Précision éditoriale — La première lecture de S.B. 12-85, le 24 septembre 2026, est documentée. Il s’agit toutefois d’un projet d’amendement sur les rapports administratifs et certaines définitions, portant sur un cadre de cybersécurité déjà créé par RPPL no 12-8 le 21 juillet 2026. [1] [2]
Aux Palaos, la construction d’une capacité nationale de cybersécurité se joue dans l’organisation des responsabilités, les moyens humains et la protection des données. Le projet de septembre concerne l’ajustement d’un dispositif déjà adopté. Sa contribution à l’autonomie numérique reste une question à examiner, et non un résultat acquis.
Deux textes, deux étapes de la même construction
Le registre parlementaire distingue le texte fondateur de son ajustement. S.B. 12-9 a abouti à la loi RPPL no 12-8, promulguée en juillet 2026. Deux mois plus tard, S.B. 12-85 entre en première lecture pour modifier le chapitre 9 du titre 15 du Code national. Confondre ces références ferait attribuer au projet de septembre des institutions et des moyens inscrits dans la loi antérieure. [1] [2]
Cette différence apparemment technique a une portée politique. Créer une autorité, définir à qui elle rend compte et vérifier qu’elle peut fonctionner sont trois opérations distinctes. La continuité des services publics dépend de leur articulation : une responsabilité mal définie peut retarder la réponse à un incident ; une responsabilité claire sans personnel ni ressources peut rester théorique. La souveraineté numérique se mesure dans cette capacité à décider et à agir.
De janvier 2025 à septembre 2026, une chronologie à restituer
La fiche officielle de S.B. 12-9 situe sa première lecture au 28 janvier 2025, sa deuxième au 8 avril et une troisième lecture avec amendement sénatorial au 14 octobre 2025. Elle mentionne ensuite une nouvelle adoption avec modification de la Chambre le 20 juillet 2026, puis la loi signée le lendemain. Le document joint est présenté par l’OEK comme la copie promulguée ; l’exemplaire des archives parlementaires fait autorité en cas de divergence. [2]
Proposé par TJ Imrur Remengesau, S.B. 12-85 a été renvoyé à la commission compétente le 24 septembre 2026. Il concerne les rapports des ministres et directeurs ainsi que des définitions. La fiche ne documente aucune étape ultérieure. [1]
Une seconde entrée intitulée simplement Cybersecurity Act porte le même numéro, le même résumé et les mêmes auteurs. Cela suggère un doublon de présentation du même projet ; ce constat ne prouve ni l’existence de deux textes concurrents ni une irrégularité parlementaire. Il oblige surtout à lire le résumé et le parcours, au lieu de déduire la nature du texte de son seul intitulé. [4]
La loi de juillet organise déjà une capacité publique
RPPL no 12-8 prévoit un Bureau de cybersécurité rattaché administrativement au ministère des Infrastructures publiques et des Industries. Ses missions comprennent normes de sécurité, surveillance des réseaux, réponse aux incidents et formation. Le texte organise aussi un responsable de la sécurité des systèmes d’information nommé par le président avec confirmation du Sénat, ainsi que la coopération avec des équipes étrangères de réponse aux incidents. [3]
La loi organise le signalement des incidents, la notification des personnes ou organisations dont les données sont compromises et la protection de la vie privée. Elle prévoit 150 000 dollars de crédits initiaux et une demande budgétaire annuelle. Ces dispositions ne prouvent ni le décaissement des crédits ni le fonctionnement effectif de l’institution. [3]
Le texte définit les agences comme relevant du gouvernement national exécutif et administratif. Certaines recommandations aux organismes non exécutifs et aux gouvernements des États sont volontaires. Ce périmètre n’établit pas une protection obligatoire et uniforme de toute infrastructure ou de tout opérateur privé. [3]
Rendre compte peut renforcer le contrôle, à certaines conditions
Un changement de circuit de rapport peut sembler secondaire face aux outils de sécurité. Il peut pourtant déterminer qui est informé d’un incident, qui arbitre les priorités et qui répond devant les institutions. Pour apprécier l’effet de S.B. 12-85, il faudrait comparer ses dispositions exactes avec celles de juillet : destinataires, contenu, délais et suites données aux rapports. Le résumé public ne suffit pas à conclure que la modification accroîtra ou réduira l’indépendance du dispositif.
L’autonomie numérique comporte aussi une dimension contractuelle. Une administration peut posséder ses ordinateurs sans maîtriser les comptes d’accès, les sauvegardes ou les conditions d’intervention de son prestataire. Une capacité nationale se juge alors à la disponibilité de personnels compétents, à la possibilité de changer de fournisseur et à l’existence de procédures de continuité éprouvées. Ces critères constituent une grille d’analyse ; le dossier consulté ne mesure pas leur niveau effectif aux Palaos.
