La Cheffe du gouvernement, Sarra Zaâfrani Zenzeri, a adressé le 2 septembre 2026 le circulaire n°5 aux ministres, secrétaires d’État, walis et responsables des établissements et entreprises publiques, portant sur la sécurisation des systèmes numériques nationaux au sein des structures publiques.
Contexte et références
Le document s’appuie sur la loi organique n°63 de 2004 relative à la protection des données personnelles, le décret n°31 de 2020 sur l’échange électronique des données entre organismes publics, le décret n°17 de 2023 relatif à la cybersécurité, ainsi que l’ordonnance gouvernementale n°777 de 2020. La circulaire généralise une note technique de l’Agence nationale de la sécurité informatique (ANSI), destinée aux responsables de la sécurité des systèmes d’information (RSSI) des organismes publics.
Hébergement et sécurisation des sites officiels
La circulaire rappelle l’obligation d’héberger les sites et plateformes électroniques officiels exclusivement auprès du Centre national de l’informatique, des centres informatiques sectoriels publics, de fournisseurs d’accès internet agréés, de prestataires de cloud, ou d’opérateurs de télécommunications autorisés, sauf dérogations liées à la défense et à la sécurité nationale.
Le protocole HTTPS doit être généralisé sur l’ensemble des pages des sites officiels, avec certificats SSL/TLS renouvelés régulièrement. L’authentification multifacteur (MFA) doit être activée pour tous les utilisateurs, en particulier les administrateurs. Un audit de sécurité par un organisme agréé par l’ANSI est requis avant toute mise en production, avec renouvellement annuel minimum. Les organismes sont également invités à souscrire à des services de protection contre les attaques DDoS auprès de leurs opérateurs.
Messagerie électronique officielle
La circulaire insiste sur l’usage exclusif du domaine “.tn” pour les correspondances officielles, la mise à jour régulière des comptes, la désactivation des comptes inactifs, l’activation de la journalisation (logging) et rappelle l’interdiction de tout échange de documents administratifs via des canaux non officiels, notamment les applications de messagerie mobile et les réseaux sociaux.
Mesures organisationnelles
Le texte rappelle la nécessité d’un audit périodique conforme aux articles 6 et 8 du décret de 2023, d’une notification immédiate de l’ANSI en cas d’incident cyber avéré ou suspecté, de l’interdiction du partage de comptes d’accès entre agents, et d’une coordination préalable obligatoire avec le ministère des Technologies de la communication pour tout projet touchant aux infrastructures télécoms critiques ou aux bases de données sensibles.
Formation et accompagnement
Les organismes publics sont invités à organiser des sessions de formation et de sensibilisation régulières pour leurs cadres et agents, à intégrer dans les plans de formation annuels, et à garantir les ressources humaines, techniques et budgétaires nécessaires à la mise en œuvre de ces bonnes pratiques.
Walid Naffati
