Tunisie : de nouvelles mesures pour protéger les systèmes numériques publics contre les cybermenaces
La cheffe du gouvernement, Sarra Zaafrani Zenzri, a publié une circulaire visant à renforcer la sécurisation des systèmes numériques nationaux au sein des structures publiques face aux menaces et risques cybernétiques croissants. Le texte met notamment l’accent sur la protection des sites web officiels et des plateformes électroniques de services publics, ainsi que sur la garantie de la continuité de ces services au profit des citoyens et des institutions.
Datée du 2 septembre 2026, la circulaire prévoit une série de mesures obligatoires concernant la protection des sites et plateformes électroniques, la messagerie officielle et la prévention des cyberattaques. Elle a été adressée aux ministres, secrétaires d’État, gouverneurs ainsi qu’aux présidents des établissements et entreprises publics.
Hébergement sécurisé et authentification multifacteur
Concernant les sites et plateformes électroniques publics, la circulaire prévoit leur hébergement exclusif auprès du Centre national de l’informatique, des centres publics sectoriels ou des opérateurs de télécommunications agréés. Des exceptions sont toutefois prévues pour les cas particuliers dictés par des considérations de sécurité et de défense nationales.
Les structures publiques sont également appelées à adopter le protocole HTTPS et à activer l’authentification multifacteur (MFA) pour l’ensemble des utilisateurs et administrateurs.
Un audit complet des systèmes devra, en outre, être réalisé une fois par an et avant le lancement de toute nouvelle version majeure. Ces audits devront être effectués par des organismes agréés par l’Agence nationale de la cybersécurité.
Messagerie officielle : interdiction du recours aux réseaux sociaux
Sur le volet de la messagerie électronique, la circulaire interdit la circulation ou la publication de documents administratifs via les applications mobiles et les plateformes de réseaux sociaux, afin de sécuriser les correspondances et documents officiels et de limiter les risques de fuite de données.
Elle impose également l’utilisation exclusive de la messagerie électronique nationale officielle relevant du domaine « .tn » pour toutes les transactions et correspondances officielles.
Les bases de données des comptes devront faire l’objet d’une mise à jour régulière. Les comptes inactifs ainsi que ceux appartenant à des agents ayant cessé leurs fonctions devront être désactivés. Les fonctions d’enregistrement et d’archivage des opérations devront également être activées.
Protection contre les attaques DDoS
Afin de renforcer les mesures organisationnelles en matière de cybersécurité, la circulaire prévoit notamment la souscription à des services de protection contre les attaques par déni de service distribué (DDoS).
Elle appelle également au renforcement des mécanismes de prévention et de réponse aux incidents cybernétiques et impose l’information immédiate de l’Agence nationale de la cybersécurité en cas d’incident ou de cyberattaque.
Le texte interdit par ailleurs le partage des comptes d’accès et préconise l’isolement des bases de données sensibles des réseaux externes, conformément aux normes internationales, ainsi que le respect des exigences relatives à l’audit périodique des systèmes d’information.
Des plans de continuité d’activité exigés
Les structures publiques sont, en outre, tenues d’élaborer et de mettre à jour leurs plans de continuité d’activité et de reprise après sinistre.
Une coordination préalable avec le ministère des Technologies de la communication est également requise lors de la mise en œuvre de projets susceptibles d’affecter les infrastructures numériques.
Enfin, la circulaire appelle à organiser régulièrement des sessions de formation et des campagnes de sensibilisation au profit des agents et des cadres et à les intégrer dans les plans annuels de formation.
Les structures publiques devront également mobiliser les ressources humaines et techniques ainsi que les crédits financiers nécessaires à la mise en œuvre et à la pérennisation des exigences en matière de cybersécurité.
À travers ces mesures, les autorités entendent renforcer la protection des systèmes et des données nationales face aux risques cybernétiques et garantir la continuité des services publics.
R.I
