Cybersécurité en Afrique francophone : cadres juridiques et capacités
- La convention de Malabo de l'Union africaine est entrée en vigueur en 2023
- La plupart des pays francophones disposent d'une loi sur la cybercriminalité et sur les données personnelles
- Les capacités opérationnelles restent très inégales d'un pays à l'autre
- Les organisations doivent bâtir leur propre socle sans attendre le cadre national
La numérisation des administrations, de la banque mobile et des services publics a fait de la cybersécurité en Afrique francophone un sujet de souveraineté. Le cadre s’est construit en vingt ans, par strates : conventions régionales, lois nationales, autorités spécialisées, équipes de réponse aux incidents. Cet état des lieux s’en tient aux éléments établis et signale ce qui reste à documenter. Il ne prétend pas à l’exhaustivité pays par pays.
Trois niveaux de cadre
Le niveau continental
La convention de l’Union africaine sur la cybersécurité et la protection des données à caractère personnel, adoptée à Malabo en 2014, couvre trois domaines : transactions électroniques, protection des données, cybersécurité et cybercriminalité. Elle est entrée en vigueur en 2023, après avoir atteint le nombre de ratifications requis. Sa portée pratique dépend de la transposition par chaque État.
Le niveau régional
En Afrique de l’Ouest, la CEDEAO a adopté dès 2010 un acte additionnel sur la protection des données personnelles et, en 2011, une directive sur la lutte contre la cybercriminalité. Ces textes ont inspiré plusieurs lois nationales. D’autres communautés économiques ont engagé des démarches comparables, avec des degrés d’avancement variables.
Le niveau national
Le Sénégal a été parmi les premiers à légiférer : lois de 2008 sur la cybercriminalité et sur la protection des données personnelles, cette dernière créant la Commission de protection des données personnelles. La Côte d’Ivoire a adopté en 2013 des lois sur la cybercriminalité et la protection des données, et confié des missions à son autorité de régulation des télécommunications. Le Maroc dispose depuis 2009 d’une loi sur la protection des données et d’une commission nationale dédiée. La plupart des pays francophones du continent ont aujourd’hui des textes comparables ; leur date, leur contenu et leurs décrets d’application varient.
Des capacités opérationnelles inégales
Un texte de loi ne protège rien s’il n’existe pas d’organisation pour l’appliquer. Les capacités se mesurent à quelques éléments observables.
| Capacité | Ce qu’elle recouvre | Situation générale observée |
|---|---|---|
| Équipe nationale de réponse aux incidents (CERT ou CSIRT) | Veille, alerte, coordination lors d’incidents | Présente dans de nombreux pays, avec des moyens très variables |
| Autorité de protection des données | Contrôle, plaintes, sanctions | Créée dans la majorité des pays francophones, parfois peu dotée |
| Stratégie nationale de cybersécurité | Priorités, gouvernance, financement | Adoptée dans plusieurs pays, mise en œuvre inégale |
| Compétences | Formation, filières, rétention des profils | Déficit général, départ des profils expérimentés vers l’étranger ou le privé |
| Coopération judiciaire | Entraide, preuves numériques | En progression, notamment par l’adhésion à la convention de Budapest |
L’Indice mondial de cybersécurité publié par l’Union internationale des télécommunications offre une lecture comparative sur cinq piliers : juridique, technique, organisationnel, développement des capacités et coopération. Ses éditions successives montrent une progression d’ensemble du continent, avec des écarts importants entre pays. Ces indices reposent en partie sur des déclarations des États ; ils mesurent l’existence de dispositifs plus que leur efficacité.
Le cadre juridique avance plus vite que la capacité de l’appliquer : c’est l’écart que chaque organisation doit combler pour elle-même.
Ce que l’on sait moins
- La réalité des incidents. Les obligations de notification sont récentes ou absentes ; les statistiques publiques sont rares et peu comparables.
- L’application des sanctions. Les décisions des autorités de protection des données sont inégalement publiées.
- La sécurité des systèmes publics. Les audits existent mais leurs résultats sont, à juste titre, rarement publics.
- Les effets des formations. Les programmes de renforcement des capacités sont nombreux ; leurs évaluations le sont moins.
Ce que cela implique pour une organisation
Une banque, un opérateur, un ministère ou une entreprise ne peut pas attendre que le cadre national soit complet. Les référentiels internationaux (ISO/IEC 27001:2022, cadre du NIST, recommandations de l’ANSSI pour l’hygiène informatique) fournissent un socle reconnu, applicable partout.
- Cartographier les obligations applicables dans chaque pays d’activité : données personnelles, cybercriminalité, règles sectorielles, localisation des données.
- Établir l’hygiène de base : inventaire, mises à jour, authentification forte des comptes à privilèges, sauvegardes hors ligne testées.
- Préparer la réponse aux incidents : qui décide, qui prévenir (CERT national, autorité de protection des données), comment communiquer.
- Former en continu les équipes techniques et sensibiliser tous les agents.
- Mesurer par des audits réguliers et des exercices, plutôt que par la seule conformité documentaire.
Le paysage juridique de la cybersécurité en Afrique francophone est désormais structuré, mais les capacités d’application restent inégales. La meilleure protection d’une organisation reste un socle de mesures éprouvées, appliqué sans attendre.
L’offre gouvernance et l’expertise cybersécurité et conformité de DOSOBE accompagnent ces démarches, du diagnostic à la mise en œuvre.
Sources
- Union africaine, convention sur la cybersécurité et la protection des données à caractère personnel (Malabo, 2014).
- CEDEAO, acte additionnel relatif à la protection des données à caractère personnel (2010) et directive sur la lutte contre la cybercriminalité (2011).
- Union internationale des télécommunications, Indice mondial de cybersécurité (éditions successives).
- Conseil de l’Europe, convention sur la cybercriminalité (Budapest, 2001) et état des signatures et ratifications.
- Textes nationaux : Sénégal, lois n° 2008-11 et n° 2008-12 ; Côte d’Ivoire, lois de 2013 sur la cybercriminalité et la protection des données ; Maroc, loi n° 09-08.
Pour approfondir : Gouvernance & traçabilité
Questions fréquentes
Quels textes s'appliquent à une organisation opérant dans plusieurs pays francophones d'Afrique ?
Les lois nationales de chaque pays : cybercriminalité, protection des données, communications électroniques, et règles sectorielles (banque, télécoms). Les textes régionaux orientent mais s'appliquent par leur transposition.
La convention de Budapest concerne-t-elle l'Afrique ?
Oui. Plusieurs pays africains, dont le Sénégal et le Maroc, y ont adhéré. Elle facilite la coopération judiciaire en matière de cybercriminalité.
Où trouver une évaluation comparative des pays ?
L'Indice mondial de cybersécurité de l'Union internationale des télécommunications évalue périodiquement les pays sur cinq piliers : juridique, technique, organisationnel, développement des capacités, coopération.
Par où commencer pour une organisation ?
Par un inventaire des actifs, une gestion des accès rigoureuse, des sauvegardes testées et un plan de réponse aux incidents, en s'appuyant sur des référentiels internationaux.