La cybersécurité nationale est une capacité d’État

Imaginons un lundi matin, dans une capitale ouest-africaine, à quelques jours de la fin du mois. Le système de paie de la fonction publique est chiffré par un rançongiciel : des dizaines de milliers d’agents ignorent s’ils seront payés. L’opérateur de téléphonie mobile, dont le réseau porte l’essentiel des transferts de mobile money, suspend une partie de ses services par précaution, et les commerçants des marchés ne peuvent plus encaisser. Le système douanier est hors ligne, les camions s’accumulent à la frontière. Le centre hospitalier universitaire revient au papier. Et personne ne sait encore avec certitude qui coordonne la réponse, qui s’adresse au public, ni si les sauvegardes sont exploitables.

Le scénario est fictif, mais aucun de ses éléments ne l’est. En 2022, le Costa Rica a dû décréter l’urgence nationale après une attaque par rançongiciel qui avait paralysé plusieurs institutions publiques, dont son ministère des Finances, perturbant notamment la collecte des impôts et les opérations douanières.

À cet instant, la question n’est plus de savoir si un pays dispose d’une stratégie de cybersécurité. Elle est de savoir s’il dispose d’une capacité.

Le mot « cybersécurité » s’est installé dans le vocabulaire des États, des organisations internationales et des entreprises. C’est une évolution nécessaire : à mesure que les administrations se numérisent, que les économies dépendent des réseaux et que les infrastructures physiques sont pilotées par des systèmes numériques, la sécurité du cyberespace devient indissociable du fonctionnement normal d’un pays. Mais cette banalisation comporte un risque : parler beaucoup de cybersécurité sans préciser ce que signifie réellement construire la cybersécurité d’un État.

Celle-ci ne se réduit ni à un sujet informatique, ni à une succession de projets, ni à une réponse ponctuelle aux menaces du moment. Elle relève de la continuité de l’État, de la résilience économique, de la protection des citoyens, de la confiance numérique et, de plus en plus, de la souveraineté. Elle doit donc être pensée comme une capacité d’État. Or une capacité d’État ne se décrète pas : elle se construit dans la durée.

1. Avant de sécuriser, savoir ce que l’on veut préserver

La première question d’une politique cyber nationale n’est pas technologique. Elle est politique : quels intérêts numériques le pays considère-t-il comme essentiels ?

Ses réseaux de télécommunications, ses systèmes financiers et de paiement mobile, ses infrastructures énergétiques, ses registres d’identité, ses systèmes de santé, ses plateformes gouvernementales, ses processus électoraux, ses capacités de défense ? Probablement plusieurs d’entre eux. Mais aucun État ne dispose de ressources illimitées. Il doit donc connaître ses actifs essentiels, ses dépendances, ses vulnérabilités et les conséquences qu’aurait leur indisponibilité ou leur compromission, puis hiérarchiser.

C’est ici que la cybersécurité rejoint directement la souveraineté. Un pays qui ignore où sont hébergées ses données critiques, de quelles technologies dépendent ses services essentiels, quelles entreprises contrôlent certaines composantes stratégiques ou quelles compétences lui manqueraient en pleine crise ne maîtrise qu’imparfaitement son exposition numérique.

La souveraineté numérique ne signifie pas pour autant tout produire nationalement, tout héberger localement ou refuser toute technologie étrangère : une telle vision serait intenable dans un écosystème mondial profondément interdépendant. Elle commence plutôt par la capacité de connaître ses dépendances, d’en mesurer les risques, de faire des choix éclairés et de conserver des marges de décision lorsqu’une dépendance devient critique.

2. La doctrine donne une cohérence aux décisions

Doctrine et stratégie sont souvent employées comme synonymes. Elles ne remplissent pas la même fonction.

Une doctrine exprime les principes durables à partir desquels un État pense et arbitre les questions cyber. Quelle place la cybersécurité occupe-t-elle dans la sécurité nationale ? Jusqu’où le pays accepte-t-il certaines dépendances technologiques ? Comment articule-t-il sécurité, développement économique et libertés fondamentales ? Quelle responsabilité attribue-t-il à l’État, aux opérateurs privés et aux citoyens ? Quelle position entend-il défendre dans les enceintes internationales ?

