Cybersécurité du secteur financier tunisien : les règles

La cybersécurité du secteur financier tunisien n'est plus un sujet purement technique : c'est devenu une exigence réglementaire. Avec l'essor du paiement mobile et l'ouverture de compte à distance désormais permise, la Banque centrale de Tunisie (BCT) et l'Agence nationale de la cybersécurité (ANCS) durcissent les règles en matière d'audit, de déclaration d'incidents et de vérification d'identité. Pour une fintech, la sécurité fait désormais partie de l'agrément.

Pourquoi le risque augmente

La surface d'attaque s'élargit vite. Selon les chiffres 2025 de la BCT rapportés par La Presse, les paiements mobiles ont progressé de 80,5 % à 8,4 millions d'opérations, les portefeuilles électroniques en circulation ont atteint 469 000 et le paiement en ligne a crû de 31 % en valeur. Les banques remplacent par ailleurs leurs systèmes centraux et ouvrent de nouveaux canaux numériques.

Le régulateur en a conscience. Lors de l'Africa Banking Forum, à Tunis en février 2025, le vice-gouverneur de la BCT Mourad Abdessalem a cité la montée des menaces cybernétiques parmi les risques émergents auxquels la stabilité financière doit résister, et appelé à une coopération accrue entre banques centrales.

Les données publiques sur les incidents dans les établissements financiers tunisiens sont rares, ce qui empêche de mesurer précisément la menace. En revanche, la réglementation rattrape son retard.

Le cadre juridique de la cybersécurité du secteur financier tunisien

Trois niveaux de règles s'appliquent aux banques et aux fintechs.

La loi nationale sur la cybersécurité

Le décret-loi n° 2023-17 relatif à la cybersécurité constitue le cadre national. Il est mis en œuvre par l'ANCS (Agence nationale de la cybersécurité), que certains articles désignent encore par son ancien sigle, ANSI. Le texte encadre les audits de sécurité et l'agrément des cabinets qui les réalisent. Les circulaires de la BCT y renvoient désormais directement.

Les règles de la BCT pour les établissements de paiement

Les établissements de paiement relevaient d'abord de la circulaire 2018-16, qui imposait déjà un audit annuel de sécurité informatique transmis à la BCT, un plan de continuité d'activité testé et une gestion des risques opérationnels et cyber, selon Ilboursa.

La nouvelle circulaire 2026-10, publiée le 25 septembre 2026, va plus loin. D'après Challenges, Webdo et Launch Base Africa :

• Audit annuel des systèmes d'information par un cabinet indépendant certifié par l'ANCS, rapport transmis à la BCT.
• Déclaration sans délai de toute attaque ou intrusion à la BCT et à l'ANCS.
• Cloisonnement des systèmes de l'établissement par rapport à ceux de ses partenaires, et protection des fonds des clients vis-à-vis de ces derniers.
• Ouverture de compte à distance uniquement avec au moins deux facteurs d'authentification et une vérification de présence par reconnaissance faciale ou équivalent, technologie auditée au moins tous les deux ans.
• Gouvernance : comité d'audit et des risques au sein du conseil, fonctions indépendantes de gestion des risques, de conformité et d'audit interne.
• Traçabilité : selon Launch Base Africa, les journaux de transactions doivent être conservés dix ans.

Les établissements disposent de trois mois après publication pour se conformer. Voir notre guide des établissements de paiement en Tunisie.

Les banques et l'entrée en relation à distance

Pour les banques, une circulaire de la BCT du 28 février 2025 fixe les exigences minimales de l'enrôlement électronique. La vérification d'identité à distance doit être au moins aussi robuste qu'en présentiel, au sens de la circulaire 2017-08, et la vigilance proportionnée au risque du client. Notre article sur l'e-KYC et la lutte anti-blanchiment détaille l'articulation avec les obligations LBC/FT.

Protection des données et souveraineté

Cybersécurité et protection des données se recoupent. Le traitement des données personnelles relève de la loi organique 2004-63, sous le contrôle de l'INPDP, un texte largement jugé dépassé. Voir notre article sur la protection des données pour les fintechs.

Un second débat porte sur la souveraineté. Dans une tribune publiée en février 2026 par L'Economiste Maghrébin, Abdelwaheb Ben Moussa, cadre informatique dans une banque publique, plaide pour traiter la cybersécurité comme un pilier de souveraineté : maîtrise et localisation des données bancaires, moindre dépendance aux solutions propriétaires étrangères et préservation de la confiance, une cyberattaque majeure pouvant freiner l'adoption du numérique. Il s'agit d'une opinion, pas d'une règle, mais elle reflète des préoccupations internes au secteur.

Ce que cela implique pour les fondateurs

La sécurité fait désormais partie du modèle économique. Quelques réflexes pour une fintech tunisienne :

1. Budgéter les audits dès le départ. L'audit annuel par un cabinet certifié ANCS est obligatoire pour les établissements de paiement.
2. Rédiger un plan de réponse aux incidents prévoyant la notification immédiate à la BCT et à l'ANCS, pas seulement une escalade interne.
3. Choisir ses prestataires d'e-KYC avec soin. Reconnaissance faciale et détection du vivant doivent passer des audits périodiques ; demandez l'historique d'audit et le lieu d'hébergement des données.
4. Cloisonner systèmes et données vis-à-vis des partenaires : opérateurs télécoms, agents, fournisseurs en marque blanche.
5. Tout journaliser et prévoir le stockage sur de longues durées.
6. Former équipes et agents, l'ingénierie sociale et la fraude au niveau des agents étant des portes d'entrée fréquentes dans le mobile money.

Pour les banques qui travaillent avec des fintechs, ces règles facilitent aussi la due diligence : un partenaire déjà audité par un cabinet certifié présente moins de risques.

Les points à surveiller

• Le texte intégral de la circulaire 2026-10, notamment le fonctionnement concret de la certification ANCS.
• L'application des règles à l'issue de la période transitoire de trois mois, fin décembre 2026.
• La réforme de la protection des données, qui changerait les conditions de stockage et de partage.
• L'IA, côté fraude comme côté défense. Voir notre article sur l'IA dans les banques tunisiennes.

Les règles tunisiennes se rapprochent des pratiques internationales. Reste l'exécution : assez d'auditeurs certifiés, assez de compétences en sécurité et assez de budget, en particulier pour les petites fintechs.