SIGIL SARL — Buea, Cameroun
La cybersécurité au Cameroun : lois et institutions
La forme du paysage
La cybersécurité au Cameroun repose sur un cadre juridique plus ancien que l'économie numérique du pays et sur un dispositif institutionnel singulièrement concentré. Le texte fondateur — la loi n° 2010/012 du 21 décembre 2010 relative à la cybersécurité et à la cybercriminalité — est en vigueur depuis quinze ans ; l'agence qu'elle investit, l'ANTIC, cumule le mandat de régulation de la sécurité, l'équipe nationale de réponse aux incidents et la racine de la hiérarchie nationale de certification électronique ; et depuis décembre 2024, une loi générale de protection des données personnelles s'y superpose. Cette page cartographie ce paysage : les lois telles qu'elles sont écrites, les institutions telles qu'elles sont investies, et la menace pour autant qu'elle puisse honnêtement être citée.
Une règle gouverne la page. Chaque fait externe — le numéro et la date d'une loi, le mandat d'une institution, une statistique — est porté par une citation vers une source primaire ou faisant autorité, et les affirmations qui n'ont pas pu être vérifiées ont été écartées plutôt qu'atténuées. Là où le dossier est mince, la page le dit.
Le cadre juridique
La pierre angulaire est la loi n° 2010/012 du 21 décembre 2010. Son article premier en fixe la portée : la loi régit le cadre de sécurité des réseaux de communications électroniques et des systèmes d'information, et définit et réprime les infractions liées à l'utilisation des technologies de l'information et de la communication au Cameroun. Ses finalités déclarées : instaurer la confiance dans les réseaux et les systèmes d'information ; fixer le régime juridique de la preuve numérique, de la sécurité, de la cryptographie et de la certification électronique ; protéger la dignité humaine, l'honneur et la vie privée, ainsi que les intérêts légitimes des personnes morales. Une frontière est posée d'emblée : les applications propres à la défense et à la sécurité nationales échappent à la loi et relèvent de leurs propres textes.
Le versant sécurité de la loi est institutionnel. L'article 7 confie la régulation, le contrôle et le suivi des activités de sécurité des réseaux de communications électroniques, des systèmes d'information et de la certification électronique — pour le compte de l'État — à l'Agence nationale des technologies de l'information et de la communication (ANTIC), en collaboration avec l'Agence de régulation des télécommunications. L'article 8 fait de l'ANTIC l'autorité de certification racine et l'autorité de certification de l'administration publique. Et l'article 32 soumet réseaux et systèmes d'information à un régime d'audit de sécurité obligatoire et périodique conduit par l'agence — chaque année, ou selon les circonstances — les rapports d'audit demeurant confidentiels et adressés au ministre en charge des télécommunications.
Le versant pénal est à la fois substantiel et procédural. La troisième partie s'ouvre sur des dispositions de procédure : les officiers de police judiciaire à compétence générale et les agents assermentés et habilités de l'ANTIC mènent les enquêtes. Le catalogue des infractions attache ensuite des peines réelles à des comportements définis — l'accès frauduleux à un réseau ou à un système d'information avec perturbation de son fonctionnement est puni, par exemple, de cinq à dix ans d'emprisonnement et d'une amende de dix à cinquante millions de francs CFA, ou de l'une de ces deux peines seulement, le tout doublé lorsque des données sont supprimées ou modifiées (article 68). Les articles 90 à 94 forment la partie consacrée à la coopération internationale et à l'entraide judiciaire en matière de cybercriminalité, avec une réserve lorsque l'exécution d'une demande porterait atteinte à l'ordre public ou aux intérêts essentiels de la Nation ; ne suivent que des dispositions transitoires et finales.
La loi sur la cybersécurité n'est pas seule. Elle a été promulguée le même jour que la loi n° 2010/013 du 21 décembre 2010 régissant les communications électroniques — le texte compagnon qui organise le secteur lui-même, et celui au titre duquel l'ANTIC est instituée, comme la loi n° 2010/012 le rappelle elle-même. La régulation sectorielle revient à l'Agence de régulation des télécommunications (ART), qui surveille opérateurs, spectre, service universel et qualité de service. Les deux mandats s'emboîtent : l'ART régule les réseaux, l'ANTIC leur sécurité.
La strate la plus récente est la loi n° 2024/017 du 23 décembre 2024 relative à la protection des données personnelles — la première loi générale du Cameroun en la matière. Elle s'applique aux données personnelles des personnes établies, résidant ou en transit au Cameroun, et prévoit une autorité de protection des données par laquelle le traitement sur le territoire camerounais et les transferts à l'étranger requièrent une autorisation préalable ; les textes organisant cette autorité sont encore attendus. L'analyse juridique de la loi faisait état d'une échéance de mise en conformité au 23 juin 2026 pour les organisations — une fenêtre close avant la publication de cette page.
