Infrastructures critiques : ce que le règlement de 2026 impose

21 juillet 2026 · 4 min de lecture · SOVALYX Technologies

Maurice s'est doté en juin 2026 d'un cadre de désignation des infrastructures d'information critiques. Cinq secteurs sont visés, un comité national décide, et les organisations désignées héritent d'obligations opposables. Le calendrier laisse jusqu'au 1er juin 2027 pour se mettre en conformité — un délai plus court qu'il n'y paraît.

Ce que dit exactement le texte

Les Cybersecurity and Cybercrime (Critical Information Infrastructure Designation) Regulations 2026, publiées sous le Government Notice n° 113 de 2026, ont été prises par le ministre le 29 mai 2026 en vertu de l'article 51 du Cybersecurity and Cybercrime Act 2021. Elles sont parues au Government Gazette n° 45 du 20 juin 2026 et sont entrées en vigueur le 1^er juin 2026.

Le règlement vise cinq secteurs, énumérés sans ambiguïté : les services financiers, bancaires et non bancaires ; le service public ; les technologies de l'information, de la communication et de la radiodiffusion ; les secteurs de l'énergie et de l'approvisionnement en eau ; et l'industrie du transport. La mention explicite du non bancaire élargit sensiblement le périmètre par rapport à une lecture rapide : sociétés de gestion, assureurs, prestataires de services financiers du secteur global entrent dans le champ.

Le texte est court — dix articles — mais son architecture est claire. Le Comité national de cybersécurité, en consultation avec le régulateur, désigne les systèmes selon les critères de l'article 33(2) de la loi, par avis public au Gazette. Le propriétaire d'un système désigné doit se conformer aux directions du régulateur au titre de l'article 34. L'accès à l'architecture du système et à ses vulnérabilités est réservé aux personnes autorisées par écrit. Chaque désignation est réexaminée tous les trois ans.

Une échéance au 1er juin 2027

L'article 9 accorde douze mois à compter de l'entrée en vigueur, ce qui fixe l'échéance au 1^er juin 2027. Onze mois restent donc au moment où ces lignes sont écrites, et c'est moins confortable qu'il n'y paraît pour une organisation qui n'a ni inventaire de ses systèmes critiques, ni gestion documentée des accès, ni plan de reprise testé.

Sur les sanctions, une clarification s'impose car des chiffres erronés ont circulé. L'article 8 du règlement prévoit une amende n'excédant pas 100 000 roupies et une peine d'emprisonnement n'excédant pas cinq ans. Les montants bien plus lourds parfois cités — de l'ordre de deux millions de roupies et vingt-cinq ans — figurent ailleurs dans la loi de 2021 et visent ceux qui attaquent une infrastructure critique, pas l'opérateur en défaut de conformité. La confusion est fréquente ; elle n'a pas lieu d'être.

Ce que la désignation implique en pratique

Le règlement ne fixe pas de mesures techniques détaillées : il installe un mécanisme de désignation et renvoie aux directions du régulateur. C'est précisément ce qui doit retenir l'attention d'une direction générale. Une obligation de se conformer à des instructions futures, sans savoir lesquelles ni quand, ne se traite pas dans l'urgence : elle suppose d'avoir déjà un socle en place.

Trois exigences se lisent en creux dans le texte. Le contrôle des accès à l'architecture et aux vulnérabilités, d'abord, qui impose de savoir qui détient les schémas, les résultats d'audit et les identifiants d'administration — et de pouvoir le prouver par écrit. La capacité à répondre au régulateur ensuite, qui suppose des audits documentés plutôt que des convictions. La continuité enfin : un système critique est par définition un système dont l'arrêt pose un problème collectif, ce qui rend un plan de reprise testé difficilement contournable.

Vous n'êtes pas désigné : le sujet vous concerne quand même

La désignation vise des systèmes, donc un nombre limité d'organisations. Mais l'effet de cascade est prévisible, et c'est le mécanisme le plus intéressant commercialement comme opérationnellement. Une entité désignée qui doit se conformer aux directions du régulateur reportera ces exigences sur ses prestataires : hébergeur, infogérant, éditeur, intégrateur, prestataire de sauvegarde.

Si vous fournissez un service à une banque, un assureur, un opérateur télécoms, une administration, une compagnie d'électricité ou d'eau, ou un acteur du transport, vous verrez arriver des questionnaires et des clauses contractuelles nouvelles. Le schéma est identique à celui des exigences DORA pour les prestataires mauriciens : la réglementation frappe le donneur d'ordre, le contrat frappe le fournisseur. Mieux vaut préparer les réponses avant l'appel d'offres que pendant.

Ce qu'il faut avoir prêt

• Vérifier votre secteur : services financiers bancaires et non bancaires, service public, TIC et radiodiffusion, énergie et eau, transport.
• Inventorier les systèmes dont l'arrêt aurait des conséquences au-delà de votre entreprise.
• Documenter les accès à l'architecture, aux résultats d'audit et aux vulnérabilités — avec autorisation écrite nominative.
• Revoir les habilitations d'administration et supprimer les comptes partagés.
• Mettre en place une supervision capable de détecter et de dater un incident.
• Tester le plan de reprise et consigner les temps réellement obtenus.
• Préparer le dossier de preuves : politiques, journaux, rapports d'audit, comptes rendus d'exercice.
• Anticiper la cascade contractuelle si vous servez un client d'un des cinq secteurs.
• Fixer une échéance interne bien avant le 1^er juin 2027, et faire évaluer l'écart si le sujet est neuf pour vous.

🧰 L'outil qui va avec : Êtes-vous prêt pour l'AI Act ? — gratuit · 2 minutes.

Relu et optimisé par IA.