Comptes partagés et journaux absents : la cybersécurité arrive par vos clients

Le 2 septembre, la cheffe du gouvernement signait une circulaire sur la sécurité des systèmes publics. Trois semaines plus tard, la Banque centrale publiait la sienne. Aucun des deux textes ne nomme votre PME. Les deux finiront sur votre table.

Deux textes, trois semaines, et personne ne vous a prévenu

La circulaire n°5 du 2 septembre 2026, signée Sarra Zaâfrani Zenzeri, s'adresse aux ministres, aux secrétaires d'État, aux walis et aux responsables des établissements et entreprises publics. Elle impose le HTTPS avec certificats renouvelés sur l'ensemble des pages officielles, l'authentification multifactorielle pour les utilisateurs et en premier lieu les administrateurs, un contrôle de sécurité par un prestataire agréé par l'ANSI avant toute mise en ligne puis renouvelé au minimum chaque année, un hébergement chez des prestataires agréés (Centre national de l'informatique, centres sectoriels, opérateurs autorisés), des adresses professionnelles en domaine « .tn », la désactivation des comptes inutilisés et l'enregistrement obligatoire des connexions.

Puis la circulaire BCT n°10 du 25 septembre 2026, qui remplace la circulaire 16 de 2018 pour les institutions de paiement. Audit annuel de sécurité informatique par un cabinet accrédité. Notification immédiate de tout incident. Comité d'audit et des risques obligatoire, fonctions de gestion des risques indépendantes. Ouverture de compte à distance conditionnée à une authentification forte à deux facteurs minimum, avec des paliers de comptes à 1 500, 5 000 et 20 000 dinars.

La presse spécialisée a relayé un chiffre de plus de 57 000 cyberattaques enregistrées en Tunisie sur le premier semestre 2025. Je ne sais pas ce que compte exactement ce chiffre, et je m'en méfie un peu. Ce qui compte davantage, c'est le mécanisme de diffusion : un établissement public qui doit faire auditer son système chaque année finit par poser des questions à ses fournisseurs. Un établissement de paiement doté d'un comité des risques filtre ses partenaires commerçants. Vous n'êtes pas visé par le texte. Vous êtes visé par le questionnaire.

Ce que « enregistrement des connexions » veut dire dans votre bureau

La ligne la plus lourde de la circulaire n°5, pour une PME, n'est pas le HTTPS. Techniquement, un certificat se règle en une matinée. C'est l'enregistrement des connexions et la désactivation des comptes inutilisés qui vont faire mal, parce que ces deux exigences supposent une chose que presque aucune PME tunisienne n'a : un compte par personne.

Chez un distributeur de pièces détachées à Ben Arous, le mot de passe du logiciel de gestion était écrit au feutre bleu sous le plateau du bureau de la comptable. Le feutre bleu, qui n'ajoute rien à l'argument, m'est resté. Quatre personnes utilisaient ce compte. Quand une facture a été annulée puis réémise avec un montant différent, personne n'a pu dire qui. Pas « personne ne voulait dire » — personne ne pouvait dire. Le logiciel n'enregistrait que « ADMIN ».

Voilà le vrai trou de sécurité des PME d'ici. Pas l'antivirus, pas le pare-feu, pas le ransomware des conférences. Le compte partagé, le départ d'un commercial dont l'accès reste actif dix-huit mois, le stagiaire qui voit les marges parce qu'il n'y avait qu'un seul profil disponible.

La facture électronique a changé le prix d'une écriture floue

Jusqu'ici, un trou dans votre piste d'audit interne restait une affaire interne. Ce n'est plus vrai depuis que vos factures partent vers la plateforme nationale au format normalisé, horodatées et conservées ailleurs que chez vous.

Faites le calcul. L'administration détient désormais une version de vos pièces de vente que vous ne pouvez plus retoucher. Si votre système de gestion, lui, autorise la modification d'un document émis sans trace, vous vous retrouvez dans la pire des positions : une divergence que vous constatez mais que vous ne pouvez pas expliquer. Un contrôleur qui vous demande qui a modifié la facture 2026-00412 le 3 mars n'accepte pas « on ne sait pas » comme réponse. Et il a raison de ne pas l'accepter.

C'est pour cette raison qu'un journal d'événements attaché à chaque document — qui a créé, qui a validé, qui a changé le statut, à quelle seconde — n'est pas une coquetterie de concepteur de logiciel. Dans Axiom, aucune mutation d'un document commercial ne passe sans cette trace, et chaque utilisateur a son identité avec ses permissions. Ce n'est pas un argument de vente. C'est le minimum pour pouvoir répondre.

L'audit annuel, et le réflexe à prendre avant qu'on vous le réclame

Les deux circulaires convergent sur un point : l'audit annuel par un prestataire accrédité. Les institutions de paiement y sont désormais tenues ; les organismes publics aussi. Si vous facturez l'État, si vous êtes commerçant affilié à un établissement de paiement, si vous sous-traitez pour un groupe audité, la question viendra. Pas sous forme de loi. Sous forme de clause contractuelle, ce qui est plus rapide.

Préparer cela coûte moins cher qu'on l'imagine, à condition de commencer par le haut de la liste. Un compte nommé par salarié dans l'outil de gestion, avec les droits strictement nécessaires à son poste. La double authentification sur les accès administrateur et comptable, au minimum. La fermeture des comptes à la sortie d'un collaborateur, inscrite dans la procédure de départ au même titre que la restitution du badge. Les journaux de connexion conservés et consultables. Et une sauvegarde que vous avez réellement restaurée au moins une fois, parce qu'une sauvegarde jamais restaurée reste une hypothèse.

Ce que je ferais ce mois-ci

Ouvrez la liste des utilisateurs de votre logiciel de gestion aujourd'hui. Comptez les comptes actifs, comparez avec l'effectif réel, regardez combien de personnes partagent le profil administrateur. Si l'écart vous gêne, vous avez votre chantier d'octobre, et il n'exige aucun budget.

Le reste suivra à son rythme. Mais faites-le maintenant, pendant que c'est une décision interne et pas une condition pour garder un marché.