La doctrine n’est donc pas un catalogue de projets. C’est un cadre intellectuel qui préserve la cohérence lorsque les technologies, les gouvernements, les menaces ou les priorités du moment changent. La stratégie, elle, organise l’action sur un horizon donné : objectifs, priorités, responsabilités, moyens, calendrier, résultats attendus.

La doctrine dit selon quels principes décider. La stratégie dit comment progresser vers un objectif.

Cette question dépasse largement la technique. En février 2024, l’Union africaine a endossé une Position africaine commune sur l’application du droit international dans le cyberespace, préalablement adoptée par son Conseil de paix et de sécurité, tout en encourageant ses États membres à élaborer leurs propres positions nationales. La maturité cyber se joue donc aussi dans la capacité à formuler et à défendre une lecture politique et juridique du cyberespace.

3. La stratégie transforme la vision en politique publique

Une fois les principes posés vient la stratégie nationale. Comme je le soulignais dans mon analyse du Guide to Developing a National Cybersecurity Strategy, une stratégie nationale de cybersécurité n’est pas un document cyber : c’est une politique publique. Elle doit en avoir toutes les exigences : comprendre le contexte, fixer une vision et des objectifs, attribuer des responsabilités, mobiliser des ressources, organiser l’exécution et mesurer les résultats.

La troisième édition de ce guide, publiée en décembre 2025 par l’UIT, la Banque mondiale et une coalition de 37 organisations, confirme ce déplacement. Elle met l’accent sur les feuilles de route de mise en œuvre, la mesure et l’amélioration continue, la coopération transfrontalière et, plus nettement qu’auparavant, sur le financement pluriannuel de la stratégie, aligné sur les cycles budgétaires nationaux. Selon les données du Global Cybersecurity Index qu’elle cite, quelque 136 pays disposent désormais d’une stratégie nationale.

La question n’est donc plus : « faut-il une stratégie nationale de cybersécurité ? » Elle devient : « cette stratégie transforme-t-elle effectivement la capacité du pays à gérer son risque numérique ? »

Une stratégie produit de la valeur lorsqu’elle modifie la réalité : quand les responsabilités deviennent plus claires, que les risques critiques sont mieux connus, que les infrastructures essentielles gagnent en résilience, que les incidents sont mieux gérés et que l’État peut mesurer cette évolution. À l’inverse, une stratégie dont les actions ne sont rattachées à aucune ligne budgétaire reste une déclaration d’intention.

4. Le droit transforme l’intention en responsabilité

La doctrine oriente, la stratégie organise, le droit donne l’assise. Il fixe les obligations, les pouvoirs, les garanties et les limites.

Qui doit protéger quoi ? Quelles obligations pèsent sur les opérateurs d’infrastructures essentielles ? Dans quels délais un incident doit-il être déclaré ? Comment les données personnelles sont-elles protégées ? Quelles infractions numériques sont sanctionnées, et comment la preuve numérique est-elle préservée ? Quelle coopération judiciaire engager lorsqu’une attaque traverse plusieurs juridictions ? Ces réponses déterminent la capacité d’un pays à passer de la recommandation à l’obligation.

Pour l’Afrique, la Convention de l’Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo, est un texte fondateur. Adoptée le 27 juin 2014 et entrée en vigueur le 8 juin 2023, elle couvre les transactions électroniques, la protection des données, la cybersécurité et la cybercriminalité.

Dans Convention de Malabo : ratifier, gouverner, protéger, je me suis intéressé moins au texte lui-même qu’à la chaîne qui mène de l’engagement juridique à la capacité effective : un texte doit se traduire en choix stratégiques ; ces choix doivent désigner des responsables ; ces responsables doivent disposer de moyens ; et ces moyens doivent produire une capacité observable. Qu’un seul maillon cède, et c’est l’ensemble qui s’affaiblit. Faire passer les cadres normatifs africains du stade de l’engagement à celui de l’exécution sera l’un des grands chantiers des prochaines années.

