Opérateurs de services essentiels au Togo : ce que la désignation change réellement pour votre organisation

Être désigné opérateur de services essentiels (OSE) n'est pas un label : c'est l'entrée dans un régime d'obligations opposables, assorti d'un audit annuel et de sanctions. Panorama du dispositif togolais et de ses points de friction pratiques.

La transformation numérique du Togo a un revers mesurable. Entre 2021 et 2024, l'Agence nationale de la cybersécurité (ANCy) indique avoir enregistré et traité plus de 333 000 incidents sur le territoire national, la volumétrie annuelle passant de 39 168 cas en 2021 à 181 088 en 2024. Lors de son bilan présenté en décembre 2025, l'Agence relevait que près de 80 % des cybermenaces recensées relèvent de la fraude et de l'escroquerie en ligne, et confirmait la poursuite de la Stratégie nationale de cybersécurité 2024-2028. Dans ce contexte, la conformité des opérateurs de services essentiels cesse d'être un sujet technique pour devenir un sujet de responsabilité dirigeante.

1. Un dispositif à trois étages

Le régime togolais des OSE repose sur une architecture normative simple mais souvent mal identifiée par les entreprises concernées.

2. Quatre domaines, quatorze sous-domaines

Les règles de cybersécurité s'articulent autour de quatre domaines déclinés en quatorze sous-domaines de contrôle, chacun assorti de contrôles et de sous-contrôles précis :

3. Les exigences chiffrées à ne pas manquer

L'expérience des premiers cycles d'accréditation montre que les non-conformités portent moins sur la stratégie que sur des points opérationnels datés. Parmi les plus structurants :

• G1.1.5Nomination d'un RSSI pour chaque OSE, doté d'un plan de formation comprenant au minimum une certification de type ISO/IEC 27001 ou équivalente.
• D1.3.2/.6Système de journalisation, de corrélation et d'analyse opérationnel 24h/24 et 7j/7, avec horodatage, centralisation et archivage des évènements pendant six mois au moins.
• P3.3.5Interdiction d'accès direct des infrastructures essentielles à Internet : passage obligatoire par une passerelle pare-feu de dernière génération, séparée des serveurs DNS, de messagerie et proxy.
• D1.4.4Identification mensuelle des vulnérabilités exposées sur Internet et correction dans les deux semaines suivant leur identification.
• G3.3.2Évaluation externe indépendante de la cybersécurité, incluant des tests d'intrusion, au moins une fois tous les deux ans.
• R1.4.2Tests du plan de continuité au moins deux fois par an, avec un intervalle de quatre à six mois entre chaque test.
• P1.4.8Renouvellement des éléments secrets d'authentification au minimum trimestriellement, et systématiquement en cas de suspicion de compromission.

4. Les obligations déclaratives : le premier réflexe après la désignation

La notification de désignation comme OSE déclenche des délais qui courent immédiatement. Ils sont fréquemment manqués, faute d'avoir été identifiés.

Ces déclarations ne sont pas des formalités : elles conditionnent la capacité de l'ANCy et de son délégataire à qualifier un incident et à mobiliser le bon interlocuteur en situation de crise.

5. Le cycle annuel de contrôle et d'accréditation

Le contrôle de conformité obéit à un cycle qui doit être anticipé dans le calendrier de l'entreprise. Le PSO est mis en œuvre sur les infrastructures essentielles ; le délégataire conduit l'audit annuel ; un rapport d'audit — couvert par le secret professionnel — établit si le niveau de sécurité atteint est conforme aux objectifs du PSO, au regard des menaces et vulnérabilités connues, et formule des recommandations de remédiation ; l'OSE traite les non-conformités ; le PSO est enfin mis à jour dans le cadre de la procédure d'accréditation, en tenant compte des évènements survenus durant l'année écoulée. Les règles elles-mêmes sont révisables au moins tous les deux ans.

L'OSE doit par ailleurs maintenir à jour un dossier d'accréditation contenant l'analyse de risques et les objectifs de sécurité des IE, les procédures et mesures de sécurité appliquées, ainsi que les risques résiduels, les mesures de réduction retenues et les motifs de leur acceptation (G1.2.2).

6. Trois angles morts juridiques

A. La chaîne fournisseurs

Le sous-contrôle G6.3.1 impose d'intégrer dans les contrats fournisseurs une quinzaine de stipulations : accord de confidentialité assorti de sanctions réelles, séquestre des codes sources, SLA de correction des vulnérabilités, accès au code source pendant et après le contrat pour les logiciels critiques, assurance du fournisseur contre les dommages liés à une mauvaise exécution, procédure d'escalade formalisée. Peu de contrats informatiques en vigueur au Togo satisfont aujourd'hui à cette exigence. Une revue contractuelle du portefeuille fournisseurs est, en pratique, le chantier le plus lourd de la mise en conformité.

B. L'articulation avec la protection des données

Le référentiel renvoie expressément à la confidentialité et à la protection des données à caractère personnel (G3.1.4). La loi n° 2019-014 du 29 octobre 2019 et l'action désormais effective de l'Instance de protection des données à caractère personnel (IPDCP) créent une seconde ligne d'exigences, dont les périmètres se recoupent sans se confondre. Un incident affectant une infrastructure essentielle et portant sur des données personnelles relève des deux régimes.

C. La responsabilité de la direction

Le référentiel désigne nommément le conseil d'administration comme globalement responsable de l'état de la cybersécurité de l'OSE, et le directeur général comme responsable de l'acceptation et de l'approbation des exigences. Il impose l'institution d'un comité de direction de la cybersécurité présidé par le directeur général ou son délégué, et recommande que la fonction cybersécurité ne relève pas de la direction informatique afin d'éviter tout conflit d'intérêts. La conformité OSE est donc, juridiquement, un sujet de gouvernance d'entreprise avant d'être un sujet technique.

En pratique

Que vous soyez déjà désigné, en cours de contradictoire ou simplement susceptible de l'être au regard de la liste annexée au décret OSE, quatre questions méritent d'être tranchées sans délai :