Afrique : les stratégies cyber à l'épreuve de l'exécution

Pendant longtemps, les débats sur la cybersécurité en Afrique ont surtout porté sur l'élaboration de stratégies, l'adoption de lois et la création de structures. Ces étapes restent nécessaires. Mais elles ne suffisent plus à mesurer la résilience d'un pays.

Les développements récents sur le continent, associés aux évolutions européennes en matière de sécurité des produits numériques, invitent à regarder une autre réalité : qui fait quoi lorsque les exigences doivent être appliquées, lorsqu'un équipement présente une vulnérabilité ou lorsqu'un incident touche plusieurs secteurs à la fois ?

C'est cette question de l'exécution qui relie les quatre signaux de cette édition.

Libreville : l'Union africaine rapproche les politiques numériques

Réuni à Libreville à la fin d'octobre 2026, le Comité technique spécialisé de l'Union africaine chargé de la communication et des TIC a examiné l'avancement des cadres continentaux relatifs à la transformation numérique, aux données, à l'identité numérique, à l'intelligence artificielle et à la cybersécurité.

Parmi les documents inscrits à son programme figuraient notamment un projet de stratégie continentale de cybersécurité, des normes minimales d'interopérabilité de l'identité numérique, un mécanisme envisagé pour les flux transfrontaliers de données et des lignes directrices sur la gouvernance de l'IA. La présence de ces textes à l'ordre du jour ne signifie pas, à elle seule, qu'ils ont tous été définitivement adoptés.

Le communiqué de l'Union africaine du 30 octobre insiste surtout sur l'accélération de la mise en œuvre, le financement et le renforcement des institutions. Le message est important : la connectivité, la gouvernance des données, la cybersécurité et l'IA ne peuvent plus avancer comme quatre politiques sans lien entre elles.

Prenons une plateforme publique d'identité numérique utilisée dans plusieurs pays. Son interopérabilité pose des questions techniques, mais aussi des questions de protection des données, de sécurité des fournisseurs, de répartition des responsabilités et de gestion transfrontalière des incidents. Chaque sujet peut relever d'une autorité différente ; aucun ne peut être traité efficacement en vase clos.

L'enjeu pour les États africains n'est pas de copier un cadre continental avant même sa finalisation, mais d'anticiper la cohérence entre les futurs référentiels et les dispositifs nationaux. Une coopération continentale crédible commence par des responsabilités nationales lisibles.

Mozambique : une loi est en vigueur, l'organisation opérationnelle reste à consolider

Le Mozambique a publié le 1er juillet 2026 deux textes structurants : la loi n° 13/2026 sur la cybersécurité et la loi n° 14/2026 sur les crimes cybernétiques. Entrées en vigueur le 29 septembre, elles prévoient une réglementation d'application dans un délai de 180 jours à compter de leur publication.

La loi sur la cybersécurité organise un système national comprenant notamment un conseil de cybersécurité, une autorité nationale et une équipe nationale de réponse aux incidents (nCSIRT.MZ), articulée avec des capacités sectorielles. Le dispositif confie un rôle central à l'autorité de régulation des technologies de l'information et de la communication, dans laquelle s'inscrit le CSIRT national.

Cette architecture est instructive. Elle cherche à relier la définition des règles, la supervision et la coordination technique des incidents. Mais l'existence juridique d'une structure ne garantit pas encore sa pleine capacité opérationnelle : personnels, procédures, échanges d'informations, exercices et moyens techniques restent déterminants.

La prochaine étape doit donc être observée de près : quels incidents devront être notifiés, par qui, dans quels délais, à travers quels canaux, et selon quelles procédures de coordination avec les secteurs concernés ?

La leçon dépasse le Mozambique. Une loi crée le cadre ; ce sont les règlements, les moyens et les exercices qui révèlent si ce cadre fonctionne.

RDC : des obligations de cybersécurité plus proches du terrain

En République démocratique du Congo, un atelier national s'est tenu du 3 au 5 novembre 2026 à Kinshasa pour examiner et consolider sept projets d'arrêtés ministériels relatifs à la cybersécurité. L'initiative a été annoncée par le ministère de l'Économie numérique en collaboration avec l'Autorité de régulation de la poste et des télécommunications du Congo (ARPTC).