5. L’architecture institutionnelle : qui fait quoi ?

La cybersécurité traverse par nature l’appareil d’État : numérique, sécurité et défense, mais aussi justice, télécommunications, protection des données, finances, énergie, transports, régulateurs sectoriels et opérateurs d’infrastructures essentielles. Concentrer toutes ces responsabilités dans une seule institution serait aussi artificiel que de les laisser évoluer sans coordination.

L’enjeu est de bâtir une architecture de responsabilités. Un pays a besoin d’une autorité ou d’un mécanisme clairement mandaté pour coordonner la cybersécurité nationale. Cette autorité doit s’articuler avec les autres fonctions : cyberdéfense, lutte contre la cybercriminalité, protection des données, régulation sectorielle, protection des infrastructures critiques, gestion de crise, diplomatie et renseignement. Ces fonctions ne doivent être ni confondues, ni cloisonnées.

Un test simple permet d’en juger : à trois heures du matin, face à un incident qui touche à la fois un opérateur télécom et une banque, qui décide, qui informe qui, et qui arbitre en cas de désaccord ? Si la réponse dépend des personnes plutôt que des mandats, l’architecture n’est pas encore mûre.

Le Global Cybersecurity Index 2024 de l’UIT évalue les États selon cinq piliers : juridique, technique, organisationnel, développement des capacités et coopération. Plus qu’un classement, cette grille rappelle un principe : aucune dimension, prise isolément, ne suffit à qualifier la maturité cyber d’un État.

6. Penser la capacité avant, pendant et après la crise

Aucune architecture sérieuse ne peut promettre qu’aucun incident majeur ne surviendra. La vraie question est donc : que se passe-t-il lorsque la prévention échoue ?

Un État mature sait détecter les situations susceptibles de devenir systémiques, partager l’information, décider sous contrainte, coordonner de multiples organisations, maintenir les services prioritaires, communiquer de façon maîtrisée, restaurer les capacités touchées et tirer les enseignements de la crise. La résilience déplace le raisonnement : il ne s’agit plus seulement de réduire la probabilité de l’incident, mais aussi d’en limiter l’impact et d’accélérer le retour à un fonctionnement acceptable.

Cela suppose de connaître les interdépendances. Un service essentiel dépend d’un opérateur télécom ; l’opérateur dépend de l’électricité ; le réseau électrique dépend lui-même des télécommunications ; et beaucoup d’acteurs partagent les mêmes fournisseurs de cloud, de logiciels ou de services de confiance. Dans un tel système, la somme des sécurités individuelles ne garantit pas la sécurité collective. La cybersécurité nationale doit traiter les risques systémiques, pas seulement les vulnérabilités individuelles.

Enfin, une capacité qui n’a jamais été exercée reste hypothétique. Les exercices de crise réguliers, associant administrations et opérateurs, sont souvent le moyen le plus rapide de découvrir qu’un plan existe sur le papier mais pas dans les réflexes.

7. La chaîne d’approvisionnement, enjeu de souveraineté

Les États devront porter davantage d’attention à ce qui se trouve en amont de leurs systèmes : logiciels, équipements de télécommunications, composants électroniques, plateformes cloud, bibliothèques open source, services d’identité, intégrateurs, mises à jour. Chacun constitue une dépendance.

Il ne s’agit pas de considérer tout fournisseur étranger comme une menace, mais de reconnaître qu’une dépendance stratégique non maîtrisée peut devenir un risque national. Cela appelle une analyse fine : criticité du service, possibilité de substitution, maîtrise des configurations, localisation et gouvernance des données, accès aux mises à jour, clauses contractuelles, concentration des fournisseurs, continuité du support et capacité nationale à auditer les technologies utilisées. C’est là que cybersécurité, politique industrielle et souveraineté numérique se rencontrent.

Un pays n’a pas besoin de fabriquer chaque composant qu’il utilise. Il doit en revanche savoir classer ses dépendances :

8. Les compétences sont une infrastructure stratégique

Une dimension moins visible qu’un câble sous-marin ou un centre de données est probablement plus déterminante sur le long terme : les femmes et les hommes qui conçoivent, gouvernent, exploitent, contrôlent et sécurisent le cyberespace.

