Décret n° 2025-512 du 29 décembre 2025 fixant le régime juridique applicable aux infrastructures d’information critiques et aux opérateurs d’importance vitale

Le présent décret fixe le régime juridique applicable aux infrastructures d’information critiques et aux opérateurs d’importance vitale.

Il fixe également les obligations de cybersécurité de ces infrastructures.

Au sens du présent décret, les termes ci-après sont définis ainsi qu’il suit :

• actif informationnel ou informatique : toute donnée, service ou ressource critique du système d’information qui doit être protégée ;
• autorité compétente : agence nationale de sécurité des systèmes d’information ;
• criticité d’une infrastructure ou d’un service : degré d’importance d’une infrastructure ou d’un service dont la défaillance, l’arrêt ou la destruction aurait un impact négatif sur le fonctionnement de l’Etat ;
• donnée sensible : information dont la compromission, l’altération, le détournement ou la destruction est de nature à nuire à la continuité du fonctionnement ou mettant en danger le patrimoine informationnel de l’infrastructure d’information critique ;
• exploitant d’une infrastructure d’information critique : organisme exploitant, à titre de service public ou privé, une infrastructure critique ;
• externalisation d’un système d’information : toute opération qui consiste à confier, en partie ou en totalité, le système d’information d’une entité à un prestataire dans le cadre d’un contrat fixant de façon précise le niveau de services et la durée de l’externalisation ;
• infrastructure critique : infrastructure essentielle aux services vitaux pour la sûreté publique, la stabilité économique, la sécurité nationale, la stabilité internationale, pour la pérennité et la restauration du cyberespace critique ;
• opérateur d’importance vitale : tout opérateur public ou privé offrant des services essentiels au fonctionnement de la société ou de l’économie, et dont la continuité pourrait être gravement affectée par des incidents informatiques touchant les systèmes d’information ou les réseaux de communications électroniques nécessaires à la fourniture desdits services ;
• secteur critique ou secteur d’activité d’importance vitale : ensemble de services sensibles ;
• service essentiel : activités ou prestations gratuites ou rémunérées ou fonctions indispensables au bon fonctionnement de l’Etat ou au bien-être économique ou social des citoyens ;
• tout changement ou modification majeur : tout changement ou modification impactant le fonctionnement et l’architecture globale de l’infrastructure.

Les infrastructures d’information critiques et les opérateurs d’importance vitale sont désignées, pour chaque secteur et sous-secteur d’activité d’importance vitale, conformément à la réglementation en vigueur, après concertation avec le Ministre chargé du secteur critique ou la personne morale de droit public dont relève la coordination dudit secteur.

L’identification et le recensement des infrastructures d’information critiques et de leurs opérateurs s’effectuent selon le processus qui suit :

• l’identification des secteurs critiques ;
• l’identification des sous-secteurs critiques ;
• l’analyse des interdépendances entre les sous-secteurs ;
• l’identification des infrastructures d’information et de leurs opérateurs importants ;
• la désignation des infrastructures d’information critiques et de leurs opérateurs.

Peut être désigné comme infrastructure d’information critique, tout système ou réseau informatique ou toute autre infrastructure numérique jugé essentiel :

• aux prérogatives de l’Etat ou à ses relations internationales ;
• au bien-être économique et environnemental ou social des citoyens ;
• à la protection et à la résilience du cyberespace ;
• à la fourniture de services essentiels directement liés :
• aux infrastructures de communications et de télécommunications ;
• aux services bancaires et financiers ;
• aux services publics essentiels ;
• aux transports publics ;
• à l’infrastructure à clés publiques, ainsi qu’aux dispositifs de création et de vérification de la signature électronique ;
• à la protection de la sécurité et de la santé publique ;
• à une activité quelconque affectant un citoyen congolais ou toute autre activité internationale dans laquelle un citoyen congolais ou le Gouvernement dispose d’un intérêt quelconque ;
• au fonctionnement des organes de l’Etat.

Les critères de désignation ci-dessus dépendent de la gravité de l’impact de l’incident de cybersécurité, pouvant provoquer l’arrêt ou la destruction d’une infrastructure d’information critique.

