Cybersécurité et IA au Bénin : ce que le dispositif national protège, et ce qu’il laisse dehors

Actualités | By |

« Le Bénin qui se numérise devient un Bénin qui s’expose. »

La formule est du ministre de la Transformation digitale et de l’Innovation, Mahuna Akplogan, à l’ouverture de la deuxième Conférence des responsables de la sécurité des systèmes d’information (CRSSI), le 25 juin 2026 à Cotonou. Elle est juste. Elle est aussi incomplète sur un point qui intéresse directement les organisations de la société civile : elle décrit une exposition collective, alors que le dispositif chargé d’y répondre a un périmètre défini — et étroit.

Ce qui s’est tenu à Cotonou

La CRSSI 2026 était organisée par l’Agence des systèmes d’information et du numérique (ASIN), sur le thème « L’IA pour la cybersécurité et la cybersécurité pour l’IA ». Environ cent responsables de la sécurité des systèmes d’information, issus des administrations publiques et du secteur privé, y ont participé.

La veille, un exercice de simulation d’attaque — un cyberdrill d’une journée — a confronté ces responsables à des scénarios d’incident réalistes, aux côtés d’experts nationaux et internationaux. Ce n’est pas un détail protocolaire : c’est la partie la plus concrète de l’événement, et celle qui se transpose le mieux ailleurs.

Marc-André Loko, directeur général de l’ASIN, a insisté sur la coordination entre acteurs publics et privés face à des menaces de plus en plus sophistiquées, en relevant que l’intelligence artificielle constitue à la fois une opportunité et un outil d’attaque d’une puissance considérable.

Le cadre annoncé est cohérent avec la trajectoire de l’État : numérisation des services publics, déploiement de la fibre optique, identité numérique, adoption d’une stratégie nationale d’intelligence artificielle, stratégie nationale de sécurité numérique et politique de protection des infrastructures d’information critiques.

Le tableau de bord national, chiffré

Les discours de conférence se vérifient. Le National Cyber Security Index, produit par la e-Governance Academy à partir de données fournies par les administrations, attribue au Bénin un score de 59,17 sur 100 et un 74ᵉ rang mondial, dans une évaluation mise à jour le 15 avril 2025 — soit quatorze mois avant la CRSSI.

IndicateurScore
Cybersécurité des infrastructures critiques12 / 12
Sécurité des outils numériques (signature électronique, services de confiance)12 / 12
Protection des données personnelles4 / 4
Lutte contre la cybercriminalité11 / 16
Réponse aux incidents9 / 14
Politique de cybersécurité9 / 15
Analyse des menaces et sensibilisation3 / 12
Gestion des crises cyber0 / 9

La lecture est nette. Là où le Bénin construit — infrastructures critiques, outils de confiance, cadre de protection des données — les scores sont pleins. Les deux creux se situent ailleurs : la gestion des crises, notée zéro sur neuf, et l’analyse des menaces assortie de la sensibilisation, à trois sur douze.

Le cyberdrill de juin 2026 répond précisément au premier de ces deux creux. C’est une réponse à la lacune identifiée, et elle mérite d’être notée comme telle. Le second creux — l’analyse publique des menaces et la sensibilisation — reste, lui, largement ouvert. C’est celui qui pèse le plus sur les organisations qui ne disposent pas d’un RSSI.

Le périmètre : qui est couvert, qui ne l’est pas

La CRSSI s’adresse aux responsables de la sécurité des systèmes d’information des administrations publiques et des opérateurs d’infrastructures d’information critiques. C’est le périmètre affiché de la coordination pilotée par l’ASIN.

Une association béninoise n’est ni une administration publique, ni un opérateur d’infrastructure critique. Elle ne dispose pas d’un RSSI. Elle n’était pas dans la salle, et rien dans le dispositif annoncé ne la couvre.

Elle est pourtant exposée à la même surface d’attaque, et pour certaines catégories d’organisations, davantage. Les défenseures des droits humains de la sous-région sont visées par du harcèlement en ligne dès qu’elles s’expriment publiquement — un phénomène documenté au Togo par CIVICUS Lens. Une association qui gère des dossiers de bénéficiaires détient par ailleurs des données dont la divulgation crée un risque pour des tiers, pas seulement pour elle-même.

Le décalage tient en une phrase : les associations sont hors du périmètre de protection, et dans le périmètre des obligations.

Le périmètre des obligations, lui, est bien contraignant

Le Code du numérique — la loi 2017-20, celle-là même dont l’article 550 sert de fondement aux poursuites pour « fausses nouvelles » — encadre également le traitement des données personnelles dans son livre 5. L’Autorité de protection des données à caractère personnel (APDP) veille à son application et dispose de pouvoirs d’enquête et de sanction.