Un pays peut acquérir de la technologie, recourir à une expertise externe, nouer des partenariats. Mais une part de sa capacité cyber doit être maîtrisée par ses propres ressources humaines. Cela concerne les experts techniques (réseaux, cloud, sécurité applicative, réponse à incident, investigation numérique, systèmes industriels, télécommunications, IoT), mais aussi les responsables de la gouvernance et du risque, les juristes, les magistrats, les enquêteurs, les chercheurs, les diplomates et les décideurs publics.

La cybersécurité est devenue suffisamment critique pour exiger une véritable professionnalisation. La compétence ne se présume pas à partir d’un intitulé de poste : elle se construit par la formation, l’expérience, l’exposition à des situations réelles, la mise à jour permanente des connaissances et, selon les métiers, par la certification ou la qualification. Ce n’est pas une question de personnes, mais de gouvernance : plus une fonction touche à des actifs stratégiques, plus l’organisation doit s’assurer que responsabilité, expertise et autorité sont alignées. La cybersécurité supporte mal l’approximation, parce que ses erreurs sont rarement confinées à celui qui les commet.

9. L’Afrique doit développer ses capacités, mais aussi sa pensée cyber

L’enjeu africain dépasse la formation de compétences techniques. Le continent doit aussi produire davantage de doctrine, de recherche, de données, de cadres de référence et de positions juridiques sur son propre cyberespace.

Ce travail est engagé. La Stratégie de transformation numérique pour l’Afrique 2020-2030 inscrit le numérique dans une ambition continentale de développement et d’intégration. La Convention de Malabo fournit un cadre juridique. La Position africaine commune porte une voix africaine dans les discussions normatives mondiales. Au sein de Smart Africa, l’African Network of Cybersecurity Authorities (ANCA) a adopté début 2025 une constitution et une stratégie quinquennale pour coordonner les autorités nationales, harmoniser les politiques et faciliter le partage de renseignement sur les menaces ; en 2026, Smart Africa le présente comme une infrastructure continentale en voie d’opérationnalisation.

Cette dynamique doit être amplifiée. Un continent qui ne produit pas sa propre pensée stratégique finit par importer non seulement des technologies, mais aussi les grilles d’analyse à travers lesquelles il interprète ses propres problèmes. Or les contextes africains ont leurs spécificités : poids du mobile et des paiements mobiles, structure des économies, état des infrastructures, capacités publiques, langues, géographie, systèmes juridiques, contraintes budgétaires. Les bonnes pratiques internationales sont indispensables, mais elles doivent être contextualisées plutôt que reproduites.

10. La coopération n’est pas le contraire de la souveraineté

Cette autonomie de pensée n’est pas l’isolement. Le cyberespace est sans doute le domaine où l’idée d’une sécurité strictement nationale atteint le plus vite ses limites : les infrastructures traversent les frontières, les fournisseurs sont mondiaux, les attaques transitent par plusieurs juridictions, les preuves se trouvent souvent à l’étranger et une même vulnérabilité touche simultanément des milliers d’organisations.

La coopération est donc une composante de la souveraineté cyber. Un État souverain est un État capable de choisir ses coopérations, de négocier depuis une position informée et de participer aux mécanismes internationaux sans perdre la maîtrise de ses intérêts essentiels. Le Pacte numérique mondial, adopté par les Nations Unies en 2024, associe d’ailleurs explicitement transformation numérique, sécurité, droits humains et coopération multipartite.

La cyberdiplomatie devient ainsi une capacité à part entière. L’Afrique ne doit pas seulement être concernée par les normes internationales du cyberespace : elle doit contribuer à les écrire.

11. Mesurer ce que signifie « progresser »

Combien d’États peuvent répondre simplement à cette question : sommes-nous réellement plus cyber-résilients qu’il y a trois ans ? Une hausse du budget ne le démontre pas. Le nombre de projets non plus. Il faut des indicateurs qui mesurent des effets, pas des moyens. Par exemple :

Il faut aussi accepter qu’une stratégie produise des résultats insuffisants et soit révisée : c’est un signe de maturité, non d’échec. Les technologies changent, comme l’illustrent l’intelligence artificielle et la prolifération des objets connectés ; les adversaires s’adaptent ; de nouvelles dépendances apparaissent. Une politique cyber doit être capable d’apprendre.

