Un marché numérique qui se professionnalise
À Accra, la cybersécurité n’est plus seulement une affaire de techniciens. Elle devient une question de discipline publique, de continuité administrative et de crédibilité économique. Dans un pays où les services de l’État, les banques, les télécoms et les plateformes de paiement se dématérialisent vite, la moindre faille touche directement les entreprises, les usagers et les finances publiques.
Le Ghana s’inscrit dans une trajectoire déjà engagée depuis le Cybersecurity Act, 2020 (Act 1038), qui donne à la Cyber Security Authority, en français l’Autorité de cybersécurité, le pouvoir de réguler les activités du secteur. Le texte interdit de fournir certains services sans licence et encadre aussi la protection des infrastructures d’information critiques, c’est-à-dire les systèmes dont la panne ou l’attaque perturberait fortement la vie économique et sociale.
Ce que la décision change concrètement
Le rappel à l’ordre vise cette fois l’Office of the Registrar of Companies, l’organisme chargé du registre des sociétés, et Purpleline Solutions, une entreprise ghanéenne active dans les services numériques. Selon les éléments publiés par la CSA, l’office public a été sanctionné pour avoir retenu un prestataire qui n’était pas encore autorisé à exercer, tandis que l’entreprise a été pénalisée pour avoir fourni des services de cybersécurité avant d’obtenir la licence requise.
La CSA a infligé à l’ORC une amende totale de 240 000 cedis ghanéens, soit deux pénalités de 120 000 cedis, et a donné un mois à l’institution pour se mettre en conformité. Purpleline Solutions a, de son côté, écopé d’une amende supplémentaire de 120 000 cedis. Dans le régime ghanéen, une demande de licence ne vaut pas autorisation d’exercer. Le principe est clair : tant que la licence n’est pas délivrée, l’activité reste interdite.
Cette précision compte, car le secteur s’étoffe vite. La CSA a commencé à délivrer des licences et accréditations en 2024. Le 10 juillet 2024, 51 acteurs ont reçu leurs premiers agréments. Puis, le 12 septembre 2024, 94 autres ont rejoint la liste, portant le total à 145 prestataires autorisés. L’Autorité avait alors présenté le Ghana comme le premier pays africain à mettre en place un cadre complet pour les prestataires, les établissements et les professionnels de la cybersécurité.
Le dispositif ne couvre pas seulement les sociétés de conseil. Il inclut aussi les tests de vulnérabilité et d’intrusion, la criminalistique numérique, les services managés, la gouvernance, le risque, la conformité et la formation. Autrement dit, il touche toute la chaîne de confiance autour des systèmes numériques.
Pourquoi l’État ghanéen serre la vis
Le durcissement répond à une réalité simple : plus un pays numérise ses services, plus il expose ses systèmes à des attaques, mais aussi à des prestataires insuffisamment qualifiés. La CSA rappelle que le Ghana a identifié 13 secteurs comme infrastructures d’information critiques. D’après ses documents, 189 institutions ont été désignées dans ces 13 secteurs. Les autorités y voient un socle à protéger, car ces entités font fonctionner l’économie, l’énergie, les télécommunications, la santé, la finance et une partie de l’administration.
Le message adressé au marché est donc double. D’abord, l’État veut sécuriser ses propres systèmes, y compris ceux des administrations qui gèrent des données sensibles. Ensuite, il veut professionnaliser une filière encore jeune, où la croissance rapide du numérique peut attirer des opérateurs sérieux, mais aussi des acteurs opportunistes. Dans ce contexte, la licence devient un filtre de qualité, et pas seulement une formalité administrative.
Cette orientation s’inscrit aussi dans un mouvement plus large en Afrique de l’Ouest. La CEDEAO pousse depuis plusieurs années l’harmonisation des réponses face aux cybermenaces, aux fraudes en ligne et aux atteintes aux données. Le Ghana cherche à se positionner comme un pôle réglementaire crédible dans cet espace, au moment où les services numériques transfrontaliers, les paiements mobiles et les échanges de données se multiplient. La région a besoin de règles lisibles, surtout pour les prestataires qui travaillent au-delà des frontières nationales.
Pour les institutions publiques, cette rigueur peut paraître contraignante. Mais elle réduit un risque plus coûteux : celui de confier des systèmes sensibles à des entreprises non agréées, ou de laisser se développer un marché sans standards communs. Pour les entreprises privées, notamment les petites structures, la licence impose des coûts de conformité. En échange, elle peut renforcer la confiance des clients, des partenaires et des investisseurs.
Un signal au Ghana, mais aussi au reste du continent
Le cas ghanéen intéresse au-delà d’Accra. En Afrique, plusieurs États cherchent encore l’équilibre entre ouverture numérique et contrôle du secteur. Le Ghana montre qu’un cadre peut être mis en place sans attendre une crise majeure. Il montre aussi qu’une réglementation efficace dépend moins des annonces que de l’application concrète, y compris face à une administration publique lorsqu’elle outrepasse les règles.
La portée continentale tient aussi à la méthode. Le pays a commencé par encadrer les prestataires, puis par publier des listes d’opérateurs autorisés et par sanctionner les cas de non-conformité. Cette séquence peut inspirer d’autres pays qui veulent structurer leur marché de la cybersécurité sans bloquer l’innovation. Elle rappelle surtout qu’un État numérique ne se résume pas à des plateformes et à des applications. Il repose aussi sur des règles, des contrôles et des professionnels reconnus.
À court terme, le point à surveiller sera la réaction des autres administrations et des entreprises de services numériques au Ghana. Si la CSA maintient la même ligne, le marché local devrait continuer à se formaliser, avec davantage de licences, davantage d’audits et moins d’espace pour les prestataires improvisés. Pour le pays, c’est une étape logique dans une économie numérique qui prend de la place. Pour l’Afrique de l’Ouest, c’est un test de maturité réglementaire.
