1. Une panne informatique n'est jamais « juste une panne »

Imaginons une banque dont le système informatique tombe pendant quelques heures.

C'est grave.

Mais la banque dispose généralement de procédures de continuité, de systèmes de secours, de sauvegardes, de plans de reprise et d'équipes spécialisées.

Maintenant imaginons que le système concerné permette de produire ou de gérer des documents d'identité.

La nature du problème change.

L'identité n'est pas un service parmi d'autres.

Elle conditionne l'accès à de nombreux autres services.

Une interruption peut donc avoir des conséquences en cascade :

Enlarge

Plus une infrastructure devient fondamentale, plus sa disponibilité devient une question d'intérêt national.

2. Ce que nous savons sur l'incident de la DAF

Le 5 février 2026, la Direction de l'Automatisation des Fichiers a publié un communiqué indiquant qu'un incident avait été constaté dans son système.

La production des cartes nationales d'identité a été momentanément suspendue.

Le communiqué précisait également que les services techniques travaillaient au rétablissement de la situation et qu'une enquête avait été ouverte. Les autorités affirmaient par ailleurs que les données personnelles demeuraient intactes.

C'est le niveau de certitude que nous pouvons établir à partir de la communication officielle.

Ensuite, les informations médiatiques ont été beaucoup plus alarmantes.

Des cybercriminels se présentant comme The Green Blood Group ont revendiqué l'attaque et affirmé avoir exfiltré jusqu'à 139 téraoctets de données. Cette affirmation a largement circulé dans la presse.

Mais il faut faire une distinction essentielle :

une revendication d'attaquant n'est pas une preuve indépendante de compromission ou de l'étendue exacte d'une exfiltration.

Cette nuance est importante.

Dans un sujet aussi sensible que l'identité nationale, la rigueur journalistique et technique impose de séparer :

🟢 ce qui est confirmé ;

🟡 ce qui est rapporté ;

🔴 ce qui reste à démontrer.

3. Le vrai problème n'est pas seulement le vol de données

Lorsque nous parlons de cyberattaque, notre première réaction est souvent :

« Est-ce que les données ont été volées ? »

C'est évidemment une question essentielle.

Mais une infrastructure d'identité doit protéger au moins trois propriétés :

Confidentialité

Les données ne doivent pas être accessibles à des personnes non autorisées.

Intégrité

Les données ne doivent pas pouvoir être modifiées frauduleusement.

Disponibilité

Le service doit rester accessible lorsque les citoyens et les institutions en ont besoin.

On peut ajouter une quatrième dimension :

Traçabilité

Il doit être possible de savoir qui a fait quoi, quand et dans quel contexte.

Une infrastructure peut donc être compromise sans nécessairement connaître le même niveau de dommage sur ces quatre dimensions.

Et chacune nécessite des mécanismes de protection différents.

4. La disponibilité est elle aussi une question de souveraineté

Imaginons que les données soient parfaitement protégées.

Mais que le système soit indisponible pendant une semaine.

Les données sont peut-être toujours là.

Le système est peut-être toujours sécurisé.

Mais le service ne fonctionne plus.

Cela pose une question fondamentale :

À quoi sert une infrastructure nationale si le citoyen ne peut pas l'utiliser lorsque le pays en a besoin ?

La souveraineté numérique ne signifie donc pas uniquement :

« Nos données sont hébergées chez nous. »

Elle signifie aussi :

« Nous sommes capables de maintenir, contrôler, restaurer et faire évoluer les services critiques dont le pays dépend. »

C'est une définition beaucoup plus exigeante.

5. La souveraineté ne signifie pas « tout construire soi-même »

C'est ici qu'il faut éviter un autre raccourci.

On pourrait conclure :

« Pour être souverain, le Sénégal doit tout développer lui-même. »

Ce n'est pas nécessairement vrai.

Un pays peut utiliser des technologies étrangères tout en conservant une capacité réelle de contrôle.

La vraie question est :

Sommes-nous capables de comprendre, exploiter, sécuriser, auditer et restaurer notre infrastructure ?

Prenons un logiciel critique.

Le problème n'est pas nécessairement qu'il soit développé à l'étranger.

Le problème apparaît si :

• personne localement ne comprend son architecture ;
• les compétences sont entièrement externalisées ;
• la documentation est insuffisante ;
• les clés cryptographiques sont hors de contrôle ;
• les sauvegardes ne sont pas maîtrisées ;
• le contrat ne prévoit pas de réversibilité ;
• le fournisseur devient indispensable au moindre incident ;
• le pays ne peut pas restaurer le service sans son intervention.

Dans ce cas, le pays possède peut-être le système.

Mais possède-t-il réellement la capacité opérationnelle de le maîtriser ?

6. Le risque du « fournisseur indispensable »

C'est l'un des sujets les plus difficiles à aborder parce qu'il nécessite des informations contractuelles et techniques qui ne sont généralement pas publiques.

Il ne faut donc pas affirmer qu'un fournisseur particulier est responsable d'un manque de souveraineté sans preuves.