La carte institutionnelle
Lues ensemble, les trois lois répartissent l'autorité en matière de cybersécurité entre un petit nombre d'institutions. La carte tient dans un tableau — et mérite d'être retenue, car en pratique la question « à qui répondons-nous ? » n'a pas la même réponse pour un opérateur de réseau, un responsable de traitement et une victime d'infraction.
Une ligne mérite d'être développée. L'ANTIC exerce sa mission de veille sécuritaire à travers un Computer Incident Response Team national, dont l'agence énumère elle-même les fonctions : surveillance en temps réel des infrastructures sensibles du cyberespace national, alertes et bulletins de sécurité, sensibilisation du public, assistance aux particuliers et aux entreprises, élaboration de référentiels de sécurité, et appui technique aux enquêtes judiciaires. La même page consigne un devoir que beaucoup d'organisations découvrent tard : selon l'ANTIC, l'article 7 du décret n° 2012/1643/PM impose à tout organisme public ou privé de lui notifier tout incident de sécurité informatique affectant son réseau.
| Institution | Ancrage juridique | Rôle dans le paysage |
|---|---|---|
| Ministère en charge des postes et télécommunications (MINPOSTEL) | Loi n° 2010/012 ; loi n° 2010/013 | Pouvoirs généraux sur les télécommunications et les TIC ; signe les cahiers des charges des autorités de certification ; destinataire des rapports d'audit confidentiels. |
| ANTIC | Loi n° 2010/012, articles 7–8 | Régulation, contrôle et suivi de la sécurité des réseaux et des systèmes d'information et de la certification électronique pour le compte de l'État ; autorité de certification racine ; conduit le régime d'audit de sécurité obligatoire. |
| CIRT national (au sein de l'ANTIC) | Mission de veille sécuritaire de l'ANTIC | Surveillance des infrastructures sensibles du cyberespace national, alertes et bulletins de sécurité, réponse aux incidents et assistance, appui technique aux enquêtes en matière de cybercriminalité. |
| Agence de régulation des télécommunications (ART) | Loi n° 2010/013 | Régulation des communications électroniques — opérateurs, spectre, qualité de service ; collabore avec l'ANTIC pour la régulation des activités de sécurité électronique. |
| Autorité de protection des données | Loi n° 2024/017 | Prévue par la loi de 2024 : autorisation préalable des traitements et des transferts transfrontières ; ses textes d'organisation sont encore attendus. |
| Officiers de police judiciaire et juridictions | Loi n° 2010/012, partie III | Enquête et poursuite des cyberinfractions ; les agents assermentés de l'ANTIC participent aux enquêtes, avec l'expertise du CIRT en preuve numérique. |
La menace, en chiffres citables
Les statistiques de menace sont rares au Cameroun, et l'essentiel de ce qui circule ne peut être rattaché à une source. Ce qui peut être cité provient pour l'essentiel des chiffres publiés par l'ANTIC elle-même et relayés par la presse économique ; ils sont présentés ici pour ce qu'ils sont — les chiffres de l'autorité chargée de la répression, non des mesures indépendamment auditées.
Pour 2021, l'ANTIC a chiffré à 12,2 milliards de FCFA les pertes du Cameroun dues à la cybercriminalité — près du double du chiffre de 2019 —, dont 2,5 milliards imputables aux intrusions dans les systèmes informatiques publics et privés, 6 milliards au scamming et au phishing, et 3,7 milliards au skimming, la copie de données de cartes bancaires sur les distributeurs, selon les données relayées par Business in Cameroon. Le même compte rendu retient qu'en 2019, près de 6 milliards de FCFA avaient été perdus en fraude bancaire, la méthode dominante étant la fraude aux ordres de virement (FOVI, ou BEC), et qu'un audit de l'ANTIC avait détecté 27 052 vulnérabilités dans les systèmes des administrations publiques et privées en 2021.
La réponse s'institutionnalise. Le 20 janvier 2026 à Yaoundé, le CIRT national a reçu des équipements — serveurs, plateformes d'investigation, outils de balayage de vulnérabilités et de tests d'intrusion — d'une valeur de plus de 735 millions de FCFA, acquis dans le cadre du PATNUC, le projet d'accélération de la transformation numérique du Cameroun soutenu par la Banque mondiale, selon TechAfrica News. Le même compte rendu cite les chiffres d'activité de l'agence : 32 500 réquisitions judiciaires traitées en 2025, en hausse de 30 % sur 2024 ; environ 200 Go de données analysées par jour ; et 8 502 vulnérabilités identifiées depuis janvier 2024 par audits et balayages d'entités publiques et privées.
Les lacunes comptent autant que les chiffres. Il n'existe pas de série publique de notifications d'incidents, les chiffres de pertes ne sont pas indépendamment vérifiés, et aucune stratégie nationale de cybersécurité autonome n'a pu être vérifiée dans des sources primaires au moment de la rédaction — cette page n'en cite donc aucune. Ce que le dossier vérifiable montre, c'est une pression qui monte et une réponse qui s'organise ; raison de plus pour prendre au pied de la lettre les obligations de la section suivante.
