Décret n° 2025-511 du 29 décembre 2025 fixant les conditions et les procédures d’agrément des experts auditeurs des activités de sécurité des systèmes d’information et des réseaux de communications électroniques

Le présent décret, pris en application des dispositions de l’article 16 de la loi n° 26-2020 du 5 juin 2020 susvisée, fixe les conditions et les procédures d’agrément des experts auditeurs des activités de sécurité des systèmes d’information et des réseaux de communications électroniques.

Il s’applique à toute personne physique ou morale qui exerce les activités d’audit de sécurité des systèmes d’information, de conseil en matière d’audit de sécurité des systèmes d’information, ou toutes autres activités connexes.

Au sens du présent décret, les termes ci-après sont définis ainsi qu’il suit :

• agrément : autorisation délivrée par l’agence nationale de sécurité des systèmes d’information à un expert auditeur en vue de réaliser des audits de sécurité conformément aux dispositions du présent décret ;
• auditeur : personne physique réalisant une activité d’audit de sécurité des systèmes d’information pour le compte d’un prestataire ou d’un commanditaire ;
• commanditaire : personne morale faisant appel à un prestataire pour la réalisation d’une prestation qualifiée. Le commanditaire peut être ou non le bénéficiaire de la prestation ;
• expert : personne physique à laquelle le prestataire peut faire appel pour réaliser une partie de la prestation lorsque des connaissances et compétences spécifiques, hors du périmètre des activités du référentiel et non détenues par les auditeurs, sont nécessaires pour la bonne exécution de la prestation. L’expert peut être un personnel interne ou externe au prestataire ;
• expert auditeur de sécurité : personne physique ou morale exerçant les activités de sécurité des systèmes d’information et des réseaux de communications électroniques, préalablement agréée par l’agence nationale de sécurité des systèmes d’information ;
• personnes morales : prestataires d’audit de la sécurité des systèmes d’information, en sigle PASSI ;
• prestataire : personne morale réalisant une prestation qualifiée, conforme au référentiel d’exigences de sécurité applicable aux prestataires d’audit de sécurité des systèmes d’information ;
• référentiel d’audit de sécurité et de certification des systèmes d’information : document référentiel qui permet d’accompagner les experts auditeurs dans la réalisation des missions d’audit de sécurité des systèmes d’information et aux organismes audités de disposer de garanties sur la qualité des audits effectués ;
• référentiel d’exigences : ensemble cohérent de règles, de critères et de bonnes pratiques, établissant les obligations et les attentes auxquelles un auditeur ou un prestataire chargé de la réalisation d’audit de sécurité des systèmes d’information doit se conformer.

Les autres termes non prévus au présent article sont définis, conformément aux dispositions de l’article 3 de la loi n° 26-2020 du 5 juin 2020 susvisée.

L’exercice de l’activité d’expert auditeur est soumise à l’obtention préalable d’un agrément, délivré par l’agence nationale de sécurité des systèmes d’information.

L’agrément est délivré pour une durée de validité de deux ans renouvelable un mois avant son expiration.

Les domaines d’audit, faisant l’objet de l’agrément et de la qualification des experts auditeurs des activités de sécurité des systèmes d’information et des réseaux de communications électroniques, sont définis dans le référentiel d’exigences applicables aux prestataires d’audit de la sécurité des systèmes d’information, élaboré et publié par l’agence nationale de sécurité des systèmes d’information.

L’agrément pour l’exercice de l’activité d’audit de sécurité des activités de sécurité des systèmes d’information et des réseaux de communications électroniques est délivré à des personnes physiques ou morales.

La délivrance de l’agrément est subordonnée au paiement des frais, dont le montant est fixé conformément à la réglementation en vigueur.

Toute personne physique, désirant être agréée en qualité d’expert auditeur de sécurité des systèmes d’information et des réseaux de communications électroniques, est tenue de respecter les conditions ci-après :

• être de nationalité congolaise ;
• ne pas avoir fait l’objet d’une condamnation pénale ;
• être détenteur d’au moins une certification internationale reconnue par l’agence nationale de sécurité des systèmes d’information, et dont la liste est fixée dans le référentiel des exigences ;
• être titulaire d’un diplôme d’études supérieures, bac+3 au minimum, en technologies de l’information et de la communication ou d’un diplôme équivalent reconnu ;
• justifier d’au moins trois années d’expérience dans le domaine des systèmes d’information ou des télécommunications ;
• justifier d’au moins trois années d’expérience dans le domaine de la sécurité des systèmes d’information ;
• justifier d’au moins trois années d’expérience dans le domaine de l’audit de sécurité des systèmes d’information.

