Cybersécurité des entreprises au Cameroun

Le socle légal : deux lois et une agence

Pour une institution publique comme pour une PME, la cybersécurité des entreprises au Cameroun repose sur un socle précis : une loi de 2010 qui encadre la sécurité des réseaux et réprime la cybercriminalité, une agence nationale au mandat défini, et, depuis décembre 2024, une loi de protection des données personnelles. Ce guide présente ce socle, l'état documenté de la menace, puis six exigences concrètes qu'une organisation devrait poser à tout partenaire de sécurité — y compris à nous.

La loi n° 2010/012 du 21 décembre 2010 relative à la cybersécurité et à la cybercriminalité au Cameroun fait trois choses qui concernent directement toute organisation. Elle régit le cadre de sécurité des réseaux de communications électroniques et des systèmes d'information ; elle définit et réprime les infractions liées à l'utilisation des technologies de l'information et de la communication ; et elle établit le régime juridique de la preuve numérique, des activités de sécurité, de cryptographie et de certification électronique. Deux conséquences pratiques en découlent. D'abord, la sécurité de vos systèmes n'est pas une simple affaire de prudence : c'est une matière encadrée par la loi. Ensuite, une piste d'audit correctement construite a une valeur probante — la preuve numérique est un régime juridique, pas un luxe technique.

La même loi charge l'Agence Nationale des Technologies de l'Information et de la Communication (ANTIC) d'assurer la veille technologique et d'émettre alertes et recommandations en matière de sécurité des réseaux de communications électroniques et de certification. Pour sa mission de renseignement de sécurité, l'ANTIC a mis en place le CIRT national (Computer Incident Response Team), qui porte deux responsabilités : prévenir les cyberattaques, et, en cas d'incident, intervenir pour neutraliser l'attaque et identifier l'attaquant. Le CIRT assure aussi la surveillance des infrastructures critiques du cyberespace national, publie alertes et bulletins de sécurité, assiste utilisateurs et entreprises face aux incidents, et collabore avec d'autres CIRT. Une organisation camerounaise victime d'un incident sérieux a donc un interlocuteur institutionnel — et un partenaire de sécurité sérieux doit savoir travailler avec lui, pas à sa place.

Depuis le 23 décembre 2024, le socle s'est élargi : la loi n° 2024/017 relative à la protection des données à caractère personnel est la première loi camerounaise entièrement consacrée aux données personnelles. Elle encadre la collecte, le traitement, la conservation et le transfert des données, prévoit la création d'une autorité de protection des données personnelles, soumet les transferts transfrontaliers à des conditions strictes et assortit le tout de sanctions substantielles. Le délai de mise en conformité de dix-huit mois courait jusqu'en juin 2026 : il est désormais échu. La question utile n'est donc plus « faudra-t-il se conformer ? » mais « pouvez-vous démontrer que vous l'êtes ? ».

Pour une PME, ce cadre peut sembler lointain ; il ne l'est pas. C'est lui qui détermine ce qu'un prestataire a le droit de faire sur vos systèmes, ce que valent ses rapports devant un auditeur ou un juge, et ce que vous risquez si les données de vos clients sont traitées sans base légale. Les six exigences de ce guide en sont la traduction opérationnelle.

L'état documenté de la menace

Les chiffres publics sur la cybercriminalité au Cameroun sont rares, et les plus solides viennent de l'ANTIC elle-même. Ils ne mesurent que les cas identifiés et rapportés — une borne basse, pas un plafond. Nous ne citons ici que des chiffres sourcés ; tout le reste serait de la conjecture.

En août 2023, le directeur général de l'ANTIC chiffrait les pertes du Cameroun liées au scamming à 7 milliards de FCFA depuis 2010, le scamming représentant environ 80 % des cas de cybercriminalité recensés en 2021. La même intervention faisait état de près de 6 000 incidents d'usurpation d'identité visant de hautes personnalités et des institutions de l'État, dont environ 4 000 comptes fermés.

Côté secteur financier, l'ANTIC indiquait dès 2019 que les banques locales avaient perdu plus de 3 milliards de FCFA au cours des années précédentes, avec près de 1 200 cas d'usurpation d'identité et plus de 800 cas d'escroquerie enregistrés.

Ce que ces chiffres disent à une organisation est simple : la menace est réelle, documentée par l'autorité nationale, et concentrée là où est l'argent — la fraude, l'usurpation d'identité, l'intrusion dans les systèmes financiers. Ce qu'ils ne disent pas, c'est votre exposition à vous. Celle-ci ne se lit dans aucune statistique nationale : elle se mesure sur vos systèmes, par quelqu'un d'autorisé à le faire, et se prouve pièce par pièce.

Cybersécurité au Cameroun : ce que les entreprises devraient exiger

Le marché ne manque pas d'offres ; il manque de moyens de les départager. Voici six exigences concrètes qu'une institution ou une PME peut poser à tout partenaire de cybersécurité — cabinet d'audit, opérateur de sécurité, ou éditeur comme nous. Chacune est testable : elle appelle un oui vérifiable ou un non instructif. Elles découlent de la doctrine que nous appelons cybersécurité gouvernée ; vous n'avez pas besoin de nous croire sur parole pour vous en servir. Les termes techniques sont définis dans notre glossaire.

