Cybersécurité et infrastructures d’information critiques : l’Autorité nationale de cybersécurité en vertu de la loi n° 26/2017, les obligations de signalement, de conservation des données et de retrait des contenus illicites des fournisseurs de services en vertu de la loi n° 60/2018 sur la cybercriminalité, les normes minimales de la NCSA pour les fournisseurs de services essentiels, la règle des deux heures de la BNR pour les établissements financiers, et les amendes des sociétés de 30 % à 70 % des bénéfices

Le cadre : trois lois, des normes et des règles sectorielles

Les règles rwandaises de cybersécurité reposent sur trois lois. La loi n° 26/2017 du 31/05/2017 portant création de l’Autorité nationale de cybersécurité et déterminant sa mission, son organisation et son fonctionnement (la loi sur la NCSA) crée le régulateur. La loi n° 60/2018 du 22/8/2018 portant prévention et répression de la cybercriminalité (la loi sur la cybercriminalité), publiée au Journal officiel n° spécial du 25/09/2018, impose des obligations aux fournisseurs de services, prévoit la protection des infrastructures d’information critiques et définit les infractions. La loi n° 058/2021 du 13/10/2021 relative à la protection des données à caractère personnel et de la vie privée ajoute des obligations de sécurité, de notification des violations et de conservation chaque fois que des données personnelles sont en jeu (La protection des données personnelles). Sous ces lois se trouvent les normes et directives de la NCSA, ainsi que les règles sectorielles de la BNR, de la Capital Market Authority (CMA) et de la Rwanda Utilities Regulatory Authority (RURA).

Il n’existe pas de licence ni d’enregistrement unique en matière de cybersécurité pour les entreprises ordinaires. Ce qu’un investisseur doit faire dépend de ce qu’il est : toute entreprise qui traite des données personnelles a des obligations de sécurité des données et de notification des violations ; tout fournisseur de services, notion que la loi sur la cybercriminalité définit largement comme incluant toute entité qui fournit des services au moyen d’un système informatique ou qui traite ou conserve des données informatiques pour le compte d’utilisateurs (article 3), a des obligations de signalement et de retrait ; un fournisseur de services essentiels doit respecter les normes minimales de la NCSA ; un établissement réglementé par la BNR doit respecter les règlements de la BNR sur la cybersécurité et l’externalisation ; et l’exploitant d’une infrastructure d’information critique sera soumis aux règles d’un arrêté présidentiel une fois celui-ci adopté. Le rapport 2026 du Département d’État des États-Unis sur le climat d’investissement relève que les fournisseurs informatiques étrangers ne sont pas tenus de remettre leur code source ni leur technologie de chiffrement.

L’Autorité nationale de cybersécurité et ses pouvoirs

La NCSA est placée sous la Présidence de la République (article 5 de la loi sur la NCSA) et jouit de l’autonomie administrative et financière (article 8). Ses missions comprennent le conseil aux institutions publiques et privées sur la défense des intérêts du Rwanda dans le cyberespace, le renseignement cyber, l’établissement de lignes directrices fondées sur les principes nationaux, régionaux et internationaux de sécurité des TIC, la coordination de la politique nationale de sécurité des TIC et la prévention des cyberattaques contre les infrastructures des TIC en général et les infrastructures d’information critiques en particulier (article 9). Ses pouvoirs, à l’article 10, consistent à fixer des lignes directrices et des normes de protection du cyberespace et de sécurité des TIC au sein des institutions publiques et privées ; à réaliser des audits des infrastructures d’information critiques, des systèmes et des réseaux informatiques des institutions publiques et privées lorsque cela est nécessaire à la préservation de la sécurité nationale et de l’intérêt public ; à enquêter sur les cybermenaces et à prendre des mesures préventives ; à mener des opérations de cybersécurité ; et à mettre en place des mécanismes de partage d’informations sur les menaces et les attaques.