Toutefois, un agrément spécial peut être délivré à une personne physique étrangère, afin de remédier à une menace spécifique.

Dans l’exercice de ses missions, le bénéficiaire de cet agrément est assisté par un auditeur national désigné par l’agence nationale de sécurité des systèmes d’information.

L’auditeur doit maitriser la méthodologie de l’audit, les normes et les techniques applicables à la sécurité des systèmes d’information.

Il doit avoir la maîtrise d’au moins un référentiel d’audit, dont la liste est fixée dans le référentiel des exigences.

L’auditeur agréé est tenu :

• d’actualiser ses compétences à travers un cursus de formation continue et de la veille technologique ;
• de suivre une ou des formation(s) continue(s), organisée ou reconnue par l’agence nationale de sécurité des systèmes d’information dans la sécurité des systèmes d’information et des réseaux, et ce, au moins une fois tous les deux ans ;
• de participer aux exercices de simulation organisés par l’agence nationale de sécurité des systèmes d’information ou par un de ses partenaires ;
• de fournir à l’agence nationale de sécurité des systèmes d’information une copie légalisée ou authentifiée de l’attestation ou du certificat de la formation requise.

En cas de non-respect de l’obligation d’actualiser ses compétences, à travers des formations continues, prévue à l’article 9 ci-dessus, le directeur général de l’agence nationale de sécurité des systèmes d’information peut suspendre l’agrément.

La personne concernée par cette suspension dispose d’un délai de trois mois à compter de la date de notification de la suspension de son agrément, pour se conformer à la réglementation en vigueur.

Passé ce délai, sans mise en conformité, le directeur général de l’agence nationale de sécurité des systèmes d’information procède au retrait définitif de l’agrément.

Toute personne morale, désirant être agréée en qualité d’expert auditeur de sécurité des systèmes d’information et des réseaux de communications électroniques, est tenue de respecter les conditions ci-après :

• être légalement constituée, conformément au droit congolais ;
• employer au moins deux auditeurs locaux agréés par l’agence nationale de sécurité des systèmes d’information ;
• disposer d’une politique de sécurité des systèmes d’information, approuvée par l’agence nationale de sécurité des systèmes d’information ;
• disposer d’un plan de développement de compétences locales, approuvé par l’agence nationale de sécurité des systèmes d’information.

Toutefois, un agrément spécial peut être délivré à une personne morale étrangère, afin de remédier à une menace spécifique.

Dans l’exercice de ses missions, le bénéficiaire de cet agrément se fait assister par un auditeur national désigné par l’agence nationale de sécurité des systèmes d’information.

Le prestataire agréé est tenu :

• d’actualiser les compétences des auditeurs, dans les types d’audits pour lesquels ils ont obtenu une accréditation individuelle de compétence ;
• de disposer d’un processus de formation continue ;
• de permettre à ses auditeurs d’assurer une veille technologique.

En cas de non-respect des obligations prévues à l’article 12 ci-dessus, le directeur général de l’agence nationale de sécurité des systèmes d’information peut suspendre l’agrément.

Le prestataire concerné par cette suspension dispose d’un délai de trois mois à compter de la date de notification de la suspension de son agrément, pour se conformer à la réglementation en vigueur.

Passé ce délai, sans mise en conformité, le directeur général de l’agence nationale de sécurité des systèmes d’information procède au retrait définitif de l’agrément.

Le prestataire d’audit de la sécurité des systèmes d’information peut employer un ou plusieurs expert(s), préalablement accrédité(s) par l’agence nationale de sécurité des systèmes d’information.

Le prestataire doit, au moment du recrutement des auditeurs candidats et/ou des experts :

• veiller à la véracité des informations contenues dans les curriculums vitae ;
• informer, pendant la phase de recrutement des auditeurs et/ou des experts, l’agence nationale de sécurité des systèmes d’information par courrier auquel il est annexé les documents relatifs au recrutement.

La demande d’obtention d’un agrément des experts auditeurs des activités de sécurité des systèmes d’information et des réseaux de communications est adressée au directeur général de l’agence nationale de sécurité des systèmes d’information.