Ce que la cybersécurité au Cameroun exige d'une institution
Distillé, le paysage exige quatre choses d'une institution opérant au Cameroun. D'abord, attendre l'audit : l'article 32 de la loi n° 2010/012 rend l'audit de sécurité obligatoire et périodique, non facultatif et exceptionnel. Ensuite, notifier l'incident : l'ANTIC indique que l'article 7 du décret n° 2012/1643/PM impose à tout organisme public ou privé de lui signaler les incidents de sécurité affectant son réseau. Puis, prendre acte d’une horloge déjà échue : les analyses juridiques faisaient état d’un délai de mise en conformité au 23 juin 2026 — une fenêtre désormais close, et les traitements non conformes sont déjà exposés. Enfin, traiter la preuve comme un objet de premier rang — la loi de 2010 a fait de la preuve numérique un régime juridique, et une institution incapable de produire des enregistrements fiables est exposée dans les deux sens, comme victime et comme mise en cause.
Cette page est délibérément une carte, non un manuel. Ce que ces obligations signifient opérationnellement — cadrer un audit, choisir des contrôles, traiter l'échéance de protection des données, désormais échue, — est l'objet de notre guide pratique de la cybersécurité pour les organisations au Cameroun. La discipline qui court en dessous — l'autorisation avant la capacité, et la preuve pour chaque action conséquente — est exposée sur la cybersécurité gouvernée. Et pour les institutions du Sud-Ouest, la cybersécurité à Buea ancre localement les mêmes questions.
Les termes employés sur cette page — de l'autorité de certification à la réponse aux incidents — sont définis en langage clair dans le glossaire.
La place de SIGIL
SIGIL SARL est une entreprise camerounaise, fondée en 2023 et basée à Buea (RCCM RC.BUA.2026.B.0190), qui conçoit une infrastructure de gouvernance pour les institutions publiques. Dans ce paysage, son système pertinent est VIGIL, une plateforme de cybersécurité gouvernée et de preuve pour des opérateurs dûment autorisés, bâtie selon les disciplines OWASP, MITRE ATT&CK et NIST 800-115, où une capacité technique n'est jamais une autorisation et où aucun constat n'est retenu tant qu'une vérification indépendante et re-vérifiable ne l'a pas confirmé. VIGIL est en pré-déploiement : SIGIL n'a ni clients, ni déploiements, ni pilotes, ni partenariats à citer, et cette page n'en cite aucun. Son code source est gardé strictement privé. La méthode d'ingénierie est documentée dans la méthode, et le paysage de conformité qu'elle sert est cartographié sur la regtech au Cameroun. Les institutions qui souhaitent examiner l'architecture peuvent écrire à info@sigilsovereign.com.
Questions fréquentes
Quelle loi régit la cybersécurité au Cameroun ?
La loi n° 2010/012 du 21 décembre 2010 relative à la cybersécurité et à la cybercriminalité est le texte fondateur : elle régit le cadre de sécurité des réseaux de communications électroniques et des systèmes d'information et définit et réprime les infractions liées à l'utilisation des technologies de l'information et de la communication. Elle s'articule avec la loi n° 2010/013 du même jour, qui régit les communications électroniques, et avec la loi n° 2024/017 du 23 décembre 2024, qui couvre la protection des données personnelles.
Qu'est-ce que l'ANTIC et que fait-elle ?
L'ANTIC, Agence nationale des technologies de l'information et de la communication, est instituée par la loi sur les communications électroniques et investie par la loi n° 2010/012. Elle régule, contrôle et suit la sécurité des réseaux de communications électroniques et des systèmes d'information et la certification électronique pour le compte de l'État, sert d'autorité de certification racine, conduit le régime d'audit de sécurité obligatoire et opère le CIRT national, l'équipe de réponse aux incidents informatiques.
Le Cameroun a-t-il une loi de protection des données personnelles ?
Oui. La loi n° 2024/017 du 23 décembre 2024 est la première loi générale du Cameroun en la matière. Elle s'applique aux personnes établies, résidant ou en transit au Cameroun et prévoit une autorité de protection des données, dont les textes d'organisation sont encore attendus. Les analyses juridiques faisaient état d'une échéance de mise en conformité au 23 juin 2026 pour les organisations ; cette date est désormais passée.
Les organisations doivent-elles signaler les incidents de sécurité au Cameroun ?
Selon l'ANTIC, l'article 7 du décret n° 2012/1643/PM impose à tout organisme public ou privé de lui notifier tout incident de sécurité informatique affectant son réseau. Indépendamment des incidents, l'article 32 de la loi n° 2010/012 soumet réseaux de communications électroniques et systèmes d'information à des audits de sécurité obligatoires et périodiques conduits par l'agence.