La NCSA exploite l’équipe nationale de réponse aux incidents de sécurité informatique, Rw-CSIRT, qui reçoit les signalements d’incidents par le formulaire en ligne de la NCSA, et elle est aussi depuis 2021 l’autorité de contrôle des données personnelles par l’intermédiaire de son bureau de la protection des données et de la vie privée. Un régulateur unique pour la cybersécurité et la protection des données signifie qu’un incident grave impliquant des données personnelles est signalé à la même autorité en vertu de deux lois, selon deux calendriers. La stratégie nationale de cybersécurité 2024-2029 de la NCSA expose son programme, notamment l’identification des infrastructures nationales d’information critiques et des services essentiels.

Les obligations des fournisseurs de services en vertu de la loi sur la cybercriminalité

La loi sur la cybercriminalité porte au-delà des frontières du Rwanda : elle s’applique à toutes les infractions informatiques commises au Rwanda, et à celles commises hors du Rwanda si elles produisent des effets au Rwanda (article 2). Son chapitre consacré à la prévention impose quatre séries d’obligations aux fournisseurs de services. Un fournisseur de services de communications électroniques doit prendre des mesures raisonnables pour informer ses clients des tendances de la cybercriminalité qui peuvent les toucher, mettre en place des procédures permettant aux clients de signaler les infractions informatiques, indiquer aux clients comment se protéger, et révéler les abus à la victime et à l’organe de cybersécurité (article 4).

Tout fournisseur de services qui sait ou est informé que son ordinateur, son système ou son réseau sert à commettre une infraction doit le signaler immédiatement à l’autorité chargée de la cybersécurité et conserver toute information susceptible d’aider l’enquête, en particulier les informations indiquant l’origine, la destination, l’itinéraire, l’heure, la date, la taille, la durée et le type de service sous-jacent de la communication (article 5). Un fournisseur de services informé par les organes de sécurité ou par l’organe de cybersécurité d’informations ou d’activités illicites ou préjudiciables doit retirer l’information, suspendre ou interrompre le service concerné et fournir aux enquêteurs les informations qu’ils demandent (article 6). Ne pas donner suite à une notification de retrait concernant des données ou des activités portant atteinte aux droits du destinataire ou d’un tiers, ou des contenus illicites, est une infraction punie d’une amende de 1 000 000 RWF à 3 000 000 RWF (article 50).

Ces obligations ne se limitent pas aux opérateurs de télécommunications. Un fournisseur de cloud, un hébergeur, une plateforme logicielle en ligne, une place de marché ou un réseau d’entreprise qui conserve des données pour des utilisateurs peut être un fournisseur de services au sens de l’article 3, et un intermédiaire en ligne a aussi une obligation de retrait en vertu de l’article 46 de la loi n° 011/2026 du 26/02/2026 relative à la concurrence et à la protection des consommateurs dès qu’il a effectivement connaissance d’informations illicites (Commerce électronique, fintech et IA). Les plateformes devraient donc disposer d’une procédure de retrait documentée, d’un registre des notifications et d’une procédure de conservation qui puisse être déclenchée sans attendre une décision de justice.

Les infrastructures d’information critiques

Les infrastructures d’information critiques sont les systèmes d’information virtuels et physiques qui fournissent des services aux citoyens et constituent l’épine dorsale de la vie économique, sociale et sécuritaire nationale (article 3 de la loi sur la cybercriminalité). L’article 11 de la loi sur la NCSA et l’article 7 de la loi sur la cybercriminalité renvoient leur identification et leur protection à un arrêté présidentiel, qui doit prescrire des normes minimales en matière de protection et de préservation, de gestion générale, d’accès aux données, de transfert et de contrôle des données, d’intégrité et d’authenticité, de conservation et d’archivage, de plans de reprise des données, d’audits et d’inspections à tout moment, et d’autres matières nécessaires à la protection des données et ressources critiques.

Aucun arrêté présidentiel de ce type n’avait été trouvé au 10 octobre 2026, et la stratégie nationale de cybersécurité 2024-2029 mentionne encore l’identification des infrastructures nationales d’information critiques et des services essentiels parmi les travaux à mener. Tant que l’arrêté n’est pas adopté, aucun exploitant ne peut être formellement désigné, mais les conséquences légales d’une attaque sont déjà lourdes : porter atteinte aux données informatiques conservées dans une infrastructure nationale d’information critique est puni de 10 à 15 ans d’emprisonnement et d’une amende de 10 000 000 RWF à 30 000 000 RWF (article 24). Les investisseurs dans l’énergie, les télécommunications, l’eau, les transports, la santé, la finance et les marchés de technologies publiques devraient s’attendre à être désignés et concevoir des systèmes capables de satisfaire aux règles d’accès, de conservation, de reprise et d’audit que fixera l’arrêté.

