Regard 360° sur l’état actuel de la transformation numérique du Sénégal

La transformation numérique au Sénégal occupe aujourd’hui une place centrale dans les politiques de modernisation de l’État et des services publics. Elle se traduit par la digitalisation progressive de nombreuses procédures, le développement de plateformes en ligne et l’introduction de nouveaux outils technologiques dans l’administration. Ce mouvement dépasse le seul cadre technique. Il implique des changements profonds dans les méthodes de travail, dans la gestion de l’information et dans la relation entre l’État et les citoyens. Il soulève également des questions essentielles liées à la sécurité des systèmes, à la fiabilité des infrastructures, à la gestion des données et à l’adaptation des compétences.

Dans cet entretien, notre invité apporte un regard global sur la transformation numérique du pays. Il revient sur les points importants pour renforcer durablement la sécurité du cyberespace national.

Idy Demba Thiam est expert en cybersécurité et transformation digitale, Fondateur et CEO de Cybernum (Dakar) et de Cyber-4T (Paris). Ingénieur en Automatisme, Électronique et Informatique de l’INSA Toulouse et titulaire d’un master en architecture  logicielle et cybersécurité de Grenoble INP –Ensimag, il est le premier Africain certifié Expert IEC 62443 (cybersécurité industrielle), également CISSP et ISO 27001 Lead Implementer. Après quinze ans d’expérience chez Schneider Electric et GE Power sur des systèmes critiques (énergie, oil & gas, marine, télécoms, rail), il intervient comme formateur cyber pour les Opérateurs d’Importance Vitale (OIV). Ancien Conseiller Senior Digital & Cyber au Ministère de la Communication, des Télécommunications et du Numérique du Sénégal (2024-2025), il a contribué à l’élaboration du New Deal Technologique. 

Africa Cybersecurity Mag : Comment évaluez-vous aujourd’hui l’état réel de la transformation numérique au Sénégal ?

Idy Demba Thiam : Le Sénégal vit une transition réelle mais inégale. La volonté politique est là : avec le New Deal Technologique, le pays s’est doté en 2025 d’une feuille de route structurée — douze programmes prioritaires, une cinquantaine de projets, une enveloppe programmée de 1 105 milliards de francs CFA sur dix ans (2025-2034). C’est un cadre clair, ce qui n’est pas si fréquent dans la sous-région.

Mais l’état réel se mesure à l’exécution, pas à l’ambition. Entre octobre 2025 et juin 2026, ce ne sont plus quatre mais cinq incidents cyber majeurs qui ont touché l’État sénégalais : la DGID, la DAF, la DGCPT, Sénégal Numérique, et tout récemment la Cour des comptes. Cinq institutions au cœur du dispositif financier, régalien et de contrôle. Cette séquence resserrée signale que la transformation digitale, avancée dans ses architectures, reste fragile dans ses fondations. C’est le paradoxe de toute transformation rapide : la surface numérique s’étend plus vite que la capacité à la maîtriser. La vraie question n’est donc pas « digitalise-t-on ? » la réponse est oui mais « digitalise-t-on de façon souveraine et résiliente ? ». C’est là que se joue la réussite des prochaines années, et c’est précisément cette tension que la doctrine Cyber Résilience 360 essaie de nommer.

Africa Cybersecurity Mag : Quelles évolutions concrètes peuvent déjà être observées

Idy Demba Thiam : Plusieurs avancées sont tangibles, et certaines sont très récentes. Sur le plan institutionnel, le Conseil des ministres a adopté le 19 février 2025 la création de GouvNum, comité interministériel de gouvernance du numérique placé sous l’autorité du Premier ministre, chargé de coordonner les initiatives numériques de l’État. C’est l’acte fondateur de la mise en œuvre du NDT, et un signal politique clair : on cesse de laisser chaque ministère construire son SI dans son coin. Plus récemment, le Conseil des ministres du 17 juin 2026 a examiné le projet de loi sur la protection des infrastructures d’information critiques et la sécurité numérique, qui doit poser les bases juridiques d’une protection effective des OIV et des actifs numériques sensibles de l’État. Ces deux pas sont structurants : ils tracent un cadre. Sur le plan opérationnel, la dématérialisation des services progresse : une part majoritaire des centres d’état civil est désormais digitalisée, des procédures fiscales et administratives basculent en ligne, et l’État construit son Infrastructure Publique Numérique  identité électronique, signature, interopérabilité. On voit aussi émerger les briques d’une souveraineté effective : data centers nationaux, montée d’une offre de cloud souverain, volonté d’héberger localement les données sensibles. Et un changement de méthode, peut-être le plus important : une gouvernance qui cherche à passer d’une administration fragmentée à un système intégré, centré sur l’usager et sur la donnée. Ce sont des fondations. Leur valeur dépendra de la rigueur avec laquelle nous les sécurisons et les relations entre elles.

Africa Cybersecurity Mag : À l’inverse, quels sont les blocages structurels qui ralentissent encore cette transformation sur le terrain ?

Idy Demba Thiam : Nous en identifions quatre. Le premier, et le plus profond, est la dépendance technologique : quand les architectures qui hébergent nos fonctions critiques sont conçues, opérées et évoluées hors de notre maîtrise, nous perdons progressivement la capacité d’arbitrer nos propres choix technologiques. Ce n’est pas un problème de normes  nous avons les normes , c’est un problème de maîtrise.

