Tunisie : nouvelles mesures pour la protection des systèmes numériques publics contre les cybermenaces
La cheffe du gouvernement, Sarra Zaafrani Zenzri, a récemment émis une circulaire destinée à renforcer la sécurité des systèmes numériques au sein des institutions publiques, en réponse aux menaces cybernétiques de plus en plus fréquentes. Ce document, daté du 2 septembre 2026, souligne l’importance de protéger les sites web officiels ainsi que les plateformes de services publics, tout en assurant la continuité de ces services pour les citoyens et les organismes.
La circulaire impose des mesures strictes concernant la protection des plateformes électroniques, la messagerie officielle et la prévention des cyberattaques. Elle s’adresse directement aux ministres, secrétaires d’État, gouverneurs, ainsi qu’aux présidents des établissements et entreprises publics.
Pour ce qui est des sites et plateformes électroniques, il est stipulé qu’ils doivent être exclusivement hébergés par le Centre national de l’informatique, des centres publics sectoriels ou des opérateurs de télécommunications agréés. Des dérogations peuvent être accordées dans des cas spécifiques liés à des enjeux de sécurité nationale. De plus, l’adoption du protocole HTTPS et l’activation de l’authentification multifacteur (MFA) pour tous les utilisateurs et administrateurs sont désormais obligatoires. Un audit annuel complet des systèmes est également requis, à réaliser par des organismes certifiés par l’Agence nationale de la cybersécurité, avant tout lancement de version majeure.
Concernant la messagerie officielle, la circulaire interdit formellement l’utilisation des réseaux sociaux et des applications mobiles pour la circulation de documents administratifs. L’utilisation de la messagerie électronique nationale, sous le domaine « .tn », est désormais obligatoire pour toutes les communications officielles. Les bases de données des comptes doivent être régulièrement mises à jour, avec désactivation des comptes inactifs et ceux des agents ayant quitté leurs fonctions. Les fonctionnalités d’enregistrement et d’archivage des opérations doivent également être activées.
Pour lutter contre les attaques par déni de service distribué (DDoS), il est recommandé de souscrire à des services de protection adéquats. La circulaire insiste également sur la nécessité de renforcer les mécanismes de prévention et de réponse aux incidents cybernétiques, en exigeant une notification immédiate à l’Agence nationale de la cybersécurité en cas d’incident. Le partage des comptes d’accès est prohibé, et il est conseillé d’isoler les bases de données sensibles des réseaux externes, conformément aux normes internationales.
Les structures publiques doivent également élaborer et mettre à jour leurs plans de continuité d’activité et de reprise après sinistre. Une coordination préalable avec le ministère des Technologies de la communication est requise pour tout projet pouvant affecter les infrastructures numériques. De plus, il est recommandé d’organiser régulièrement des sessions de formation et des campagnes de sensibilisation pour les agents et cadres, intégrées dans les plans annuels de formation.
Enfin, les autorités soulignent l’importance de mobiliser les ressources humaines, techniques et financières nécessaires pour assurer la mise en œuvre et la durabilité des exigences en matière de cybersécurité. Ces mesures visent à renforcer la protection des systèmes et des données nationales face aux cybermenaces, tout en garantissant la continuité des services publics.