Les normes minimales pour les fournisseurs de services essentiels

La NCSA a publié des normes minimales de cybersécurité pour les institutions publiques, pour le secteur financier et pour les fournisseurs de services essentiels, ainsi que des directives sur les logiciels et les réseaux, toutes publiées sur sa page de documentation. Les normes minimales de cybersécurité pour les fournisseurs de services essentiels, version 1.0 datée du 28 juillet 2023 et prises en vertu de la loi sur la NCSA, définissent un fournisseur de services essentiels (FSE) comme une entité autorisée ou agréée qui fournit un service essentiel au public, aux entreprises ou à d’autres organisations lorsque ce service dépend de réseaux et de systèmes d’information et qu’un incident aurait des effets perturbateurs importants. Les FSE devaient s’y conformer dans un délai d’un an à compter de la publication, et la norme doit être réexaminée au moins tous les quatre ans.

La norme fonctionne en trois niveaux. Le niveau 1, exigences de base, est obligatoire pour tous les FSE. Le niveau 2, exigences conformes aux normes du secteur, est obligatoire pour un FSE qui fournit un service à au moins un million d’utilisateurs ou de bénéficiaires uniques. Le niveau 3, exigences avancées, vise les FSE qui traitent des informations critiques dont la défaillance pourrait gravement affecter la nation. Le niveau est choisi après une évaluation des risques, mais la NCSA peut déterminer la catégorie d’une institution avec les autorités compétentes. Ses dix-huit familles de contrôles vont de la politique de sécurité, du contrôle d’accès, de la formation, de l’audit et de la responsabilité et de la gestion des identités à la réponse aux incidents, à l’évaluation des risques et de la sécurité, à la protection des informations personnelles, à la planification de la continuité et à la gestion des risques de la chaîne d’approvisionnement, et elle recommande le dépôt fiduciaire du code source des logiciels critiques. Un FSE peut écarter une exigence impossible à mettre en œuvre ou inapplicable après évaluation des risques, mais la dérogation doit être justifiée, documentée, approuvée par la direction générale et communiquée à la NCSA. La norme prévoit que le Rw-CSIRT soit informé de tout incident susceptible d’avoir un impact important sur la santé ou la sécurité publiques, sur des services critiques à grande échelle, sur la stabilité socio-économique ou sur la sécurité nationale.

Établissements financiers, prestataires de services de paiement et externalisation

Le secteur financier a les règles les plus détaillées. Le règlement n° 50/2022 du 02/06/2022 de la Banque nationale du Rwanda (BNR) sur la cybersécurité dans les établissements réglementés impose à un établissement de notifier à la BNR un incident de cybersécurité dans les deux heures et de remettre un rapport complet dans les 24 heures. Le règlement n° 49/2022 du 02/06/2022 sur l’externalisation ne permet l’externalisation hors du Rwanda que si l’accès de la BNR aux données et aux systèmes n’est pas entravé (article 18) et fixe des règles pour les services de cloud (article 20). Les prestataires de services de paiement agréés en vertu du règlement n° 74/2023 du 18/09/2023 doivent respecter les règlements sur la cybersécurité et la continuité d’activité, tenir compte des normes internationales et maintenir un programme de continuité d’activité comportant une analyse d’impact, des stratégies de reprise et des sites de secours (article 54), protéger les données de paiement et les données personnelles conformément à la loi sur la protection des données (article 52) et respecter le règlement sur l’externalisation (article 44) ; leurs demandes d’agrément comprennent une politique de sécurité décrivant les systèmes, les flux de données et les contrôles.