Le niveau d’impact de l’incident doit refléter l’importance des conséquences pouvant se traduire par l’incapacité de l’entité responsable de l’infrastructure d’information critique :

• accomplir ses missions ;
• préserver la vie, la santé ou le bien-être des personnes ;
• préserver son image de marque et celle de l’Etat ;
• maintenir et renforcer la confiance des citoyens et des partenaires à l’égard des services offerts ;
• affecter le fonctionnement des entités tierces tributaires de ses services.

La classification des infrastructures d’information critiques est faite à partir d’une analyse des impacts des incidents de cybersécurité susceptibles de porter atteinte à la confidentialité, à la disponibilité ou à l’intégrité de leurs actifs.

L’analyse d’impact s’effectue selon l’échelle suivante :

• impact limité ou modéré : si un incident de cybersécurité portant atteinte à la confidentialité, à la disponibilité ou à l’intégrité d’un actif informationnel du système d’information pourrait engendrer :
• une perturbation mineure dans le fonctionnement d’une infrastructure d’information critique ;
• une incapacité partielle d’un ou plusieurs systèmes d’information ou actifs informationnels des secteurs d’activités, jugés non critiques et dépendant des infrastructures d’information critiques ;
• des pertes financières modérées ou toute autre conséquence de nature analogue.
• impact grave si un incident de cybersécurité portant atteinte à la confidentialité, à la disponibilité ou à l’intégrité d’un actif informationnel pourrait :
• perturber partiellement ou totalement le fonctionnement d’une infrastructure d’information critique ;
• perturber totalement le fonctionnement des systèmes d’information ou des actifs informationnels des secteurs d’activités, jugés non critiques et dépendant des infrastructures d’information critiques ;
• engendrer des pertes financières pour une ou plusieurs entités ou opérateurs responsables d’une infrastructure d’information critique.
• impact très grave si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité d’un actif informationnel pourrait :
• porter atteinte à la continuité des services de l’Etat, à ses prérogatives ou à ses intérêts stratégiques ;
• mettre en danger la santé, la sécurité ou le bien-être économique et social des citoyens ;
• perturber partiellement ou totalement le fonctionnement des infrastructures d’information critiques.

Sur la base de l’échelle de l’analyse d’impacts ci-dessus prévue, un système d’information est classé selon les niveaux suivants :

• CLASSE A : si au plus un incident de cybersécurité affectant la confidentialité, la disponibilité ou l’intégrité d’un des actifs informationnels du système d’information engendre des impacts très graves ;
• CLASSE B : si tous les incidents de cybersécurité affectant la confidentialité, la disponibilité ou l’intégrité des actifs informationnels du système d’information ont un impact grave ;
• CLASSE C : si tous les incidents de cybersécurité affectant la confidentialité, la disponibilité ou l’intégrité des actifs informationnels du système d’information ont au plus un impact limité ou modéré.

Sont considérés comme système d’information critique, les systèmes d`information appartenant à la « CLASSE A » ou à la « CLASSE B ».

L’entité ou l’opérateur responsable de l’infrastructure d’information critique établit, sur la base des résultats d’une analyse des risques, sa liste :

• des systèmes d’information sensibles ;
• des points vitaux.

Cette liste, avec les mises à jour y afférentes, est transmise à l’agence nationale de sécurité des systèmes d’information.

Toutefois, l’agence nationale de sécurité des systèmes d’information peut enjoindre à l’entité ou à l’opérateur responsable de l’infrastructure d’information critique de se conformer à ses observations.

Si des observations sont faites, l’entité responsable de l’infrastructure d’information critique est tenue de :

• modifier sa liste conformément aux observations faites ;
• transmettre la liste modifiée à l’agence nationale de sécurité des systèmes d’information, dans un délai d’un mois à compter de la date de réception des observations.

La liste des systèmes d’information sensibles est tenue secrète.

Les actifs informationnels de type « donnée » classifiés sur la base de l’échelle de l’analyse des impacts prévue à l’article 9 ci-dessus, sont classés selon les niveaux ci-après, suivant leur degré de sensibilité en termes de confidentialité, conformément aux dispositions de l’article 2 de la loi n° 13-2021 du 4 février 2021 susvisée :

• « TRES SECRET », si un incident de cybersécurité portant atteinte à la confidentialité a un impact très grave ;
• « SECRET », si un incident de cybersécurité portant atteinte à la confidentialité a un impact grave ;
• « CONFIDENTIEL », si un incident de cybersécurité portant atteinte à la confidentialité a un impact limité ou modéré ;
• « DIFFUSION RESTREINTE », si un incident de cybersécurité portant atteinte à la confidentialité a un impact limité ou modéré.

