Circulaire n°5 : l'État ferme ses accès, et les vôtres ?

Le 2 septembre 2026, la Cheffe du gouvernement a signé la circulaire n°5. Elle ne vous vise pas. Pas directement : elle s'adresse aux ministres, aux gouverneurs, aux établissements et entreprises publics. Mais elle décrit, point par point, l'hygiène numérique que l'État exige désormais de lui-même. Lisez-la comme un miroir.

Ce que l'administration s'impose, noir sur blanc

Le texte est d'une banalité presque gênante, et c'est tout son intérêt. HTTPS généralisé sur toutes les pages des sites officiels, avec des certificats SSL/TLS renouvelés régulièrement. Authentification multifacteur pour les utilisateurs, et particulièrement pour les administrateurs. Hébergement réservé au Centre national de l'informatique, aux centres publics sectoriels ou aux opérateurs télécoms agréés. Un audit complet des systèmes par un prestataire agréé par l'agence nationale de la cybersécurité (ANSI) avant toute mise en production, puis au moins une fois par an.

Et le reste, qui coûte zéro dinar : désactiver les comptes inactifs ou ceux des agents qui ont quitté leur poste, interdire le partage d'identifiants, cesser de faire circuler des documents administratifs par les réseaux sociaux, basculer les échanges professionnels sur une messagerie officielle en « .tn », isoler les bases de données sensibles des réseaux externes, écrire un plan de continuité et de reprise après sinistre, signaler immédiatement tout incident à l'agence, former le personnel.

Rien de nouveau sur le fond. La circulaire n°24 de 2020 disait déjà une partie de tout ça, le décret de 2023 sur la cybersécurité en a posé le cadre, la loi de 2004 sur les données personnelles traîne derrière depuis vingt-deux ans. Ce qui change, c'est que quelqu'un a daté, signé et adressé.

Pourquoi ça finit par arriver dans votre bureau

Parce que vous êtes déjà branché dessus. Vos factures partent vers El Fatoora, vos déclarations vers la CNSS, vos déclarations en détail vers la douane, vos actes vers le registre national des entreprises. Chaque fois que l'État resserre ses propres accès, il resserre ensuite ce qu'il accepte de l'autre côté du tuyau : certificats valides, signatures conformes, comptes nominatifs, traces.

Et il y a le canal plus rapide : les cahiers des charges. Une clause cyber dans un appel d'offres public ou dans le contrat d'un grand compte, ça se négocie mal. Trois semaines après la circulaire n°5, la Banque centrale a publié son propre texte pour les établissements de paiement, avec audit cyber annuel obligatoire. Secteur après secteur, la vis tourne dans le même sens. La presse spécialisée a relayé le chiffre de plus de 57 000 cyberattaques enregistrées en Tunisie sur le seul premier semestre 2025, organismes publics et entreprises privées confondus. Le chiffre est discutable. La direction, non.

Votre faille n°1 n'est pas un pare-feu

C'est le compte partagé. Un identifiant « compta », connu de trois personnes, parfois quatre quand la stagiaire de l'été est passée. Un autre pour « caisse ». Le mot de passe, c'est le nom de la société suivi de l'année — l'année de l'installation du logiciel, d'ailleurs, pas l'année en cours. Dans une PME de Ben Arous, l'été dernier, le mot de passe du poste de facturation était écrit au marqueur sur un sticker Tunisie Telecom à moitié décollé, collé en bas à droite de l'écran. Personne ne le voyait plus. Il faisait partie du mobilier.

Voilà mon opinion, et elle n'est pas populaire chez les gérants : le compte partagé n'est pas un problème informatique, c'est un problème comptable. Le risque d'intrusion existe, d'accord. Mais le dégât quotidien est ailleurs. Un avoir annulé la veille d'un contrôle, un prix modifié sur une commande, un mouvement de stock passé en négatif, une échéance de traite repoussée de quinze jours. Vous voyez l'écriture. Vous ne voyez pas la main. Et sans la main, vous n'avez pas de piste d'audit — vous avez une opinion.

C'est exactement ce que la circulaire attaque quand elle interdit le partage de comptes et exige l'enregistrement des connexions. L'État ne cherche pas seulement à empêcher l'entrée. Il cherche à savoir qui est entré.

Cinq choses à faire d'ici la fin du mois

• Sortez la liste des comptes de votre logiciel de gestion et de votre messagerie. Désactivez ceux des personnes parties. Vous allez en trouver au moins deux.
• Un salarié, un compte nominatif. Supprimez les logins de fonction. Ça prend une matinée et une réunion un peu tendue.
• Activez la double authentification sur les comptes à privilèges : administrateur du logiciel, boîte mail du gérant, accès bancaire en ligne, portail TTN.
• Arrêtez de faire circuler bons de commande, bulletins de paie et relevés par WhatsApp. C'est le point le plus simple et le plus violemment ignoré.
• Restaurez une sauvegarde. Pas « vérifiez qu'elle existe » : restaurez-la sur un poste de test. Une sauvegarde jamais restaurée est une croyance.

Ce qu'un logiciel de gestion doit vous garantir

Des rôles séparés, pas un super-utilisateur unique que tout le monde emprunte. Un journal d'événements attaché à chaque objet — qui a créé la facture, qui l'a validée, qui a touché au stock, à quelle seconde. Des droits qui bloquent réellement l'action, et pas seulement qui cachent le bouton dans le menu. Des sauvegardes datées et restaurables. Dans Axiom, chaque document et chaque mouvement porte sa propre chronologie pour cette raison précise : le jour du contrôle, la question ne sera pas « que dit le solde », mais « qui l'a écrit ».

Ma recommandation : ne budgétez pas un audit cyber cette année. Faites d'abord les cinq points ci-dessus, gratuitement, avant décembre. Quand un client public vous réclamera une attestation, vous partirez d'une maison rangée plutôt que d'un chantier — et vous découvrirez au passage combien d'écritures de l'exercice en cours n'ont aucun auteur identifiable.