Selon l'Autorité, EY Ghana a été spécifiquement invité dans une correspondance datée du 20 mars 2026 à demander une licence CSP dans les 15 jours.
Selon l'Autorité, EY Ghana a été spécifiquement invité dans une correspondance datée du 20 mars 2026 à demander une licence CSP dans les 15 jours.
Autorité ghanéenne de cybersécurité (CSA) a imposé une pénalité administrative de 360 000 GH¢ à Ernst & Young (EY) Ghana pour avoir fourni des services de cybersécurité réglementés sans licence valide de fournisseur de services de cybersécurité (CSP).
Le CSA a déclaré que cette action faisait suite à la fourniture continue par EY Ghana de services de cybersécurité, y compris des services aux propriétaires d'infrastructures d'informations critiques (CII), malgré les directives répétées visant à se conformer aux exigences de licence en vertu de la loi sur la cybersécurité de 2020 (loi 1038).
Selon l'Autorité, EY Ghana a été spécifiquement invité dans une correspondance datée du 20 mars 2026 à demander une licence CSP dans les 15 jours. L'entreprise n'a par la suite pas respecté trois directives réglementaires distinctes émises par le CSA.
L'Autorité a déclaré que cette conduite constitue une violation des articles 49 et 92 de la loi 1038, qui interdisent la fourniture de services de cybersécurité réglementés sans la licence requise et prévoient des sanctions en cas de non-respect des directives émises par le CSA.
Au titre de la sanction administrative, EY Ghana a été condamnée à une amende de 120 000 GH¢ pour chacun des trois cas de non-conformité, ce qui représente une pénalité totale de 360 000 GH¢. L'entreprise a été invitée à payer le montant dans les 14 jours civils suivant la directive d'exécution finale.
Le CSA a également ordonné à EY Ghana de cesser immédiatement de fournir des services de cybersécurité réglementés sans la licence requise, y compris les services de gouvernance, de risque et de conformité (GRC). L'entreprise doit fournir une confirmation écrite que les services concernés ont cessé et terminer le processus de demande de licence CSP.
L'Autorité a souligné que la demande de licence n'autorise pas une entité à opérer en tant que fournisseur de services de cybersécurité. Les entreprises doivent obtenir la licence requise auprès du CSA avant de commencer à fournir des services de cybersécurité réglementés.
Le CSA a également lancé un avertissement plus large aux institutions et aux prestataires de services, soulignant que la conformité est particulièrement importante lorsque les services de cybersécurité sont fournis aux propriétaires d'infrastructures d'informations critiques, car la sécurité et la résilience de ces systèmes sont considérées comme essentielles à la sécurité nationale et à l'économie du Ghana.
L'Autorité a déclaré que la réputation, l'expertise ou la clientèle d'un fournisseur de services ne l'exonèrent pas des lois ghanéennes sur la cybersécurité. Il a averti les organisations et les professionnels fournissant des services de cybersécurité réglementés sans la licence requise de cesser immédiatement ces activités.
Le CSA a déclaré qu'il continuerait de surveiller la conformité et de prendre des mesures coercitives contre les fournisseurs non agréés. De telles mesures pourraient inclure des sanctions administratives, des procédures judiciaires et la publication des noms des prestataires de services non agréés, si nécessaire.
L'Autorité a exhorté les organisations, en particulier les propriétaires d'infrastructures d'informations critiques, à obtenir des services de cybersécurité uniquement auprès de fournisseurs dûment agréés et a réitéré que l'octroi d'une licence de cybersécurité est une exigence légale plutôt qu'une formalité administrative.
