Le cadre kenyan des signatures électroniques repose sur la loi de 1998 sur l'information et les communications du Kenya (KICA), telle que modifiée par la loi d'amendement sur les lois commerciales de 2020. La règle fondamentale de la KICA, à l'article 83J, est neutre sur le plan technologique : un contrat ne peut se voir refuser sa validité ou sa force exécutoire au seul motif qu'il a été formé ou signé par voie électronique. Pour la grande majorité des accords commerciaux, cela signifie qu'une signature électronique ordinaire, telle qu'un nom d'utilisateur saisi, un code PIN, un lien d'authentification par e-mail ou une plateforme comme le flux de travail SES de Firma.dev, est juridiquement suffisante, sans qu'aucune certification ni enregistrement gouvernemental ne soit requis.

La KICA définit également une deuxième catégorie, plus stricte : la « signature électronique avancée ». En vertu de l'article 83P, chaque fois qu'une autre loi kenyane exige spécifiquement qu'un document soit « signé » au sens formel, cette exigence est satisfaite par une signature électronique avancée : une signature liée de manière unique au signataire, créée par des moyens que le signataire conserve sous son contrôle exclusif, et capable de révéler toute modification ultérieure des données signées. Le hic réside dans la manière dont cette signature doit être produite : elle doit comporter un certificat délivré par un fournisseur de services de certification agréé par l'Autorité des communications du Kenya. En 2024, quatre entreprises détenaient cette licence (Geda, Emudhra, TendaWorld et l'Autorité des TIC), et d'autres demandes seraient en cours d'examen ; le certificat d'un fournisseur non agréé ne constitue qu'une preuve persuasive, et non définitive, devant les tribunaux. Firma.dev ne s'intègre pas actuellement avec les CSP agréés du Kenya, de sorte qu'il ne satisfait pas en lui-même à ce niveau défini.

Un développement distinct et plus récent précise encore cela pour des secteurs spécifiques. Une directive de l'Autorité des communications et du Comité national de coordination de la sécurité informatique et de la cybercriminalité, entrée en vigueur le 1er janvier 2026, désigne certains secteurs comme infrastructures d'information critiques (CII), notamment les services bancaires et d'épargne, l'assurance, les produits pharmaceutiques, les services immobiliers et les systèmes gérant des données électorales ou de sécurité publique. Les fournisseurs de CII doivent obtenir leurs certificats numériques et leurs services de signature électronique exclusivement auprès d'un fournisseur de services de certification agréé par l'autorité. Les entreprises de ces secteurs spécifiques doivent confirmer séparément une voie conforme avant de s'en remettre uniquement au flux de travail standard SES/AES de Firma.dev.

Trois catégories sont d'emblée exclues de la validité de la signature électronique en vertu de l'article 83B : les testaments et codicilles, les effets de commerce (billets à ordre, lettres de change et chèques) et les titres de propriété. Ces exclusions sont limitées et désignées, et ne constituent pas une restriction générale de l'utilisation commerciale. Les contrats quotidiens, les accords de confidentialité, les bons de commande et les contrats de service en dehors des secteurs CII mentionnés ci-dessus en sont bien exclus.

L'immobilier est un deuxième domaine où deux lois kenyanes pointent dans des directions différentes, en plus de sa désignation de CII. Les amendements de 2020 ont touché les transactions foncières sous deux angles à la fois : la loi sur l'enregistrement foncier a été modifiée pour accepter les instruments signés électroniquement, y compris les titres de propriété, conservés par le registre foncier sous forme électronique, tandis que la loi sur le droit des contrats a été modifiée séparément pour exiger spécifiquement une signature électronique avancée pour les contrats liés à la terre. Les praticiens du droit kenyan conseillent actuellement de ne pas s'appuyer sur les signatures électroniques pour les questions foncières jusqu'à ce que le conflit soit résolu par les tribunaux ou par une législation ultérieure.

La loi kenyane de 2019 sur la protection des données, appliquée par le bureau du commissaire à la protection des données (ODPC), régit les données personnelles selon des principes de base légale et de droits des personnes concernées similaires au RGPD. L'article 48 autorise les transferts de données transfrontaliers via une décision d'adéquation, des garanties appropriées telles que des clauses contractuelles, ou la nécessité d'exécuter le contrat. Le Kenya n'ayant pas fait l'objet d'une décision d'adéquation formelle de l'UE, les transferts d'un fournisseur hébergé dans l'UE reposent sur la base des garanties ou de la nécessité. L'application de la loi par l'ODPC s'est fortement accélérée : les résolutions de plaintes ont presque doublé en 2025 par rapport à 2024, et un projet de loi d'amendement sur la protection des données de 2025 en suspens élargirait les catégories de données sensibles et augmenterait l'exposition aux sanctions en modifiant le calcul de l'amende pour passer du seuil le plus bas au plus élevé.