Cybersécurité : le grand tournant pour l’administration ?

LE 2 septembre 2026, la Cheffe du gouvernement a promulgué la circulaire n°5 avec une ambition claire, celle de bâtir une véritable forteresse numérique autour de l’administration tunisienne. Des sites officiels aux plateformes de services publics, en passant par les messageries d’État, l’ensemble du dispositif public est désormais soumis à un niveau d’exigence inédit.

Entre la généralisation des connexions cryptées, le renouvellement obligatoire des serrures numériques de sécurité, la double vérification pour l’accès des administrateurs, la protection contre le piratage par saturation de trafic et l’obligation d’héberger les données sur des serveurs agréés par l’État, l’exécutif verrouille chaque accès pour mettre les services publics à l’abri de toute attaque informatique. 

Sur le papier, la stratégie paraît solide et complète. Elle s’attaque aux principaux points faibles de l’administration à travers trois priorités complémentaires. D’abord, elle sécurise les sites et portails publics. Ensuite, elle assainit les échanges de documents officiels en interdisant définitivement l’usage de messageries comme WhatsApp ou les réseaux sociaux. Enfin, elle renforce l’organisation interne grâce à des audits réguliers, le signalement immédiat des problèmes à l’Agence nationale de la sécurité cybernétique et la fin du partage d’identifiants entre collègues.

Le texte ne sort pas de nulle part. Il s’inscrit dans une filiation juridique précise, du décret de 2023 sur la cybersécurité à la loi de 2004 sur la protection des données personnelles, en passant par le cadre de l’échange électronique de 2020. Cette continuité rhétorique donne à la circulaire des allures de rappel à l’ordre plus que de nouveauté. Une précédente circulaire, la n°24 de 2020, portait déjà sur le renforcement de la sécurité informatique dans les structures publiques. Six ans plus tard, il a fallu en écrire une nouvelle.

Pourquoi maintenant ? Le texte répond à une pression bien réelle. La numérisation accélérée des services publics tunisiens élargit chaque année la surface d’attaque de l’État, dans un contexte régional où les cyberattaques contre les administrations se multiplient. Six ans après la circulaire n°24 de 2020, dont l’application est restée largement incomplète, ce texte agit moins comme une nouveauté que comme une remise à niveau devenue urgente, alignée sur le décret de 2023 relatif à la cybersécurité et sur les recommandations techniques de l’Agence nationale de la sécurité cybernétique.

Ses mérites sont réels. En imposant des standards précis (Https généralisé, authentification multifactorielle, audits obligatoires avant toute mise en ligne, signalement immédiat des incidents), la circulaire donne, enfin, un cadre opérationnel unique à des pratiques jusque-là disparates d’une administration à l’autre.

L’interdiction de faire transiter des documents officiels par WhatsApp ou les réseaux sociaux referme, elle, une brèche connue de tous mais rarement nommée aussi frontalement dans un texte officiel. Pour les structures qui s’y conformeront, le niveau de protection s’en trouvera mécaniquement relevé.

Nonobstant, une circulaire relève toujours de l’instruction administrative. Son efficacité dépendra donc entièrement de la volonté et, surtout, des moyens, des structures publiques concernées, dont beaucoup gèrent encore leurs sites sur des infrastructures vieillissantes, avec des équipes réduites et sans budget dédié à la cybersécurité.