la mesure où cet accord le permet : les systèmes conventionnels exigent donc une analyse d'exclusion, pas une application automatique.
| Acteur | Exposition immédiate au regard du projet de loi n° 25/2026 |
|---|---|
| Exploitants d'IIC sur le territoire (banques, télécoms, services publics, hôpitaux, infra numérique d'État) | Risque de désignation IIC ; normes de sécurité ; contrôle des autorités administratives et de l'Autorité nationale de Cybersécurité ; sanctions administratives et pénales |
| Fournisseurs de produits et services de cybersécurité vendant au Sénégal | Règles spécifiques de fourniture ; exposition à la conformité et aux sanctions |
| Fournisseurs de services numériques étrangers utilisant des équipements hors du territoire | Extension extraterritoriale possible via règlements ou accords de coopération à venir |
| Opérateurs régis par un accord international | Application seulement dans la mesure permise par l'accord |
Que doivent faire les équipes de conformité avant la promulgation ?
La promulgation et la publication au Journal officiel restent en attente, et aucun calendrier de décrets d'application n'a été publié avec le vote. Attendre le texte du JO n'est pas un plan. Les opérateurs doivent constituer dès maintenant un dossier d'applicabilité : lister les systèmes qui soutiennent des activités au Sénégal, repérer ceux qui sont totalement ou partiellement établis sur le territoire national, et identifier les services délivrés vers le Sénégal depuis l'étranger susceptibles de tomber sous la clause extraterritoriale une fois réglementée.
La gouvernance doit désigner un interlocuteur unique pour l'Autorité nationale de Cybersécurité, aligner les référentiels de contrôles de sécurité sur les normes à venir, et tester les processus d'incident et de vulnérabilité face à un modèle de double sanction administrative et pénale. Les fournisseurs de produits et services de cybersécurité doivent faire correspondre garanties contractuelles et engagements de localisation aux nouvelles règles de fourniture. Un monitoring réglementaire continu, juridiction par juridiction, est le moyen de capter l'avis de promulgation, la publication au JO et les premiers décrets d'application le jour même, plutôt que des semaines plus tard via la presse secondaire.
Comment ce texte s'articule-t-il avec le droit numérique sénégalais existant ?
Le Sénégal dispose déjà d'un socle numérique en couches : la loi 2008-11 sur la cybercriminalité, la loi 2008-12 sur les données personnelles (CDP) et le Code du Numérique (loi 2023-13) sur le commerce électronique, les signatures et la responsabilité des intermédiaires. Le projet de loi n° 25/2026 n'abroge pas ces instruments ; il ajoute une couche de sécurité et de résilience centrée sur les IIC, avec une Autorité nationale de Cybersécurité et des devoirs d'opérateurs que ces textes antérieurs n'organisaient pas comme un régime d'infrastructures critiques. Les équipes doivent conserver les chantiers cybercriminalité, protection des données et code du numérique, et ouvrir une piste IIC parallèle, sans absorber ce vote dans un contrôle de type RGPD ou e-commerce.
Profitez de cette veille en temps réel
Vérifiez si vos réseaux ou services soutiennent des activités au Sénégal ou sont partiellement établis sur le territoire, ouvrez un dossier d'applicabilité et de désignation avant la publication au JO, briefez les équipes juridiques, CISO et gestion des fournisseurs sur le modèle de contrôle de l'Autorité nationale de Cybersécurité et le double régime de sanctions, et surveillez la promulgation présidentielle ainsi que les premiers textes d'application sur les services numériques extraterritoriaux. Obsidian fait remonter ce type de loi nationale sur les IIC dès que le législateur et le Journal officiel publient l'étape suivante.