Pour une banque, un assureur, une institution de microfinance ou un prestataire de paiement, un même incident peut donc déclencher trois délais : deux heures envers la BNR, 48 heures envers la NCSA pour toute violation de données personnelles en vertu de la loi n° 058/2021, et le signalement immédiat prévu à l’article 5 de la loi sur la cybercriminalité si ses systèmes servent à commettre une infraction. L’agrément et le cadre réglementaire général sont décrits dans Le système financier et les autorités de régulation et Paiements, monnaie et mobile money.

Infractions et sanctions

La loi sur la cybercriminalité définit un large éventail d’infractions. L’accès intentionnel et illicite à des données informatiques ou d’un système sans consentement ni droit est puni de six mois à deux ans et d’une amende de 1 000 000 RWF à 2 000 000 RWF (article 16). Le fait de modifier, d’entraver ou de perturber un ordinateur, un système ou un réseau, y compris par l’introduction d’un code malveillant, est puni de deux à cinq ans et de 1 000 000 RWF à 2 000 000 RWF, peine portée à cinq à sept ans et 3 000 000 RWF à 5 000 000 RWF pour les données d’un organe de sécurité de l’État et à dix à quinze ans et 10 000 000 RWF à 30 000 000 RWF pour une infrastructure nationale d’information critique (article 24). Le cybersquattage est puni d’un à deux ans et de 1 000 000 RWF à 3 000 000 RWF (article 27), l’hameçonnage d’un à deux ans et de 1 000 000 RWF à 3 000 000 RWF (article 36) et l’envoi de pourriels de trois à six mois (article 37).

Pour les sociétés, la disposition décisive est l’article 51 : une entité commerciale condamnée pour toute infraction prévue par la loi encourt une amende égale à 30 % à 70 % des bénéfices perçus au cours de l’exercice comptable de l’année où l’infraction a été commise. En vertu de l’article 52, le tribunal peut aussi confisquer les ordinateurs, logiciels et supports utilisés ainsi que les produits de l’infraction, et ordonner la fermeture temporaire ou définitive des locaux ou de la personne morale si l’infraction a été commise au su du propriétaire ou de la direction. Ces sanctions s’ajoutent aux amendes en matière de protection des données de 1 % du chiffre d’affaires mondial pour les manquements administratifs et de 5 % du chiffre d’affaires annuel pour les infractions commises par des personnes morales en vertu de la loi n° 058/2021 : un incident géré avec négligence peut donc exposer une société au titre des deux lois.

Réagir à un incident de cybersécurité au Rwanda, étape par étape

1. Contenir l’incident et déclencher l’horlogeIsolez les systèmes touchés et consignez l’heure à laquelle l’entreprise a pris connaissance de l’incident ; les délais de la BNR, de la NCSA et de la protection des données courent à compter de la prise de connaissance, et non de la fin de l’enquête.
2. Informer la BNR dans les deux heuresSi l’entité est un établissement réglementé par la BNR, envoyez la notification initiale dans les deux heures et le rapport complet dans les 24 heures en vertu du règlement n° 50/2022.
3. Signaler et conserverSi les systèmes servent à commettre une infraction, signalez-le immédiatement à la NCSA et conservez les informations relatives à l’origine, à la destination, à l’itinéraire, à l’heure, à la taille et à la durée (article 5 de la loi n° 60/2018) ; les fournisseurs de services essentiels alertent aussi le Rw-CSIRT.
4. Évaluer l’atteinte aux données personnellesDéterminez si des données personnelles ont été touchées ; dans l’affirmative, le responsable du traitement informe la NCSA dans les 48 heures et les sous-traitants informent leurs responsables du traitement dans le même délai (article 43 de la loi n° 058/2021).
5. Déposer le rapport à 72 heuresRemettez le rapport sur la violation avec les faits disponibles, les mesures prises et une proposition d’information des personnes concernées, pour approbation par la NCSA (article 44).
6. Informer les personnes touchéesLorsque le risque pour les personnes est élevé, communiquez-leur la violation par écrit ou par voie électronique, sauf si une exception de l’article 45 s’applique.
7. ClôturerConsignez les enseignements tirés, mettez à jour l’évaluation des risques et les contrôles, et rendez compte au conseil d’administration ; conservez le dossier en vue de toute inspection de la NCSA ou de la BNR.