• Une autorisation écrite, bornée et attribuable. Aucun test, aucun scan, aucune intervention sans mandat écrit précisant le périmètre, la durée et le responsable. La loi de 2010 réprime les atteintes aux systèmes d'information : un prestataire qui « teste » sans mandat formel vous expose autant qu'il s'expose. Chaque action conséquente doit rester attribuable à une identité et à une autorisation précises.
• La re-vérification indépendante des constats. Une alerte d'outil ou d'agent n'est pas un fait ; c'est une piste. Exigez que tout constat présenté comme avéré ait été re-vérifié par un contrôle indépendant et déterministe, et que le rapport distingue ce qui est prouvé de ce qui est seulement observé. Exigez aussi l'honnêteté du résultat nul : l'absence de signal n'est pas une preuve d'absence.
• Aucun canal de contrôle distant — pas de kill-switch. Un fournisseur capable de désactiver votre système à distance détient, par construction, un canal vers vos infrastructures. Si un droit d'usage doit être révocable, la révocation doit prendre la forme d'un certificat signé vérifié localement — un document que votre système lit — jamais une commande distante. Et c'est vous, pas le fournisseur, qui devez pouvoir arrêter le système.
• La résidence des données et la garde des clés. Vos données, vos clés et vos rapports restent sous votre contrôle, sur une infrastructure que vous choisissez. Le fournisseur ne doit disposer d'aucun accès par défaut, d'aucun compte d'administration caché, d'aucune télémétrie opérationnelle silencieuse. Depuis la loi de 2024, les transferts transfrontaliers de données personnelles sont soumis à conditions : la localisation de vos données n'est plus seulement un choix d'architecture, c'est un paramètre de conformité.
• Des rapports signés, aux preuves re-vérifiables. Un constat sérieux porte sa preuve brute, une empreinte, son contexte et sa provenance, de sorte qu'un tiers — auditeur, régulateur, juge — puisse le re-vérifier plus tard, hors ligne, sans faire confiance à l'outil qui l'a produit. Le régime camerounais de la preuve numérique donne à cette discipline une portée juridique directe.
• La réversibilité : lire, exporter, arrêter. Quel que soit l'état du contrat ou de la licence, vous devez toujours pouvoir lire vos données, les exporter dans des formats ouverts, et déclencher un arrêt sûr. Une expiration de licence peut bloquer de nouvelles actions sensibles ; elle ne doit jamais vous couper de vos propres données ni vous empêcher d'arrêter le système.

Six questions à écrire dans vos cahiers des charges

Ces exigences ne sont pas réservées aux grandes institutions. Une PME peut les poser en réunion commerciale ; une institution peut les écrire, telles quelles, dans un cahier des charges ou une grille d'évaluation d'appel d'offres : qui autorise chaque action, et où est-ce consigné ? Comment un constat est-il re-vérifié avant d'être présenté comme avéré ? Existe-t-il un canal distant vers notre déploiement, et pouvons-nous l'auditer ? Où résident nos données et qui détient les clés ? Vos rapports sont-ils signés et leurs preuves re-vérifiables par un tiers ? Que pouvons-nous encore lire, exporter et arrêter si le contrat s'arrête ?

Ces six questions ne coûtent rien à formuler et disent beaucoup : un partenaire qui ne peut y répondre précisément vous demande, en réalité, de la foi. Une organisation ne devrait pas avoir à croire son fournisseur ; elle devrait pouvoir le vérifier.

Où SIGIL se situe — franchement

SIGIL SARL est une entreprise camerounaise fondée en 2023, établie à Buea (RCCM n° RC.BUA.2026.B.0190). Nous concevons VIGIL, une plateforme de cybersécurité gouvernée et de preuve : elle assiste des opérateurs dûment autorisés dans l'identification, la confirmation, la correction et la documentation de vulnérabilités, sous un principe unique — une capacité technique n'est jamais une autorisation. Les six exigences ci-dessus n'ont pas été écrites pour ce guide : c'est la doctrine à laquelle VIGIL est construit, exposée sur notre page cybersécurité gouvernée et dans notre méthode.

Un point d'honnêteté, parce qu'il conditionne le reste : VIGIL est en pré-déploiement. SIGIL n'a aujourd'hui ni client, ni déploiement, ni pilote, ni chiffre d'affaires. Ce que nous pouvons montrer, c'est la conception — et elle est faite pour être testée : l'institution détient les clés ; les données restent sous le contrôle de l'institution ; chaque action conséquente est autorisée, bornée et prouvée. Appliquez-nous les six exigences de ce guide ; c'est exactement l'examen pour lequel nos systèmes sont conçus.

Pour le contexte local — Buea, le Silicon Mountain et ce que cela change pour une organisation de la région — voir notre page cybersécurité à Buea. Pour toute question : info@sigilsovereign.com.

Questions fréquentes

Demander une présentation →

À lire ensuite