Ce que la loi sur la cybersécurité 1038 signifie pour les institutions ghanéennes
La loi a changé le sens même de « l’achat de sécurité »
Pendant la majeure partie de la dernière décennie, une banque, un ministère ou un service public ghanéen pouvait acheter des services de cybersécurité auprès de quiconque présentait la proposition la plus convaincante. La loi sur la cybersécurité de 2020 (loi 1038) a mis fin à cette situation. Elle a institué la Cyber Security Authority (CSA) comme régulateur national et a construit autour d’elle un régime de licences et d’accréditations — et depuis 2026, ce régime est appliqué. Pour toute institution qui achète des prestations de cybersécurité, ce n’est plus un détail réglementaire de second plan. C’est désormais un volet de la diligence raisonnable.
Cet article explique ce que la loi 1038 exige réellement, ce que l’application signifie en pratique, et comment une institution devrait lire les déclarations de conformité d’un prestataire sans se laisser induire en erreur.
Ce que la loi 1038 institue
Un régulateur national doté d’un mandat de licence
La loi est entrée en vigueur fin 2020 et a créé la CSA pour réguler l’activité de cybersécurité au Ghana. Surtout, elle ne s’est pas arrêtée à la politique. Elle a établi une structure selon laquelle les prestataires de services de cybersécurité (CSP) doivent être licenciés, et les établissements de cybersécurité (CE) et les professionnels de cybersécurité (CP) doivent être accrédités avant de pouvoir offrir légalement des services réglementés.
Cinq catégories de services réglementés
Le régime de licences couvre cinq types de services définis : l’évaluation des vulnérabilités et les tests d’intrusion, la criminalistique numérique, les services de cybersécurité gérés (y compris les opérations CERT/SOC), les travaux de gouvernance-risque-conformité (GRC), et la formation à la cybersécurité. Si une société offre l’un de ces services à une institution au Ghana, la question de la licence s’applique à cette société.
La place du Ghana dans ce paysage
Le Ghana est le premier pays d’Afrique à exploiter un régime complet de licences pour les prestataires de cybersécurité — et l’un des rares au monde à le faire. Ce n’est pas un argument commercial ; c’est un fait documenté concernant l’architecture réglementaire. Pour les institutions, cela signifie que le seuil déterminant qui peut légalement leur vendre des prestations de sécurité est désormais fixé par la loi, et non par le talent commercial.
Ce que l’application signifie réellement
L’évolution la plus importante est que l’application n’est plus théorique. Depuis le début de 2026, les prestataires opérant sans licence ou accréditation valide sont passibles de sanctions — y compris la perspective de poursuites pénales et de pénalités administratives au titre de la loi. Pour une institution réglementée, la conséquence pratique est directe : engager un prestataire non licencié pour un service réglementé n’est plus un choix d’achat neutre. C’est une exposition de gouvernance qu’un auditeur ou un comité des risques du conseil peut raisonnablement remettre en question.
Comment lire honnêtement les déclarations d’un prestataire
C’est là que les institutions doivent être les plus prudentes, car le langage de la conformité est facile à brouiller.
« Licencié » signifie licencié — vérifiez-le
Un prestataire devrait pouvoir énoncer clairement son statut de licence auprès de la CSA. S’il détient une licence CSP, cela est vérifiable. S’il n’en détient pas encore, une société honnête le dit — par exemple, qu’elle opère selon les exigences de la loi 1038 avec une demande de licence en cours — plutôt que de laisser entendre une accréditation qu’elle ne possède pas. Une déclaration de licence non détenue est précisément le genre d’affirmation que, après l’application, une institution ne peut pas se permettre de prendre pour argent comptant.
« Aligné » n’est pas « certifié »
La même discipline s’applique aux référentiels. « Aligné sur l’ISO 27001 » n’est pas la même chose que « certifié ISO 27001 ». Une société peut conduire sa pratique selon les référentiels ISO 27001, NIST ou CIS sans détenir la certification — et c’est parfaitement légitime, à condition de le dire avec exactitude. De même, SOC 2 est un rapport d’attestation, et non une certification. Un prestataire qui brouille ces distinctions vous renseigne sur la manière dont il traitera le reste de votre engagement.
Ce que cela signifie pour votre institution
Si vous achetez des services de cybersécurité au Ghana, trois questions appartiennent désormais à chaque engagement : le prestataire est-il licencié ou accrédité pour le service réglementé qu’il vous vend ? Peut-il énoncer son statut de référentiel sans surenchérir ? Et documente-t-il son travail selon une norme que votre conseil et votre régulateur peuvent examiner ? Ce ne sont pas des questions techniques. Ce sont des questions de gouvernance — et la loi les a rendues incontournables.
Kronix Shield opère dans le cadre du régime CSA / loi 1038 et décrit honnêtement son statut de licence et de certification — jamais une accréditation qu’elle ne détient pas. Nous pouvons aider votre institution à cartographier ses propres obligations et à évaluer sa posture actuelle au regard de celles-ci. Consultez nos pratiques de services de cybersécurité et de préparation à l’ISO 27001 pour comprendre le déroulement d’un engagement.
Demandez une évaluation de sécurité — ou discutez de votre posture de sécurité : +233 20 531 3333.