Deux régimes coexistent selon la nature et la sensibilité des traitements : la déclaration et l’autorisation préalable. Le bilan d’activité 2025 de l’APDP fait état de 606 autorisations et 187 déclarations, ce qui donne une idée du volume traité — et du fait que l’autorité fonctionne.

Les praticiens de la conformité au Bénin rapportent des sanctions financières allant de 5 à 50 millions de francs CFA, soit environ 7 600 à 76 000 euros, assorties de sanctions pénales et d’une possibilité de blocage d’activité. Ces montants ne remplacent pas la lecture des articles applicables, qu’il revient à chaque organisation de vérifier auprès de l’APDP, mais ils fixent un ordre de grandeur sans commune mesure avec le budget d’une petite structure.

Une association qui collecte des noms, des coordonnées, des données de santé ou des témoignages de bénéficiaires effectue un traitement de données personnelles au sens du Code. La question n’est pas de savoir si l’obligation s’applique, mais si elle a été traitée.

Ce que l’IA change réellement

L’observation de Marc-André Loko sur l’IA comme outil d’attaque a une traduction concrète, et elle ne concerne pas les scénarios spectaculaires.

Ce que l’IA générative modifie d’abord, c’est le coût unitaire de l’ingénierie sociale. Un courriel d’hameçonnage en français correct, contextualisé sur le nom d’un bailleur réel et le calendrier d’un projet en cours, coûtait auparavant du temps humain. Il n’en coûte plus. La faute d’orthographe et la tournure maladroite, qui servaient de signal d’alerte élémentaire, ont cessé d’être fiables.

S’y ajoute la fabrication de contenus audio et vidéo imitant une voix ou un visage connus — un responsable d’organisation, un partenaire, un agent public. Dans un environnement où la « diffusion de fausses nouvelles » est une qualification pénale active, une organisation dont l’identité est usurpée se retrouve à devoir démontrer qu’elle n’est pas à l’origine du contenu.

Les contre-mesures utiles restent, elles, résolument peu technologiques.

Quatre mesures à l’échelle d’une association

  • 1. Inventorier les données détenues avant de sécuriser quoi que ce soit. Quelles catégories de données, sur quelles personnes, stockées où, accessibles par qui, conservées combien de temps. Ce tableau conditionne à la fois la démarche auprès de l’APDP et toute décision technique ultérieure. Sans lui, l’achat d’outils est un pari.
  • 2. Régler la question APDP explicitement. Déterminer si les traitements relèvent de la déclaration ou de l’autorisation, effectuer la démarche, et archiver la preuve. C’est une formalité administrative dont le coût est sans rapport avec celui d’une sanction.
  • 3. Faire son propre cyberdrill, en version réduite. Une heure, autour d’une table, sur un scénario unique : la boîte mail de la direction est compromise un vendredi soir. Qui est prévenu, dans quel ordre, avec quels moyens de communication de secours, et qui parle aux partenaires ? L’exercice révèle en une séance les dépendances invisibles — un compte partagé, un seul détenteur de mot de passe, aucun canal de repli.
  • 4. Écrire une règle de vérification des demandes financières et des changements de coordonnées. Toute instruction de virement ou modification de coordonnées bancaires reçue par message est confirmée par un canal distinct, sur un numéro connu à l’avance. C’est la contre-mesure la plus efficace contre l’ingénierie sociale assistée par IA, et elle ne coûte rien.

Aucune de ces quatre mesures ne requiert de budget technique. Trois relèvent de la gouvernance, la quatrième d’une procédure écrite. C’est précisément le registre dans lequel une organisation de taille modeste peut agir seule, sans attendre d’être incluse dans un périmètre national.

Questions fréquentes

Qu’est-ce que la CRSSI et qui l’organise ?

La Conférence des responsables de la sécurité des systèmes d’information est organisée par l’Agence des systèmes d’information et du numérique (ASIN). La deuxième édition s’est tenue le 25 juin 2026 à Cotonou, sur le thème « L’IA pour la cybersécurité et la cybersécurité pour l’IA », avec une centaine de participants issus des administrations publiques et du secteur privé.

Une association béninoise doit-elle déclarer ses traitements de données à l’APDP ?

Le Code du numérique (loi 2017-20, livre 5) soumet les traitements de données personnelles à un régime de déclaration ou d’autorisation préalable selon leur nature et leur sensibilité. Le statut associatif n’exonère pas de cette obligation. La qualification applicable à un traitement donné se vérifie auprès de l’APDP.

Le dispositif national de cybersécurité protège-t-il les organisations de la société civile ?

La coordination pilotée par l’ASIN vise les administrations publiques et les opérateurs d’infrastructures d’information critiques. Les associations n’entrent dans aucune de ces deux catégories. Le CSIRT national publie en revanche des alertes et des publications accessibles à tous, qui constituent une ressource de veille utilisable sans démarche particulière.

Sources

Articles similaires

Scroll to Top