Décret n° 2025-509 du 29 décembre 2025 fixant la liste des organismes dont les systèmes d’information et les réseaux de communication électronique sont soumis à un régime d’audit obligatoire et périodique de la sécurité informatique

Le présent décret, pris en application des dispositions de l’article 12 de la loi n° 26-2020 du 5 juin 2020 susvisée, fixe la liste des organismes dont les systèmes d’information et les réseaux de communication électronique sont soumis à un régime d’audit obligatoire et périodique de la sécurité informatique.

L’audit obligatoire et périodique de la sécurité informatique des systèmes d’information et des réseaux de communication électronique est effectué par l’agence nationale de sécurité des systèmes d’information.

Toutefois, cet audit peut être effectué par un prestataire d’audit de sécurité des systèmes d’information ou un expert d’audit de sécurité dûment agréé par l’agence nationale de sécurité des systèmes d’information.

Au sens du présent décret, les termes ci-après sont définis ainsi qu’il suit :

• audit : processus périodique, méthodique, indépendant et documenté permettant d’évaluer le niveau de conformité d’un système d’information avec les exigences du référentiel général de sécurité des systèmes d’information, élaboré par l’agence nationale de sécurité des systèmes d’information ;
• audité : organisme responsable de tout ou partie d’un système d’information faisant l’objet d’un audit ;
• autorité de certification électronique sectorielle : entité administrative pourvue de la mission de l’autorité de confiance chargée de créer et d’attribuer des clés publiques et privées ainsi que des certifications électroniques des activités relevant de leur champ de compétence ;
• expert auditeur de sécurité : auditeur titulaire d’un certificat délivré ou reconnu par l’agence nationale de sécurité des systèmes d’information ;
• fournisseur des services de cybersécurité : toute personne spécialisée offrant des solutions, outils ou expertises visant à protéger les systèmes d’information, les réseaux de communications électroniques ou les données contre les cybermenaces ;
• prestataire d’audit de sécurité des systèmes d’information : organisme agréé par l’agence nationale de sécurité des systèmes d’information qui fournit des prestations d’audits de sécurité des systèmes d’information conformes aux exigences règlementaires ;
• prestataire de services de confiance : toute personne offrant des services de confiance ;
• produit de sécurité : dispositif, logiciel ou matériel, qui met en œuvre des fonctions de sécurité nécessaires à la sécurisation d’une information ou d’un système ; sécurité des systèmes d’information, en sigle SSI : processus consistant en la mise en œuvre de mesures techniques et organisationnelles visant à assurer qu’un système d’information est capable de résister à des évènements volontaires ou non, susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées ou transmises ;
• services de confiance : services d’horodatage électronique, de recommandé électronique, d’archivage électronique ou de conservation, de certification électronique ;
• téléservice ou e-service : service permettant aux usagers de procéder par voie électronique à des démarches ou formalités administratives.

Les autres termes non prévus au présent article sont définis conformément aux dispositions de l’article 3 de la loi n° 26-2020 du 5 juin 2020 susvisée.

Les systèmes d’information et les réseaux de communication électronique des organismes ci-après, sont soumis à un régime d’audit obligatoire et périodique de la sécurité informatique :

• les entités administratives relevant du secteur public ;
• les entreprises dont les systèmes d’information sont connectés à travers des réseaux de télécommunications ouverts au public ;
• les entreprises exerçant des activités de transactions électroniques ;
• les entreprises qui procèdent au traitement automatisé des données à caractère personnel de leurs clients dans le cadre de la fourniture de leurs services ;
• les fournisseurs d’accès à internet et de services de télécommunications ;
• les fournisseurs de services de cybersécurité et des produits de sécurité ;
• les fournisseurs de services numériques critiques ou essentiels ;
• les opérateurs de télécommunications ouverts au public ;
• les plateformes de commerce électronique et de services numériques ;
• les plateformes numériques hébergeant des données personnelles sensibles, notamment les plateformes de commerce électronique, de paiement numérique ou monétique, des jeux en ligne, de services de mobilité et de logistique connectée, des éditeurs de logiciels de gestion utilisés dans les services publics ;
• les prestataires de services de confiance agréés par l’autorité compétente ;
• tout autre service public essentiel, critique ou non, désigné conformément à la réglementation en vigueur.

Sont exclus du champ d’application du présent décret, les systèmes d’information et les réseaux de communications électroniques :

• des systèmes d’information et les réseaux de communications électroniques utilisés en matière de défense et de sécurité nationale ;
• des moyens de cryptologie utilisés par les missions diplomatiques et consulaires visées par la Convention de Vienne sur les relations diplomatiques.

Toutefois, sous réserve des dispositions spécifiques, un audit peut être réalisé à la demande de ces entités administratives.

Tout organisme relevant des dispositions de l’article 4 du présent décret est tenu de déclarer auprès de l’agence nationale de sécurité des systèmes d’information toutes activités réalisées ou à réaliser, en rapport avec les systèmes d’information et les réseaux de communication électronique.

Les frais d’audit, conformément à la réglementation en vigueur, sont à la charge des audités.

Le présent décret sera enregistré et publié au Journal officiel de la République du Congo.