Les actifs informationnels de type « donnée » sont considérés sensibles. Ces données sont impérativement hébergées sur le territoire national, sauf dérogation expresse accordée par l’agence nationale de sécurité des systèmes d’information.

Un référentiel technique régissant la sécurité relative à l’externalisation des systèmes d’information ou des actifs informationnels de type « donnée » est élaboré par l’agence nationale de sécurité des systèmes d’information.

Nonobstant les sanctions pénales prévues par les textes en vigueur, le non-respect des dispositions de l’article 12 ci-dessus et celles prévues à l’article 18 expose tout contrevenant à la suspension de ses activités.

Le contrevenant dispose d’un délai d’un mois pour se conformer. Passé ce délai, une décision d’arrêt de ses activités peut être prononcée.

Les sanctions prévues aux alinéas ci-dessus sont prononcées par le directeur général de l’agence nationale de sécurité des systèmes d’information.

Chaque entité ou opérateur responsable d’une infrastructure d’information critique est tenue de mettre à jour, chaque fois que nécessaire, la classification de ses actifs informationnels ou son système d’information au moins une fois tous les deux ans.

Nonobstant les sanctions pénales prévues par les textes en vigueur, le non-respect des dispositions de l’alinéa ci-dessus, expose tout contrevenant à la suspension de ses activités.

Le contrevenant dispose d’un délai d’un mois pour se conformer. Passé ce délai, une décision d’arrêt de ses activités peut être prononcée.

Les sanctions prévues aux alinéas ci-dessus sont prononcées par le directeur général de l’agence nationale de sécurité des systèmes d’information.

Chaque entité ou opérateur responsable d’une infrastructure d’information critique est tenue d’appliquer les mesures de protection des infrastructures d’information critiques et des systèmes d’information sensibles.

Des référentiels de protection des infrastructures d’information critique sont élaborés par l’agence nationale de sécurité des systèmes d’information.

Chaque entité ou opérateur responsable d’une infrastructure d’information critique est tenue de désigner un responsable de la sécurité des systèmes d’information, chargé de veiller à l’application de la politique de sécurité des systèmes d’information.

Le responsable de la sécurité des systèmes d’information est l’interlocuteur de l’agence nationale de sécurité des systèmes d’information. II jouit de l’indépendance requise dans l’exercice de sa mission.

Est notifié préalablement à l’agence nationale de sécurité des systèmes d’information, tout changement ou modification majeur devant intervenir dans une infrastructure d’information critique.

L’entité responsable d’une infrastructure d’information critique doit :

• signaler tout incident de cybersécurité, sans délai, après sa détection, à l’agence nationale de sécurité des systèmes d’information et à l’équipe sectorielle d’intervention d’urgence en informatique (CERT) concernée, si l’infrastructure relève d’un secteur critique disposant d’une équipe sectorielle ;
• faire réaliser un audit de l’infrastructure d’information critique et soumettre une copie du rapport d’audit à l’agence nationale de sécurité des systèmes d’information ;
• disposer d’un plan de sécurité et de continuité ou de reprise d’activités comprenant l’ensemble des mesures matérielles, logicielles ou organisationnelles visant à prévenir et à fournir une réponse aux perturbations, aux dysfonctionnements et aux défaillances de l’infrastructure. Ce plan comprend au moins les éléments suivants :
• les caractéristiques de l’infrastructure d’information critique ;
• l’identification, l’analyse et l’évaluation des risques ;
• les mesures de réduction des risques et des stratégies préventives ;
• le dispositif de continuité ou de reprise des activités.
• prendre des mesures supplémentaires, en fonction du niveau de la menace ;
• établir un point de contact permanent avec l’agence nationale de sécurité des systèmes d’information et l’équipe sectorielle d’intervention d’urgence en informatique (CERT).

Les infrastructures d’information critiques sont soumises à un audit de sécurité obligatoire et périodique effectué par l’agence nationale de sécurité des systèmes d’information.

Toutefois, l’agence peut déléguer un prestataire d’audit de sécurité, agréé, pour assurer la mission d’audit.

L’agence nationale de sécurité des systèmes d’information dispose du droit de retirer la désignation « infrastructure d’information critique », à tout bénéficiaire, si elle considère que le système d’information ou le réseau de communication concerné ne répond plus aux critères établis pour cette qualification.