La sécurité et les libertés doivent être examinées ensemble. Une circulation plus rapide de l’information peut améliorer la réponse à un incident, mais elle exige des règles de confidentialité et des responsabilités traçables. La protection des systèmes ne dispense pas de préciser qui accède aux données et pour quelle finalité. Le contrôle public a besoin d’informations suffisantes pour évaluer l’action, tout en préservant les données personnelles et les détails techniques sensibles.
Le Ghana montre comment identifier ce qui doit être protégé
L’expérience ghanéenne apporte une référence africaine précise. La Cyber Security Authority décrit, à partir des articles 35 à 40 du Cybersecurity Act de 2020, un ensemble de procédures de désignation, d’enregistrement et d’audit des infrastructures d’information critiques. Elle indique que treize secteurs ont été désignés le 23 septembre 2021 et qu’une directive a été lancée le 1er octobre suivant. Cette architecture permet de distinguer une autorité générale d’un régime applicable à des infrastructures identifiées. [5]
La directive ghanéenne vise les propriétaires désignés et fixe des exigences techniques et organisationnelles. Elle couvre notamment la gouvernance de la sécurité, la gestion des risques et la notification des incidents. Elle offre un objet vérifiable pour les opérateurs et le régulateur : des obligations associées à des entités déterminées. Son existence ne prouve toutefois ni l’absence d’attaques ni une conformité parfaite de tous les acteurs concernés. [6]
Pour les administrations et entreprises africaines, la comparaison met au premier plan leurs capacités de conception et de contrôle. Elles peuvent produire des règles adaptées, former des spécialistes et décider des services prioritaires. L’analyse ne consiste donc pas à rechercher uniquement un modèle extérieur : elle interroge la maîtrise locale des compétences, des contrats et des décisions, ainsi que la place des usagers dans les garanties offertes.
Aux Palaos, la même distinction aide à préciser la portée du dispositif. Une loi de cybersécurité ne suffit pas à établir un régime complet pour toutes les infrastructures critiques. Il faudrait des définitions opérationnelles, des désignations, des obligations et des preuves de contrôle. Aucun lien de filiation législative ou accord de coopération Palaos–Ghana n’est établi ici ; la comparaison porte sur des mécanismes institutionnels documentés.
Ce que les fiches parlementaires ne permettent pas de conclure
Le texte intégral de S.B. 12-85 n’a pas été obtenu ; la fiche renvoie au bureau du Sénat pour une copie. Au 21 octobre 2026, l’enquête établit sa première lecture, sans promulgation confirmée. Le registre peut être incomplet. [1]
Le dossier ne contient pas non plus de preuve suffisante de l’installation complète du Bureau, d’exécution de l’ensemble des crédits, de disponibilité permanente d’une équipe ou de résultats d’audits. Il ne permet pas d’attribuer à S.B. 12-85 une obligation générale de localisation des données, la création d’un centre de données national ou une baisse mesurée du nombre d’attaques. Ces résultats nécessiteraient des pièces distinctes.
Une évaluation devrait enfin préciser ce qui est effectivement rendu public. Un rapport annuel peut décrire des moyens engagés sans permettre de juger la qualité d’une réponse à incident. Inversement, tout détail technique ne peut être diffusé sans examen. La question est d’obtenir des indicateurs vérifiables et une responsabilité institutionnelle, tout en évitant que la confidentialité ne devienne une justification générale à l’absence de contrôle.
L’autonomie se vérifiera dans la continuité des services
Si l’amendement clarifie les responsabilités et s’accompagne de moyens, une première trajectoire serait celle d’une meilleure coordination entre administrations. Elle pourrait se vérifier par des exercices documentés, des délais de réponse et le traitement des recommandations. Si les rapports se multiplient sans équipes capables d’agir, une deuxième trajectoire produirait surtout une charge administrative supplémentaire. Le nombre de documents transmis ne serait alors pas une mesure suffisante de sécurité.
Une troisième trajectoire concernerait la dépendance aux fournisseurs. Des compétences locales renforcées, des conditions contractuelles maîtrisées et des solutions de reprise testées pourraient élargir les choix de l’État. Une délégation opaque de ces fonctions pourrait, au contraire, laisser une autonomie essentiellement formelle. Ces scénarios restent conditionnels : le résultat à observer est la capacité des institutions à maintenir des services essentiels et à protéger les droits lorsque survient un incident.