Mais on peut poser une question légitime :

Que se passe-t-il si notre fournisseur principal disparaît demain ?

Ou :

Que se passe-t-il si le fournisseur refuse ou ne peut plus intervenir ?

Ou encore :

Combien de temps faudrait-il à une équipe sénégalaise pour reprendre le système ?

Ces questions devraient faire partie des critères d'architecture des infrastructures critiques.

7. Le test ultime : pouvons-nous reconstruire ?

Une bonne architecture critique devrait pouvoir répondre à une question simple :

Si le système principal est entièrement détruit demain, combien de temps faut-il pour revenir à un état opérationnel ?

Pas seulement restaurer quelques fichiers.

Restaurer :

• les applications ;
• les bases de données ;
• les configurations ;
• les certificats ;
• les clés ;
• les secrets ;
• les dépendances ;
• les interfaces ;
• les règles d'accès ;
• les journaux ;
• les sauvegardes ;
• les procédures opérationnelles.

Et surtout :

les personnes capables de faire fonctionner tout cela.

C'est ce qu'on appelle la capacité de reprise.

8. Backup ≠ Disaster Recovery

C'est une distinction souvent sous-estimée.

Avoir une sauvegarde signifie :

« Nous avons une copie des données. »

Avoir un plan de reprise signifie :

« Nous savons comment reconstruire le service. »

Les deux ne sont pas équivalents.

Une sauvegarde peut être :

• inutilisable ;
• trop ancienne ;
• corrompue ;
• inaccessible ;
• chiffrée par le même attaquant ;
• dépendante d'un système qui n'existe plus.

Un véritable plan de reprise doit donc être régulièrement testé.

Il faut connaître notamment :

RPO — Recovery Point Objective

Combien de données pouvons-nous nous permettre de perdre ?

Et :

RTO — Recovery Time Objective

Combien de temps pouvons-nous rester indisponibles ?

Pour une infrastructure nationale d'identité, ces valeurs ne devraient pas être définies uniquement par une équipe informatique.

Elles devraient être définies selon l'impact sur les citoyens et les services essentiels.

9. Et si l'identité devenait une dépendance unique ?

C'est ici que notre article précédent devient particulièrement important.

Nous avons expliqué qu'une identité numérique pourrait devenir une infrastructure réutilisable par de nombreux services.

C'est extrêmement puissant.

Mais cela crée également un risque.

Plus les services dépendent d'une même infrastructure d'identité, plus une interruption peut avoir un effet systémique.

C'est le paradoxe de l'infrastructure :

Plus elle réussit, plus son indisponibilité devient coûteuse.

C'est exactement pourquoi une future infrastructure nationale d'identité doit être conçue avec des mécanismes de résilience dès le départ.

Pas ajoutés après une crise.

10. Il faut concevoir pour la panne

Une architecture mature ne demande pas :

« Comment empêcher toute panne ? »

Elle demande :

« Que se passe-t-il lorsque la panne arrive ? »

Parce qu'elle arrivera.

Une cyberattaque arrivera.

Un datacenter tombera.

Un certificat expirera.

Une dépendance externe sera indisponible.

Une erreur humaine sera commise.

Un fournisseur fera faillite.

Un administrateur supprimera quelque chose par erreur.

La question n'est donc pas de construire un système qui ne tombe jamais.

La question est de construire un système qui :

détecte → contient → récupère → apprend → améliore.

11. La résilience doit commencer avant la production

Pour une infrastructure critique, la sécurité ne devrait pas être une étape finale.

Elle devrait être présente dès la conception.

Le New Deal Technologique place d'ailleurs explicitement la confiance numérique et la résilience parmi ses objectifs, avec des orientations portant notamment sur la protection des données, le chiffrement, l'authentification multifacteur, la protection des infrastructures critiques et la capacité de détection et de réponse aux incidents.

Le gouvernement a également réaffirmé en 2026 la nécessité de sécuriser les données et infrastructures critiques du pays et a annoncé l'adoption d'un projet de loi sur la protection des infrastructures d'information critiques et la sécurité numérique.

Cela montre que la question dépasse largement la seule DAF.

Elle concerne l'ensemble de la transformation numérique du pays.

12. Les dix questions que tout système critique devrait pouvoir répondre

Avant de déclarer une infrastructure nationale « souveraine », je poserais au minimum ces dix questions :

1. Qui possède les données ?

2. Qui peut y accéder ?

3. Qui possède les clés cryptographiques ?

4. Où sont les sauvegardes ?

5. Les sauvegardes sont-elles isolées du système principal ?

6. Combien de temps faut-il pour restaurer le service ?

7. Peut-on restaurer le système sans le fournisseur ?

8. Les compétences nécessaires existent-elles localement ?

9. Les procédures de reprise sont-elles testées régulièrement ?

10. Que se passe-t-il si le système principal est totalement compromis ?

Ces questions sont beaucoup plus révélatrices de la souveraineté numérique réelle que la simple localisation d'un datacenter.