Ces projets sont présentés comme des mesures d'application du Code du numérique de 2023. Ils portent notamment sur les exigences minimales de sécurité, l'identification et la protection des infrastructures numériques critiques, la notification et la gestion des incidents, ainsi que les responsabilités des acteurs. Le compte rendu officiel présente l'atelier comme une étape vers leur adoption, non comme la preuve de leur entrée en vigueur.

Le changement de perspective est majeur. Demander à un opérateur de « sécuriser son réseau » reste une obligation générale. Définir un niveau minimal de sécurité, un périmètre d'audit ou un mécanisme de notification permet, en revanche, d'évaluer concrètement sa conformité.

Encore faut-il que les obligations soient applicables. Une exigence de supervision permanente n'a pas la même portée pour un grand opérateur, une administration territoriale ou un petit fournisseur de services numériques. Les seuils, les délais de mise en conformité, les modèles de déclaration et les mécanismes d'accompagnement comptent autant que l'ambition du texte.

Une bonne réglementation n'est pas seulement exigeante : elle doit être compréhensible, proportionnée et vérifiable.

Europe : les incidents touchent désormais des équipements ordinaires

Le 4 novembre 2026, l'Agence de l'Union européenne pour la cybersécurité (ENISA) et plusieurs institutions européennes ont signalé des incidents affectant, depuis le 11 octobre, des systèmes de réfrigération commerciale et des équipements similaires dans plusieurs États membres. Une nouvelle vague avait été observée les 1er et 2 novembre.

La Commission européenne, l'ENISA, Europol, le réseau européen des CSIRT et EU-CyCLONe participent au suivi coordonné. À la date de cette veille, les communications officielles ne permettent pas d'identifier publiquement une cause technique unique ni de mesurer complètement l'étendue des conséquences. Il serait donc prématuré d'attribuer ces événements à une vulnérabilité précise ou à un fabricant particulier.

Ce cas rappelle néanmoins une réalité souvent sous-estimée : un équipement de réfrigération, un dispositif médical, une caméra ou un équipement industriel n'est plus seulement un objet physique. Son fonctionnement peut dépendre de logiciels embarqués, de mises à jour, d'un accès distant, de composants tiers et parfois de services cloud.

Le dysfonctionnement d'un seul maillon peut alors devenir un problème de continuité d'activité, de chaîne d'approvisionnement ou de sécurité d'un service essentiel.

Une évolution réglementaire à distinguer : RED et Cyber Resilience Act

En Europe, les exigences de cybersécurité applicables à certaines catégories d'équipements radio au titre de la directive RED et du règlement délégué (UE) 2022/30 sont entrées en application le 1er août 2025. Elles portent notamment, selon les catégories concernées, sur la protection des réseaux, des données personnelles et contre la fraude.

Le Cyber Resilience Act (CRA) introduit un cadre horizontal pour les produits comportant des éléments numériques. Depuis le 11 septembre 2026, les fabricants concernés sont soumis aux obligations de notification des vulnérabilités activement exploitées et des incidents graves affectant la sécurité de leurs produits, avec une alerte précoce sous 24 heures et une notification sous 72 heures. Ses principales exigences de sécurité des produits s'appliqueront à partir du 11 décembre 2027.

Le règlement délégué RED sur la cybersécurité doit, lui aussi, être abrogé à compter du 11 décembre 2027, afin d'éviter un chevauchement de ces exigences avec le CRA. Il ne faut donc ni confondre les dates, ni présenter toutes les obligations du CRA comme déjà applicables en 2026.

Ces changements européens n'imposent pas automatiquement leurs règles aux marchés africains. Ils fournissent toutefois un point de comparaison utile pour les autorités qui réfléchissent à la sécurité des équipements importés et à leur surveillance après mise sur le marché.

Le défi africain : sortir des compétences qui se chevauchent

Les cas de Libreville, Maputo et Kinshasa révèlent une difficulté plus profonde que la rédaction des textes : la multiplication des institutions sans articulation toujours suffisamment explicite de leurs missions.

Dans un même pays, un ministère peut piloter la politique nationale, une autorité de cybersécurité définir des exigences, un régulateur contrôler des opérateurs, un CSIRT coordonner la réponse technique et des services d'enquête intervenir lorsqu'une infraction est suspectée. Ces fonctions ne sont pas interchangeables. Leur répartition exacte dépend évidemment du droit de chaque État.