Cinq signaux d’une capacité seulement apparente

1. Une stratégie adoptée, mais aucune action rattachée à une ligne budgétaire.
2. Une agence créée, mais sans mandat clair vis-à-vis des régulateurs et des opérateurs.
3. Une loi votée, mais sans textes d’application ni autorité pour la faire respecter.
4. Un CERT national, mais sans obligation de notification des incidents ni lien opérationnel avec les opérateurs essentiels.
5. Des plans de crise rédigés, mais jamais exercés.

12. De la cybersécurité à la capacité d’État

Je résumerais la construction d’une capacité cyber nationale par une chaîne de cohérence :

Intérêts nationaux → vision → doctrine → stratégie → droit → gouvernance → capacités opérationnelles → compétences → coopération → évaluation et apprentissage.

Aucun maillon ne suffit seul, et chacun doit alimenter le suivant. Une doctrine sans capacité d’exécution reste théorique. Une stratégie sans ressources reste déclarative. Une institution sans mandat clair devient fragile. Une technologie sans compétences crée de nouvelles dépendances. Des compétences sans gouvernance restent dispersées. Une politique sans mesure ne permet pas de savoir si le risque diminue. C’est cette cohérence qui transforme une succession d’initiatives cyber en capacité nationale de cybersécurité.

Le véritable enjeu : pouvoir continuer à décider

Revenons à notre lundi matin. Le pays qui le traverse sans perdre pied n’est pas celui qui avait le plus de technologies. C’est celui qui savait ce qu’il devait protéger, qui avait désigné à l’avance qui décide, qui disposait de professionnels capables d’agir, d’un droit pour encadrer l’action, de partenaires prêts à coopérer, et qui s’était déjà entraîné.

La question cyber porte finalement moins sur la sécurité des ordinateurs que sur la capacité d’une société numérique à continuer de fonctionner lorsque son environnement devient hostile. La souveraineté numérique ne consiste pas à prétendre être indépendant de tout. Elle consiste à conserver la capacité de choisir : ses technologies, ses dépendances, ses partenaires, ses priorités, les risques que l’on accepte et ceux que l’on refuse. Et à conserver, au cœur même d’une crise majeure, la capacité de protéger les intérêts essentiels de la Nation.

C’est à ce niveau que la cybersécurité cesse d’être un sujet à la mode. Elle devient une fonction stratégique de l’État.

Pour aller plus loin : ces questions de dépendances, de menaces et de choix souverains sont au cœur de mon ouvrage à paraître, Le cyberespace sahélien, un nouveau front. Enjeux, cybermenaces et souveraineté numérique dans l’Alliance des États du Sahel, qui part d’une interrogation : comment transformer une volonté de souveraineté politique en capacité durable à maîtriser son environnement numérique ?

Les analyses et propositions présentées dans cet article sont personnelles et ont une portée générale. Elles ne visent l’action, le dispositif ou l’institution d’aucun État en particulier.

Sources & références

1. Union africaine, Convention sur la cybersécurité et la protection des données à caractère personnel (Convention de Malabo), 2014.
2. UIT, Banque mondiale et partenaires, Guide to Developing a National Cybersecurity Strategy, 3e édition, décembre 2025.
3. UIT, Global Cybersecurity Index 2024.
4. Union africaine, Digital Transformation Strategy for Africa 2020-2030.
5. Union africaine, Position africaine commune sur l’application du droit international au cyberespace, 2024.
6. Smart Africa, Adoption de la constitution et de la stratégie quinquennale de l’ANCA, 2025.
7. Nations Unies, Pacte numérique mondial, 2024.
8. A. K. Mamani Malam Goga, Comprendre et structurer une stratégie nationale de cybersécurité.
9. A. K. Mamani Malam Goga, Convention de Malabo : ratifier, gouverner, protéger.

À LIRE ÉGALEMENT

Attaques par canaux auxiliaires et sécurité matérielle →Analyse en boîte noire de la puce MJA1 de Xiaomi →