13. La souveraineté commence par la réversibilité

Une notion mérite particulièrement d'être mise en avant :

La réversibilité.

Une infrastructure critique doit pouvoir changer de fournisseur, de technologie ou d'architecture sans que le pays perde sa capacité à fonctionner.

Cela implique notamment :

• documentation complète ;
• standards ouverts lorsque possible ;
• APIs documentées ;
• formats de données maîtrisés ;
• procédures d'export ;
• sauvegardes indépendantes ;
• gestion souveraine des clés ;
• compétences internes ;
• contrats prévoyant la réversibilité ;
• exercices de migration.

La dépendance n'est pas toujours mauvaise.

Toute infrastructure moderne dépend de fournisseurs.

Le problème est la dépendance irréversible.

14. La souveraineté n'est pas l'absence de fournisseurs étrangers

Cette distinction est essentielle pour le débat sénégalais.

Le Sénégal n'a pas besoin de produire chaque serveur, chaque processeur ou chaque logiciel.

Ce serait économiquement et techniquement irréaliste.

La souveraineté numérique peut plutôt être pensée comme la capacité à conserver la maîtrise des éléments stratégiques :

données + identité + clés + architecture + compétences + gouvernance + continuité + réversibilité.

On peut utiliser des technologies mondiales tout en construisant cette capacité.

C'est probablement une approche plus réaliste pour un pays qui veut accélérer sa transformation numérique.

15. 🟢 Ce que nous savons

Quelques éléments sont établis.

Premièrement, un incident informatique a bien affecté la DAF en février 2026 et a entraîné la suspension temporaire de la production des cartes nationales d'identité. Une enquête a été ouverte.

Deuxièmement, les autorités ont publiquement affirmé que les données personnelles demeuraient intactes.

Troisièmement, des acteurs se présentant comme les auteurs de l'attaque ont revendiqué une exfiltration massive de données. Cette revendication a été largement relayée mais ne doit pas être confondue avec une confirmation indépendante de l'étendue de la compromission.

Quatrièmement, la stratégie numérique nationale considère officiellement la cybersécurité, la résilience et la protection des infrastructures critiques comme des enjeux de souveraineté.

16. 🟡 Ce que nous pouvons déduire

L'incident de la DAF nous donne surtout une occasion de poser les bonnes questions.

Il nous rappelle qu'une infrastructure d'identité ne doit pas seulement être :

exacte

et

sécurisée.

Elle doit également être :

disponible, récupérable, auditable et réversible.

Et plus le Sénégal développera des services numériques reposant sur une identité commune, plus cette exigence deviendra importante.

17. 🔴 Ce que nous ne savons pas encore

Et c'est peut-être la partie la plus importante.

Les informations publiques disponibles ne permettent pas de répondre précisément à toutes les questions techniques essentielles :

• quelle était la cause exacte de l'incident ?
• quelle était la méthode d'attaque ?
• quels systèmes étaient concernés ?
• quelles données ont réellement été compromises ?
• quelles données ont éventuellement été exfiltrées ?
• quelles sauvegardes existaient ?
• quel était le dispositif de reprise ?
• combien de temps a réellement nécessité le rétablissement ?
• quelles dépendances critiques existaient ?
• quelles mesures correctives ont été mises en place ?
• quels enseignements ont été tirés ?

Ces informations sont importantes.

Non pas pour chercher des responsables à désigner publiquement.

Mais pour apprendre.

Car une cyberattaque peut être un échec de sécurité, mais elle peut aussi devenir une source d'apprentissage systémique.

Une infrastructure nationale doit savoir tomber

Nous avons commencé cette série avec un paradoxe :

Le Sénégal sait déjà faire circuler l'argent à distance. Pourquoi est-il encore si difficile de faire circuler la confiance numérique ?

Dans le deuxième article, nous avons vu qu'une CNI ne constitue pas à elle seule une identité numérique.

Cet article ajoute une troisième dimension :

une identité numérique n'est utile que si l'infrastructure qui la supporte est résiliente.

La vraie souveraineté numérique ne consiste donc pas seulement à dire :

« Nos données sont au Sénégal. »

Elle consiste à pouvoir dire :

« Si quelque chose arrive demain, nous savons détecter, contenir, restaurer et reprendre le contrôle. »

C'est cela, la résilience.

Et c'est peut-être l'une des conditions les plus importantes pour que l'identité numérique devienne réellement une infrastructure publique de confiance.

Dans le prochain article

Article 4 — À qui profite le statu quo numérique ?

Si l'interopérabilité peut simplifier la vie du citoyen, réduire les coûts et accélérer les services numériques, pourquoi les systèmes restent-ils souvent en silos ?

Est-ce uniquement un problème technique ?

Ou existe-t-il aussi des incitations économiques, institutionnelles et organisationnelles qui rendent le statu quo rationnel pour certains acteurs ?

La réponse pourrait être plus complexe — et plus intéressante — qu'une simple histoire de technologie.