Cybersécurité à Tunis : audit, NIS2 et RGPD pour PME et ETI

Oui, si votre entreprise tunisienne traite des données personnelles de citoyens de l'Union européenne pour le compte de clients français, belges, suisses (bien que la Suisse ne soit pas EU, les transferts vers la Tunisie nécessitent des garanties appropriées) ou d'autres pays EU. Le RGPD a un effet extraterritorial : même si votre entreprise est établie à Tunis et non dans l'UE, dès lors qu'elle traite des données de citoyens EU (nom, email, données comportementales de clients EU de votre donneur d'ordre français), le RGPD s'applique. Vos clients français doivent avoir signé avec vous un contrat de sous-traitance conforme aux articles 28 et 29 du RGPD, avec des clauses contractuelles types (CCT) approuvées par la Commission européenne pour les transferts hors EU. CyberConform aide les ESN tunisiennes à mettre en place ce cadre contractuel et technique.

Pour une PME ou un centre offshore IT de Tunis (20 à 100 employés), un audit de conformité combiné Loi 2004-63 / RGPD par CyberConform est généralement compris entre 8 000 et 20 000 TND HT (soit environ 2 400 à 6 000 €). Pour les centres d'appels et BPO (200 à 1 000 postes), l'audit est entre 20 000 et 60 000 TND HT selon le périmètre. Les banques tunisiennes soumises à des exigences de la BCT nécessitent des audits spécialisés entre 30 000 et 80 000 TND HT. CyberConform facture en TND pour les structures tunisiennes ou en EUR pour les filiales de groupes européens. Un diagnostic initial de 3 jours est disponible à partir de 3 500 TND HT.

La Loi organique tunisienne 2004-63 relative à la protection des données à caractère personnel impose : (1) une déclaration préalable à l'INPDP pour tout traitement de données personnelles, (2) une autorisation de l'INPDP pour les traitements sensibles (données de santé, données judiciaires, données financières), (3) le droit d'accès, de rectification et d'opposition pour les personnes concernées, (4) des mesures de sécurité adaptées au risque du traitement. L'INPDP peut infliger des sanctions pénales (emprisonnement de 6 mois à 3 ans et amende de 1 000 à 10 000 TND) en cas de violation caractérisée. CyberConform accompagne les entreprises tunisiennes pour toutes les étapes de conformité INPDP : inventaire des traitements, rédaction des déclarations, mise en place des procédures de réponse aux droits des personnes.

Oui. CyberConform propose un service de RSSI externalisé (vCISO) adapté au marché tunisien, avec des consultants francophones maîtrisant la réglementation tunisienne (Loi 2004-63, INPDP, ANSI) et les exigences européennes (RGPD, NIS2) applicables aux entreprises d'IT nearshoring. La mission comprend : politique de sécurité adaptée aux exigences des donneurs d'ordre européens, conformité INPDP, gestion des incidents, et formation des équipes. Les tarifs RSSI externalisé pour Tunis démarrent à 3 000 TND HT/mois (environ 900 €) pour une PME de moins de 50 personnes, avec une présence mensuelle sur site et support permanent à distance. Pour les grandes ESN avec des donneurs d'ordre exigeants (Orange, Capgemini), un RSSI niveau Senior est disponible à partir de 6 000 TND HT/mois.

Une cyberattaque sur un centre offshore à Tunis est une urgence critique car elle impacte simultanément le centre tunisien ET ses clients européens. Les étapes d'urgence : (1) Isoler immédiatement les systèmes compromis et couper les connexions VPN avec les clients européens pour éviter la propagation vers leurs systèmes, (2) Contacter CyberConform pour intervention d'urgence à Tunis, (3) Notifier immédiatement le donneur d'ordre européen (obligation contractuelle + RGPD : le responsable de traitement EU doit notifier la CNIL ou l'APD sous 72 h), (4) Signaler l'incident à l'ANSI (cert@ansi.tn) qui coordonne la réponse aux cyberincidents en Tunisie, (5) Notifier l'INPDP si des données personnelles tunisiennes ou européennes ont été compromises. Les centres offshore doivent avoir un plan de continuité d'activité (PCA) spécifique aux cyberattaques, incluant des systèmes de secours permettant de maintenir le service aux clients européens.