Le risque apparaît lorsque plusieurs organismes pensent devoir diriger le même incident — ou, au contraire, lorsqu'aucun n'assume clairement une décision indispensable.

Imaginons une vulnérabilité affectant un fournisseur commun à plusieurs opérateurs télécoms, administrations et établissements de santé. Qui reçoit la première alerte ? Qui rassemble les éléments techniques ? Qui peut exiger une mesure corrective ? Qui coordonne les informations sensibles entre secteurs ? Qui informe le public ?

Si ces réponses sont improvisées au moment de la crise, la coordination devient une vulnérabilité supplémentaire.

La réponse ne consiste pas nécessairement à créer une structure de plus. Elle consiste à disposer d'une autorité cyber dotée d'un mandat légal clair et de moyens réels, avec des compétences d'orientation, de coordination et, lorsque la loi le prévoit, de contrôle ou de sanction ; à préserver les attributions des régulateurs sectoriels ; et à rendre les interfaces entre institutions obligatoires et testables.

L'objectif n'est pas la concentration symbolique des pouvoirs, mais la clarté de la chaîne de décision.

Trois priorités concrètes pour les régulateurs africains

Du cadre réglementaire à une coordination mise à l’épreuve.

1. Rendre les obligations opérationnelles et mesurables

Préciser les catégories d'acteurs concernés, les exigences minimales, les niveaux de gravité des incidents, les délais de notification, les modalités d'audit et les échéances de remédiation. Prévoir des obligations proportionnées au risque et des formulaires utilisables, plutôt que des prescriptions trop générales pour être contrôlées.

2. Formaliser une chaîne de responsabilité interinstitutionnelle

Mettre par écrit, pour les principaux scénarios de crise, qui reçoit l'alerte, qui analyse, qui décide, qui coordonne et qui communique. Tester ensuite cette répartition lors d'exercices réunissant l'autorité cyber, les régulateurs, les CSIRT, les exploitants critiques et, lorsque c'est pertinent, les services d'enquête. Le schéma de gouvernance doit fonctionner avant le premier incident majeur.

3. Contrôler la sécurité des équipements pendant tout leur cycle de vie

L'homologation radio traditionnelle traite notamment de la sécurité électrique, de la compatibilité électromagnétique et de l'utilisation du spectre. Elle ne suffit pas, à elle seule, à apprécier l'ensemble du risque lié au firmware, aux mises à jour et aux dépendances numériques.

Pour les équipements connectés, les autorités peuvent progressivement faire évoluer leurs exigences, selon leurs compétences et les textes applicables, autour de questions précises :

Quelle durée de support et de mises à jour de sécurité le fabricant garantit-il ?
Comment les vulnérabilités peuvent-elles lui être signalées et comment informe-t-il les utilisateurs ?
Les accès distants, les comptes par défaut et les privilèges d'administration sont-ils maîtrisables ?
Les mises à jour sont-elles authentifiées et protégées contre la modification ?
Quelles fonctions cessent de marcher si le cloud du fournisseur est indisponible ?
Quel plan existe en cas de fin de support ou d'arrêt d'activité du fabricant ?

Ces points ne doivent pas être transformés mécaniquement en exigences identiques pour tous les produits. Ils constituent une base de dialogue entre responsables de l'homologation, équipes cyber, acheteurs publics et exploitants d'infrastructures essentielles.

Ce que je retiens

L'Afrique ne manque pas de textes fondateurs. Elle a surtout besoin de les traduire en mécanismes cohérents, financés et effectivement exercés. L'Union africaine ouvre des perspectives de convergence ; le Mozambique structure son dispositif national ; la RDC travaille sur des prescriptions plus concrètes ; l'Europe montre, à travers ses incidents et son évolution réglementaire, combien la sécurité des produits connectés est devenue un sujet de gouvernance.

Une stratégie ne détecte pas un incident. Une loi ne coordonne pas, à elle seule, une réponse. Et une homologation technique ne garantit pas toute la sécurité d'un produit connecté.

La maturité se reconnaît dans ce qui suit : des responsabilités connues, des obligations applicables, des compétences disponibles, des équipements suivis dans la durée et des institutions capables d'agir ensemble.

C'est à cette condition que la régulation numérique peut devenir un véritable instrument de résilience pour les États africains.