Audit cyber annuel : la BCT vient de créer un précédent pour le privé

Le 2 septembre, une circulaire. Le 25, une autre. Entre les deux, aucune loi nouvelle, aucun délai supplémentaire pour les PME. Quelque chose a pourtant bougé dans la façon dont l'État tunisien parle de sécurité informatique : il réclame des preuves écrites.

Trois semaines, deux textes, un seul message

La circulaire n°5 du 2 septembre 2026, signée par la Cheffe du gouvernement, s'adresse aux ministères, aux gouvernorats et aux établissements publics. Elle tient en trois exigences : généraliser les connexions chiffrées, imposer la double authentification aux administrateurs systèmes, et n'héberger les données que sur des serveurs agréés par l'État — Centre national de l'informatique, centres informatiques sectoriels publics, fournisseurs cloud et opérateurs agréés, sauf dérogations liées à la défense et à la sécurité nationale. L'Agence nationale de la cybersécurité (ANCS, l'ex-ANSI) a relayé le texte, qui s'adosse au décret cybersécurité de 2023 et à la loi de 2004 sur la protection des données personnelles.

Vous n'êtes pas visés. Lisez-la quand même.

Parce que trois semaines plus tard, la Banque centrale a fait la même chose pour un secteur entièrement privé. Et la presse spécialisée rappelait au passage un chiffre qui circule depuis : environ 57 000 cyberattaques enregistrées en Tunisie sur le seul premier semestre 2025.

Ce que la BCT exige, noir sur blanc

La circulaire n°2026-10, publiée le 25 septembre 2026 et signée par le gouverneur Fethi Zouhaier Nouri, abroge et remplace la circulaire n°2018-16 du 31 décembre 2018. Elle entre en vigueur trois mois après sa publication — fin décembre, donc. (Détail amusant pour qui suit ces textes : une version rectifiée a été republiée deux ou trois jours plus tard.)

Le cœur du dispositif cyber : chaque établissement de paiement doit faire auditer son système d'information une fois par an par un cabinet indépendant certifié par l'ANCS, et transmettre le rapport à la BCT. En cas d'attaque ou d'intrusion, l'alerte part sans délai vers la BCT et vers l'ANCS. L'ouverture de compte à distance exige au minimum deux facteurs d'authentification plus une reconnaissance faciale ou équivalent, la technologie employée devant elle-même être auditée au moins tous les deux ans. Un comité d'audit et des risques, émanant du conseil, doit être constitué avec sa charte.

Les plafonds, eux, n'ont pas bougé : 1 500 dinars au niveau 1, 5 000 dinars au niveau 2, 20 000 dinars au niveau 3. Le dossier réglementaire, lui, a doublé d'épaisseur.

Pourquoi ça vous concerne sans licence de paiement

Voici mon opinion, et elle n'est pas confortable : l'audit cyber n'arrivera jamais chez vous par décret. Il arrivera par une clause dans un contrat que vous voulez signer.

Le mécanisme est connu, on l'a vu avec la facture électronique. Un établissement de paiement qui doit produire un rapport d'audit annuel va répercuter des exigences sur ses partenaires commerçants — la circulaire traite d'ailleurs explicitement des règles applicables aux commerçants. Une administration tenue d'héberger ses données sur serveur agréé finira par poser la question à ses prestataires, dans le cahier des charges du prochain appel d'offres. Votre banque, votre client public, votre donneur d'ordre à l'export : ce sont eux qui vous demanderont où tourne votre logiciel de gestion, pas un contrôleur.

Et là, « c'est hébergé quelque part en Europe, je crois » devient un problème commercial bien avant d'être un problème juridique.

Où sont vos données, exactement ?

Posez-vous la question pour de vrai. Pas la version rassurante.

Dans beaucoup de PME tunisiennes, la comptabilité vit dans un classeur Excel sur le portable du gestionnaire, le stock dans un logiciel installé en 2017 sur une machine sous le comptoir, la paie chez le comptable externe qui l'envoie par e-mail en pièce jointe. Trois emplacements, zéro sauvegarde testée.

Un gérant de société de distribution du Sahel racontait, après une attaque par rançongiciel, avoir découvert que son unique sauvegarde tenait sur une clé USB rangée dans le tiroir-caisse — une clé de 16 Go ramassée dans un salon professionnel, étiquetée au marqueur. Elle contenait un export de l'année précédente. Pas de l'exercice en cours.

Les bonnes questions à votre prestataire ou à votre éditeur tiennent en quatre lignes : où sont stockées physiquement les données, qui peut restaurer une sauvegarde, en combien de temps, et qui vous prévient si un incident se produit. Si la réponse prend plus de deux jours à arriver, vous avez déjà appris quelque chose. L'ANCS a par ailleurs commencé à labelliser les fournisseurs de services cloud ; demandez à votre prestataire où il en est de cette démarche.

Quatre choses à mettre au propre avant janvier

• La liste des comptes. Qui a un accès à votre outil de gestion, à quel niveau, et qui a quitté l'entreprise sans que son compte soit fermé. C'est le point le plus souvent raté et le moins coûteux à corriger.
• La double authentification sur la messagerie professionnelle et sur l'application de gestion. Gratuite dans la plupart des cas. Une demi-journée de mise en place.
• Une restauration réelle. Pas une sauvegarde : une restauration, faite devant vous, chronométrée, sur des données de la semaine en cours.
• La procédure d'incident écrite sur une seule page : qui appelle qui, dans quel ordre, avec quels numéros. L'ANCS y figure.

Sur ce dernier point, un logiciel de gestion sérieux vous aide plus qu'on ne le croit : un journal d'événements horodaté par pièce, un historique des accès, un export complet de vos données qui vous appartient. Dans Axiom, chaque facture, chaque mouvement de stock, chaque écriture garde la trace de qui l'a touchée et quand. Le jour où un auditeur ou un client vous demande de reconstituer une chronologie, vous l'avez.

Ma recommandation, nette : bloquez deux heures ce mois-ci et faites restaurer une sauvegarde complète en votre présence. Si personne ne sait le faire, vous venez d'identifier le seul chantier cyber qui compte vraiment pour votre entreprise — et il passe devant tous les autres.