La sécurisation des infrastructures numériques critiques passe aussi par une commande publique adaptée aux enjeux de cybersécurité. C’est tout le sens de la rencontre tenue entre l’ARCOP, le ministère des Télécommunications et du Numérique et plusieurs structures publiques concernées par la protection des infrastructures critiques.

À l’ouverture des échanges, le Secrétaire général du ministère des Télécommunications et du Numérique, M. Serigne Ahmadou Bamba SY, a rappelé les enjeux liés à la disponibilité des infrastructures stratégiques de l’État, expliquant qu’ « il s’agit de structures de l’État qui opèrent des infrastructures critiques, dont l’indisponibilité à cause de cyberattaques pourrait créer des dommages importants pour les populations sénégalaises ».

La rencontre intervient dans un contexte marqué par le renforcement du dispositif national de cybersécurité et par la préparation d’un nouveau cadre législatif consacré aux infrastructures critiques. Selon le Secrétaire général du ministère, une première réunion avait permis d’évaluer le niveau de préparation des structures concernées, notamment en matière d’infrastructures de cybersécurité et de conformité aux dispositifs existants.

Les échanges ont surtout permis de mettre en exergue une difficulté commune.  En effet, plusieurs structures publiques rencontrent des contraintes dans l’acquisition des équipements, infrastructures et prestations nécessaires à la mise à niveau de leurs systèmes de cybersécurité. « Il est apparu que la plupart des structures publiques avaient fait état de difficultés en matière de marchés pour acquérir les infrastructures, les équipements, les prestations dont elles avaient besoin pour mettre à niveau leurs infrastructures de cybersécurité », a relevé M. Serigne Ahmadou Bamba SY. C’est précisément pour répondre à cette préoccupation que le ministère a souhaité associer l’ARCOP à la réflexion. L’objectif est d’identifier, avec l’Autorité, des solutions susceptibles d’accélérer les procédures, soit à travers une approche globale, soit au cas par cas.

Cette démarche revêt une importance particulière à l’approche des Jeux Olympiques de la Jeunesse, qui placeront le Sénégal sous une forte exposition internationale. « Ce serait une période où les attaques seraient susceptibles d’avoir lieu puisque le Sénégal sera au niveau mondial », a souligné le Secrétaire général.

Trouver les procédures les plus adaptées

Prenant la parole, le Dr Moustapha DJITTÉ, a d’emblée souligné l’intérêt particulier de l’ARCOP pour cette problématique. « Nous sommes doublement intéressés et concernés », a-t-il déclaré, avant de rappeler que les solutions à mettre en œuvre nécessiteront nécessairement le recours à la commande publique. Pour le Directeur général de l’organe de régulation, l’enjeu consiste précisément à déterminer les procédures les plus appropriées pour permettre aux structures concernées de réaliser leurs acquisitions dans les meilleurs délais, sans perdre de vue les exigences de la réglementation. « On peut donc, à la réflexion, trouver et suggérer la procédure la plus adéquate pour réaliser les acquisitions dans les meilleurs délais et de la façon la plus adéquate possible », a-t-il indiqué.

L’un des principaux enseignements de la rencontre réside dans l’existence de possibilités réglementaires permettant, sous certaines conditions, d’adapter les procédures à la nature et à la sensibilité des acquisitions. Le Dr DJITTE a notamment attiré l’attention sur le cadre applicable aux marchés liés aux infrastructures critiques. Il a rappelé que les textes récents ont pris en compte cette catégorie particulière d’infrastructures. « Pour moi, l’information essentielle ici, c’est que dans le décret portant sur les marchés secrets de défense, la question d’infrastructure critique, l’information critique a été incluse ».

Pour autant, Dr DJITTÉ appelle à distinguer clairement ce qui relève effectivement d’une infrastructure critique de ce qui peut être considéré comme une acquisition ordinaire. « Il faut aussi qu’on fasse la part des choses. Qu’est-ce qui relève d’une infrastructure critique ? Qu’est-ce qui relève d’une acquisition ordinaire, même si ça peut être lié à une infrastructure informatique ou pas ? », a-t-il interrogé. Cette distinction apparaît essentielle pour éviter que la recherche de célérité ne conduise à appliquer indistinctement des procédures dérogatoires à des acquisitions qui ne le justifieraient pas.

Marchés de clientèle et spécifications fonctionnelles : des pistes à exploiter

Parmi les solutions évoquées figure également le recours aux marchés de clientèle, qui peuvent permettre de disposer, sur une période donnée, d’un prestataire mobilisable rapidement en cas de besoin. Dr DJITTE explique : « L’avantage du marché de clientèle, c’est que toi, tu es sur trois ans, tu ne fais plus de marché. Chaque année, tu le conduis avec le même prestataire. Et chaque fois que tu as besoin de lui, tu fais appel à lui ». Cette formule peut notamment répondre à des besoins récurrents de maintenance ou d’intervention rapide sur des équipements sensibles.

Autre piste évoquée, le recours à des spécifications fonctionnelles lorsque la divulgation de spécifications techniques détaillées pourrait présenter des risques du point de vue de la sécurité. « On a l’option d’aller sur des spécifications fonctionnelles », a rappelé le DG de l’ARCOP. L’objectif est de permettre à l’administration de définir clairement les performances attendues sans nécessairement exposer des informations techniques sensibles.

Vers une mutualisation des acquisitions ?

Au-delà des procédures elles-mêmes, le Directeur général de l’ARCOP a insisté sur l’intérêt d’une approche davantage mutualisée. Selon lui, le fait pour plusieurs administrations de traiter séparément des besoins similaires peut entraîner une dispersion des efforts, une redondance des acquisitions et une perte d’efficacité. « Pour moi, on est dans une sorte de dispersion dans l’action de l’investissement, et ceci n’est pas favorable à la performance et à l’efficacité », a-t-il estimé.

L’une des pistes serait donc de regrouper certains besoins et de rechercher des mécanismes de centralisation des achats. Moustapha DJITTE a rappelé à cet égard que le Code des marchés publics offre déjà des possibilités de regroupement entre administrations. « Même si le décret n’est pas adapté, aujourd’hui, l’article 41 du Code des marchés peut permettre, lorsque des administrations veulent se regrouper, de mettre en place une commission pour organiser la centralisation de l’achat », a-t-il indiqué.

Pour l’ARCOP, cette mutualisation pourrait permettre de réduire les délais, d’éviter la multiplication des procédures et de favoriser des économies d’échelle.

En conclusion, le Directeur général a réaffirmé la disponibilité de l’ARCOP à accompagner les administrations dans la recherche de solutions adaptées à leurs contraintes opérationnelles. « L’orientation de l’Autorité, c’est d’aller vers l’encadrement », a-t-il rappelé, précisant toutefois que les procédures doivent pouvoir évoluer avec les besoins de l’administration. « Chaque fois que ce qui a été paramétré dans le mode de procédure nous semble dépassé, nous sommes disposés à engager des discussions pour justement prendre en compte et prendre en charge les préoccupations exprimées par l’administration », a-t-il assuré.

Au terme des échanges, la rencontre aura permis de dégager plusieurs pistes : meilleure qualification des infrastructures critiques, optimisation des procédures, recours aux mécanismes prévus par la réglementation, utilisation des marchés de clientèle, recours aux spécifications fonctionnelles et mutualisation de certains achats.