Il est délivré à tout demandeur, lors du dépôt de son dossier pour l’obtention d’un agrément des experts auditeurs, des activités de sécurité des systèmes d’information et des réseaux de communications, un accusé de réception.

Le dossier de la demande d’agrément comprend les pièces ci-après :

Pour l’auditeur de sécurité des systèmes d’information :

• une fiche de renseignement établie par l’agence nationale de sécurité des systèmes d’information, dûment remplie et signée par le demandeur de l’agrément ;
• une copie du numéro d’identification unique ;
• un curriculum vitae détaillé ;
• un engagement écrit à respecter le Code de déontologie de la profession  ;
• une copie de la carte nationale d’identité ;
• un casier judiciaire datant de moins de trois mois ;
• une copie du ou des diplôme(s) universitaire(s) prouvant le niveau scientifique requis ;
• une copie de(s) certifications) internationale(s) reconnue(s) prouvant les compétences requises ;
• les documents prouvant l’expérience professionnelle dans le domaine de la sécurité informatique et des réseaux, le cas échéant.

Pour le prestataire d’audit de sécurité des systèmes d’information :

• une fiche de demande d’agrément, établie par l’agence nationale de sécurité des systèmes d’information, dûment remplie et signée par le représentant légal du demandeur de l’agrément ;
• une copie du numéro d’identification unique ;
• une copie de la carte nationale d’identité du représentant légal de la personne morale ou de son représentant ;
• la preuve de l’immatriculation au registre du commerce et du crédit mobilier (RCCM) ;
• un casier judiciaire du représentant légal du demandeur de l’agrément datant de moins de trois mois ;
• une copie certifiée conforme des statuts de l’entreprise ;
• une attestation de régularité fiscale ;
• une copie certifiée conforme des contrats de travail conclus avec des auditeurs ;
• une copie des curriculums vitae des auditeurs ;
• une copie certifiée conforme des certifications et des diplômes des auditeurs ;
• le Code de déontologie des prestataires d’audit de la sécurité des systèmes d’information dûment signé  ;
• les attestations de bonne exécution d’audit de la sécurité des systèmes d’information délivrées par l’agence nationale de sécurité des systèmes d’information.

Il est interdit aux prestataires d’audit de sécurité des systèmes d’information, de présenter dans leurs dossiers de demande d’agrément, les curriculums vitae des experts auditeurs agréés par l’agence nationale de sécurité des systèmes d’information.

Tout refus de délivrance d’un agrément est motivé.

L’agrément de l’expert auditeur des activités de sécurité des systèmes d’information et des réseaux de communications électroniques, délivré par l’agence nationale de sécurité des systèmes d’information, est strictement personnel. Il ne peut être ni cédé, ni mis en gage, ni transmis à un tiers.

En cas de non-respect des dispositions ci-dessus prévues, l’agence nationale de sécurité des systèmes d’information peut procéder à la suspension ou au retrait définitif de l’agrément de l’expert auditeur de l’activité de sécurité des systèmes d’information et des réseaux de communications électroniques, en fonction de la nature et de la gravité des violations à la réglementation en vigueur.

En cas de non-respect du référentiel des exigences, l’agence nationale de sécurité des systèmes d’information peut procéder à la suspension ou au retrait définitif de l’agrément.

Toute décision de suspension ou de retrait est motivée et notifiée par voie recommandée avec accusé de réception.

La prestation de service d’audit de sécurité des systèmes d’information et des réseaux de communications électroniques, par toute entité administrative relevant du secteur public, est soumise à une autorisation d’ouverture, délivrée par l’agence nationale de sécurité des systèmes d’information.

La réalisation de ces activités est régie par des textes spécifiques.

Les experts auditeurs des activités de sécurité des systèmes d’information et des réseaux de communications électroniques sont soumis au secret professionnel.

Ils sont tenus de préserver la confidentialité des informations dont ils ont eu connaissance, pendant ou après l’exercice de leurs missions ou fonctions.

L’auditeur est soumis aux exigences d’éthique professionnelle et doit signaler au commanditaire tout contenu illicite découvert pendant l’audit.

Les décisions relatives aux sanctions ainsi que la liste des experts auditeurs des activités de sécurité des systèmes d’information et des réseaux de communications électroniques sont publiées par l’agence nationale de sécurité des systèmes d’information.

Le présent décret sera enregistré et publié au Journal officiel de la République du Congo.