Cybersécurité · Monaco
Cybersécurité — Monaco (2026)
Le cadre réglementaire de Monaco en matière de cybersécurité repose sur la loi n° 1.435/2016, qui a transposé la Convention de Budapest sur la cybercriminalité, a érigé en infraction pénale les cyberattaques et a imposé des obligations contraignantes en matière de sécurité et de signalement des incidents aux opérateurs d’importance vitale (OIV) dans les secteurs critiques. La loi n° 1.578 de juillet 2025 a actualisé et renforcé ces obligations, tandis que la loi n° 1.565/2024 a introduit des obligations de notification des violations de données à caractère personnel dans un délai de 72 heures, conformément au RGPD. Un cadre horizontal volontaire, conforme à la directive NIS 2, est en cours d’élaboration suite à l’engagement public pris par Monaco lors des Assises de la cybersécurité de 2024.
Cadre principalLoi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique (obligations de sécurité OIV), renforcée par la loi n° 1.578 du 1er juillet 2025 ; l’Agence monégasque de sécurité numérique (AMSN) en tant qu’autorité nationale chargée de la cybersécurité ; la notification des violations de données en vertu de la loi n° 1.565 du 3 décembre 2024
Points clés
La loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique a transposé la Convention de Budapest, a instauré des infractions pénales pour l’accès non autorisé à des systèmes et les cyberattaques, et a chargé le ministre d’État d’assurer la sécurité des systèmes d’information de la Principauté. Elle a également créé l’AMSN en tant qu’autorité nationale de contrôle.
Arrêté ministériel n° 2018-1053 (modifié par les arrêtés n° 2020-902 et 2023-556) fixe des exigences minimales obligatoires en matière de sécurité technique et organisationnelle pour les OIV, imposant un plan de protection, des audits AMSN au moins tous les trois ans, ainsi que la notification immédiate au ministre d’État de tout incident affectant les systèmes d’information. L'arrêté ministériel n° 2025-533 du 3 octobre 2025 a encore renforcé ce dispositif.
La loi n° 1.578 du 1er juillet 2025 a porté le montant maximal de l'amende infligée en cas de non-respect des règles de sécurité par l'OIV à 150 000 € par infraction pour les personnes physiques et à cinq fois ce montant pour les personnes morales, et a mis en place un cadre réglementaire pour les portefeuilles d'identité numériques.
La loi n° 1.565 du 3 décembre 2024 relative à la protection des données à caractère personnel impose aux responsables du traitement de signaler à l’APDP (autorité de protection des données) toute violation de données à caractère personnel sans retard injustifié et dans un délai de 72 heures ; les personnes concernées doivent être informées lorsque la violation présente un risque élevé pour leurs droits.
L'Agence monégasque de sécurité numérique (AMSN), créée en 2015, est l'autorité nationale chargée de la cybersécurité à Monaco ; elle héberge le CERT-MC, une équipe d'intervention en cas d'incident agréée qui apporte son soutien aux entités gouvernementales et aux OIV. Un accord de coopération bilatéral entre l'ANSSI et l'AMSN a été renouvelé pour la période 2025-2030.
Bien qu’il ne soit pas un État membre de l’UE, Monaco s’est publiquement engagé à s’aligner volontairement sur la directive NIS2 lors des Assises de la cybersécurité de 2024. Un groupe de travail interministériel a été créé en janvier 2025 afin de préparer un projet de loi élargissant le champ d’application des entités concernées et prévoyant un système de signalement des incidents selon un barème de 24 h, 72 h et 30 jours ; aucun projet de loi n’avait encore été publié à la mi-2025.
Cette page est une traduction fournie à titre indicatif ; la version anglaise fait foi et ne constitue pas un avis juridique.