En Écho Au Projet De Loi N° 25/2026 Sur La Protection Des Infrastructures D’Informations Critiques Et La Sécurité Numérique
Protéger les infrastructures critiques est aujourd’hui une exigence de stabilité, de souveraineté et de responsabilité. La sécurité, numérique comme physique, impose des obligations claires, des mesures de prévention et une capacité réelle à répondre aux incidents.
Le Point De Vue De L’Expert
À mon sens, la non-protection des infrastructures critiques ne constitue pas seulement une faiblesse de cybersécurité : elle crée une vulnérabilité stratégique face aux activités de renseignement. Une infrastructure critique – énergie, eau, télécommunications, santé, transport, finance, administration ou industrie stratégique – concentre des informations qui permettent de comprendre le fonctionnement réel d’un État ou d’une organisation.
Le renseignement est fondamentalement une logique d’exploitation de l’information. L’objectif n’est donc pas nécessairement de détruire immédiatement une infrastructure. Il peut être plus utile de l’observer, de la cartographier, d’en comprendre les dépendances et d’identifier ses points de fragilité.
Des Questions Parlementaires À Une Méthode De Protection
L’examen du projet de loi a fait émerger des questions essentielles : comment qualifier une infrastructure critique, actualiser son niveau de protection, coordonner les autorités, encadrer les tiers, décider de l’hébergement des données, intégrer l’intelligence artificielle et définir les responsabilités ? Ces questions appellent une méthode structurée de protection des données sensibles et des actifs critiques.
Qu’est-ce qu’une infrastructure critique et qui la classe ? La classification doit être documentée : définition du périmètre, inventaire des actifs, évaluation selon la confidentialité, l’intégrité, la disponibilité et la traçabilité, attribution d’un niveau de sensibilité et désignation d’un propriétaire.
Comment actualiser la protection ? Le registre des actifs doit être revu au moins annuellement et après tout changement significatif, réorganisation, nouveau projet ou incident.
Comment éviter les chevauchements entre autorités et régulateurs ? Par une matrice de responsabilités claire : qui exécute, qui approuve, qui est consulté et qui est informé, processus par processus.
Quelles garanties lorsque les données sont confiées à des tiers ? Les contrats doivent imposer des exigences de sécurité, la notification des incidents, un droit d’audit, l’encadrement de la sous-traitance et la restitution des données.
Comment décider d’un hébergement à l’étranger ? À partir d’une cartographie des dépendances : serveurs, réseaux, prestataires et conséquences d’une indisponibilité ou d’une perte de maîtrise.
Comment traiter l’intelligence artificielle ? En fixant des règles d’usage et de protection des données. L’IA générative amplifie notamment le hameçonnage crédible, la manipulation et les fuites involontaires d’informations sensibles.
Faire Converger Sécurité Numérique Et Sécurité Physique
Les menaces sont devenues hybrides. La protection des serveurs, réseaux, identités et données doit être pensée avec celle des locaux, salles techniques, postes de contrôle et installations sensibles. Un badge volé ouvre une porte ; un identifiant volé ouvre un système. Dans les deux cas, l’attaquant obtient une présence non autorisée à l’intérieur du périmètre.
Cette convergence suppose une supervision coordonnée : un accès physique inhabituel à une salle technique et une connexion anormale au même moment ne prennent tout leur sens que si les deux signaux sont rapprochés. Le responsable de la sécurité des systèmes d’information et le responsable de la sécurité physique doivent donc travailler ensemble.
La Menace Interne, Un Risque Central
Limiter la menace à l’attaquant extérieur serait une erreur. Les identifiants internes compromis permettent à un acteur externe d’agir comme un initié. La menace interne recouvre trois situations :
• L’accident, une manipulation malheureuse sans intention de nuire.
• La négligence, par exemple le contournement d’une consigne, l’installation d’une application non autorisée ou le partage d’un mot de passe.
• La malveillance, lorsqu’un agent, un prestataire ou un sous-traitant utilise son accès pour nuire ou transmettre des informations.
Le levier décisif est la maîtrise de la connexion : restrictions d’accès, authentification forte, gestion des comptes à privilèges, surveillance des sessions, moindre privilège, traçabilité et révocation immédiate des droits après un départ. Une charte interne ne suffit plus : la détection doit compléter la prévention.
Deux Terrains Concrets : L’Énergie Et La Santé Publique
Le Cas De La Distribution D’Électricité
Une compagnie d’électricité doit protéger simultanément ses infrastructures physiques, ses technologies opérationnelles de supervision et de contrôle, ses systèmes d’information de gestion et ses moyens logistiques. Un attaquant qui prend la main sur la supervision industrielle n’a pas besoin de détruire un équipement : un ordre malveillant peut provoquer une interruption dont les conséquences deviennent immédiatement physiques et publiques, notamment pour les hôpitaux ou les stations de pompage.
Le Cas D’Une Unité De Production De Vaccins
Un site de production biologique concentre des actifs particulièrement sensibles : formules, brevets, protocoles de recherche, échantillons biologiques, données de santé, systèmes industriels et chaîne du froid. Une cyberattaque peut interrompre la production, dérober la propriété intellectuelle ou altérer silencieusement des données de contrôle.
Le risque le plus redoutable n’est pas toujours la destruction : c’est parfois l’impossibilité de prouver. Un lot conforme dont les enregistrements de traçabilité ont été altérés ou perdus peut devenir non libérable. La traçabilité est donc elle-même un actif critique.
De La Loi À La Protection Réelle
L’efficacité de la réforme dépendra de la clarté du cadre juridique, mais aussi des moyens, de la coordination et de la capacité à garantir la souveraineté numérique. Six exigences opérationnelles doivent être retenues :
Un registre national des actifs critiques : identifier chaque infrastructure, son propriétaire, sa classification, sa localisation, ses dépendances et organiser sa revue régulière.
Une gouvernance écrite : faire approuver la politique de sécurité au plus haut niveau et définir clairement les rôles entre métiers, informatique, protection des données, ressources humaines, juridique et sécurité physique.
Une maîtrise des accès : centraliser les identités, imposer l’authentification multifacteur sur les systèmes critiques, séparer les comptes à privilèges et revoir les habilitations.
Une capacité de détection permanente : journaliser, superviser et traiter réellement les alertes, avec des audits réguliers.
Une préparation à l’incident : disposer de plans de réponse, de continuité et de reprise, puis les tester avec les métiers et les autorités concernées.
Une culture de sécurité : former en continu, simuler les attaques et obtenir l’exemplarité de la direction.
En Conclusion
Le projet de loi pose le cadre. Il revient maintenant aux organisations publiques et privées de le rendre opérant. Une stratégie de protection des données sensibles et des actifs critiques ne se limite pas à la technologie : elle est organisationnelle, humaine, juridique et opérationnelle.
Protéger une infrastructure critique, ce n’est pas seulement empêcher qu’elle tombe. C’est empêcher qu’on la comprenne mieux que nous ne la comprenons nous-mêmes. Le renseignement n’a pas besoin de détruire pour gagner ; il lui suffit parfois d’observer assez longtemps. Cartographier nos propres dépendances est donc un premier acte de souveraineté.
Babacar Charles NDOYE
Directeur Général, Cellule Group
Expert En Gouvernance, Risque & Conformité Sécurité Des Systèmes D’Information Et Protection Des Données
Formateur En Cybersécurité & Cybercriminalité
