La circulaire gouvernementale n°05 du 2 septembre 2026 impose de nouvelles obligations de cybersécurité aux administrations et entreprises publiques. Elle prévoit notamment l’authentification multifacteur (MFA), l’hébergement auprès d’opérateurs agréés, l’utilisation du protocole HTTPS, un audit annuel de sécurité et le signalement immédiat des incidents. Elle interdit également la transmission de documents administratifs via les applications de messagerie ou les réseaux sociaux et réserve les échanges officiels aux courriels institutionnels en « .tn ».
Le MFA devient obligatoire
L’une des principales mesures concerne l’authentification multifacteur, qui doit renforcer la protection des accès aux systèmes et services numériques publics.
Concrètement, l’identifiant et le mot de passe ne doivent plus constituer l’unique barrière d’accès. Les administrations devront donc disposer des outils permettant aux agents d’utiliser un second facteur d’authentification.
Cette obligation implique un effort technique, mais aussi organisationnel, notamment pour les structures qui ne disposent pas encore d’une infrastructure adaptée.
Fin du partage de documents par les messageries
La circulaire entend également mettre fin à une pratique devenue courante : l’échange de documents administratifs via les applications mobiles de messagerie et les réseaux sociaux.
Les documents officiels devront désormais transiter par les canaux institutionnels prévus à cet effet, notamment les adresses électroniques nationales en « .tn ».
La mesure concerne directement les habitudes de travail des agents publics, en particulier lorsqu’ils échangent rapidement des fichiers ou des documents depuis leur téléphone. Sa mise en œuvre nécessitera donc des consignes claires et des moyens permettant de disposer d’alternatives sécurisées.
Hébergement et protection contre les attaques
Les services numériques concernés devront être hébergés auprès d’opérateurs agréés et utiliser le protocole HTTPS afin de sécuriser les communications.
La circulaire prévoit également une protection contre les attaques par déni de service distribué (DDoS), qui peuvent rendre une plateforme publique indisponible en la saturant de requêtes malveillantes.
L’objectif est donc de protéger à la fois les données, les accès et la continuité des services publics numériques.
Un audit chaque année
Autre obligation : les organismes concernés devront réaliser un audit annuel de sécurité informatique.
Cette disposition doit permettre d’identifier régulièrement les vulnérabilités et de corriger les failles avant qu’elles ne soient exploitées. Elle pourrait toutefois représenter une charge supplémentaire pour les administrations qui ne disposent pas de compétences spécialisées en interne et devront recourir à des prestataires.
Le point décisif : l’application
Le texte fixe désormais un cadre plus strict, mais son efficacité dépendra de sa traduction sur le terrain.
Plusieurs questions restent à préciser : quel calendrier pour la mise en conformité ? Quels budgets seront consacrés au déploiement du MFA, aux audits et à la protection des infrastructures ? Quels organismes contrôleront l’application des nouvelles règles ? Et quelles mesures seront prises en cas de non-respect ?
Pour les agents publics comme pour les prestataires informatiques, la circulaire marque en tout cas un changement important : la cybersécurité devient une obligation de fonctionnement des services publics numériques, avec des règles précises concernant les accès, les échanges de documents, l’hébergement, la surveillance et la gestion des incidents.
Lire aussi :