Le deuxième est capacitaire et organisationnel. Le déficit en compétences certifiées localement reste significatif. Et au-delà des compétences individuelles, c’est la maturité organisationnelle qui fait défaut : il est fréquemment observé que les analyses de risques ne sont pas conduites en amont des projets numériques structurants, que les analyses de cause racine après incident sont rares, que les logs critiques sont parfois purgés avant leur exploitation, que la segmentation entre réseaux IT et OT n’est pas systématique. Le troisième est financier. La cyber résilience se discute trop souvent dans des arbitrages budgétaires annuels, alors qu’elle exige une trajectoire pluriannuelle sanctuarisée par loi de programmation, complétée par des cofinancements internationaux structurés.

Le quatrième est plus social. La conduite du changement n’est pas un supplément de communication : sans appropriation par les agents publics, sans inclusion des populations rurales et peu connectées, sans pédagogie sur les usages, la transformation digitale creuse les écarts au lieu de les réduire. Une e-administration qui ne touche pas l’artisan de Kaolack ou la femme du marché de Tambacounda manque sa cible. Aucun de ces quatre blocages n’est insurmontable. Mais aucun ne se règle par décret. Ils appellent une doctrine, des indicateurs, et un engagement politique inscrit dans la durée.

Africa Cybersecurity Mag : Sur le volet cybersécurité, la cybersécurité suit-elle réellement le rythme de la digitalisation des services publics ?

Idy Demba Thiam : Soyons lucides : pas encore au rythme nécessaire. Le décalage entre la vitesse de déploiement des services numériques et la maturité des dispositifs de sécurité est structurel dans la plupart des États engagés dans une transformation digitale rapide. Le Sénégal n’échappe pas à cette tendance, et la séquence des cinq incidents que nous venons d’évoquer en est le symptôme, pas l’exception. Quand on digitalise vite, chaque nouveau service est aussi une nouvelle porte d’entrée.

La raison de fond tient au paradigme dominant. La cybersécurité classique raisonne en 5D Deter, Detect, Deny, Delay, Defeat c’est-à-dire empêcher l’attaque par des couches successives de défense périmétrique. Ce raisonnement reste utile mais il est devenu insuffisant. À l’échelle où nous sommes, la compromission sévère n’est plus une hypothèse à empêcher : elle est devenue un fait à organiser. La doctrine CR-360 propose un pivot  raisonner en 4T : Treat, Transfer, Tolerate, Terminate c’est-à-dire organiser la continuité de la mission quand la compromission survient. La défense périmétrique ne disparaît pas ; elle cesse d’être l’horizon.

Concrètement, cela appelle deux orientations. D’abord, la mutualisation sectorielle des capacités cyber : aucun ministère, aucun opérateur, aucune entreprise sénégalaise ne peut, seul, financer et opérer les capacités cyber qu’exige la situation. Quatre Centres Opérationnels de Sécurité sectoriels  pour le secteur bancaire sous l’égide de la BCEAO, pour les télécommunications sous l’égide de l’ARTP, pour les administrations centrales sous l’égide de l’autorité nationale, pour les industries critiques (énergie, hydrocarbures, mines) sous l’égide des autorités sectorielles  transforment une exigence inaccessible isolément en standard atteignable collectivement. Ensuite, l’instrumentation. Une souveraineté numérique qui ne se mesure pas est une souveraineté qui ne se gouverne pas. CR-360 propose trois indicateurs opérationnels : un Indice de Souveraineté Réelle (ISR), un Seuil de Non-Maîtrise Critique (SNMC), un Taux de Résilience Opérationnelle (TRO). Ce sont des outils, pas des slogans.

Ces orientations doivent aussi se traduire institutionnellement. La création de GouvNum en février 2025 et l’examen du projet de loi sur la protection des infrastructures d’information critiques en juin 2026 témoignent d’une dynamique gouvernementale claire. C’est encourageant, et il faut maintenant aller au bout. La Direction Générale du Chiffre et de la Sécurité des Systèmes d’Information (DCSSI), créée en 2021 et rattachée à la Présidence, porte la fonction cyber avec un engagement constant dans des contraintes de moyens reconnues. Son évolution vers une Agence Nationale de la Cyber Résilience et de l’IA (ANCIA)  logée à la Présidence ou à la Primature, dotée d’autonomie budgétaire, de capacité de

recrutement et d’attraction d’expertise, de pouvoirs propres d’audit et d’opposabilité est, à nos yeux, le passage d’échelle naturel. Et le choix de regrouper la cyber résilience et l’intelligence artificielle dans la même agence n’est pas anecdotique : la décision politique sur ces deux domaines doit s’opérer au même niveau, sous peine de devoir les arbitrer dans le futur entre deux structures concurrentes. Les architectures d’IA et les architectures cyber sont aujourd’hui inséparables ; les gouverner séparément serait introduire une fragmentation que la doctrine doit éviter dès maintenant.

Africa Cybersecurity Mag : Avez-vous un mot pour conclure cette interview ?

Idy Demba Thiam : Un mot et une conviction. La souveraineté numérique ne saurait être une autarcie technologique : c’est d’abord la maîtrise du risque technologique, ensuite la réduction de la dépendance aux solutions étrangères. Et une souveraineté qui ne se mesure pas est une souveraineté qui ne se gouverne pas. Le Sénégal est à un moment charnière, avec une fenêtre stratégique rare. Nous avons les concepts. Nous avons des cadres internationaux dont nous pouvons nous inspirer sans nous y soumettre. Nous avons des femmes et des hommes capables de porter cette ambition. Ce qu’il nous reste à faire, c’est de l’assumer collectivement et politiquement, dans la durée. Les États qui maîtrisent leur cyberespace construisent leur souveraineté ; les autres organisent leur dépendance. À nous de choisir.