Il est interdit à toute personne non autorisée d’accéder ou de tenter d’accéder à un système d’information ou à un réseau de communication désigné comme infrastructure d’information critique.

Quiconque qui contrevient aux dispositions de l’alinéa ci-dessus est passible des sanctions prévues par la loi n° 27-2020 du 5 juin 2020 susvisée.

Peut être désigné comme opérateur d’importance vitale, tout exploitant ou propriétaire d’une infrastructure d’information critique dont un incident de cybersécurité sur l’infrastructure aurait de graves conséquences sur le service fourni par ledit exploitant ou propriétaire, selon les critères ci-après :

• le nombre d’utilisateurs dépendant du service sur le territoire national ;
• le degré de dépendance des autres secteurs critiques ou d’activités d’importance vitale, dont la liste est annexée au présent décret, à l’égard de ce service ;
• les conséquences ou l’impact potentiel d’un incident, en termes de gravité et de durée, sur le fonctionnement de l’économie nationale ou de la société congolaise, ainsi que sur la sécurité publique et la stabilité du pays ;
• la part de marché détenue par l’opérateur au niveau national et régional ;
• l’étendue géographique de la zone susceptible d’être affectée par un incident, départemental ou national ;
• l’importance que revêt l’opérateur pour assurer un niveau de service suffisant, compte tenu de la disponibilité de moyens alternatifs pour la fourniture du service ;
• le cas échéant, des facteurs sectoriels spécifiques.

Les opérateurs d’importance vitale sont désignés conformément à la réglementation en vigueur, selon les services essentiels fournis par cet opérateur pour le fonctionnement du bien-être de la société ou de l’économie.

L’agence nationale de sécurité des systèmes d’information notifie, à chaque opérateur concerné, son intention de le désigner comme opérateur d’infrastructures d’information critiques.

L’opérateur dispose d’un délai de quinze jours ouvrés à compter de cette notification pour présenter ses observations.

Lorsque l’opérateur dont la désignation est envisagée fournit un service essentiel dans un ou plusieurs autres Etats de la Communauté économique et monétaire de l’Afrique centrale, en sigle CEMAC ou de la Communauté économique des Etats de l’Afrique centrale, en sigle CEEAC, sa désignation est précédée d’une consultation préalable des Etats membres concernés.

L’agence nationale de sécurité des systèmes d’information, sur la base de la maturité et de l’émergence de nouveaux secteurs et sous-secteurs d’activités d’importance vitale, établit et tient à jour la liste de ces opérateurs.

Cette liste est déterminée conformément aux dispositions de l’article 9 du présent décret.

Tout opérateur d’importance vitale est soumis aux dispositions de l’article 11 du présent décret.

Les opérateurs d’importance vitale doivent :

• respecter les mesures qui leur sont prescrites pour renforcer la sécurité physique et la cybersécurité de leurs infrastructures d’information critiques ;
• déclarer à l’agence nationale de sécurité des systèmes d’information, dès qu’ils en ont connaissance, tout incident pouvant avoir un impact grave sur leurs infrastructures d’informations critiques ou services essentiels ;
• mettre en place les ressources nécessaires pour la mise en conformité de leurs structures et systèmes d’information sensibles ;
• faciliter les missions d’audits de sécurité et de conformité ;
• décrire les mesures qu’ils mettent en place en application des exigences de sécurité qui lui sont imposées, qu’ils soumettent à l’agence nationale de sécurité des systèmes d’information ;
• avoir une cartographie des points vitaux de son infrastructure d’information critique ;
• avoir une politique de sécurité des systèmes d’information mettant l’accent sur les systèmes d’information et les infrastructures d’information critiques pour les services essentiels qu’ils assurent ;
• avoir un plan d’actions pour un alignement aux mesures prescrites par les règles de politique de protection des infrastructures d’information critiques.

Les mesures de sécurité fixées par l’agence nationale de sécurité des systèmes d’information portent notamment sur le domaine de :

• la gouvernance de la sécurité des réseaux et des systèmes d’information ;
• la protection des réseaux et des systèmes d’information ;
• la défense des réseaux et des systèmes d’information ;
• la résilience des activités et la gestion de crises en cas d’incidents de sécurité ayant un impact majeur sur des services essentiels.

Chaque opérateur d’importance vitale doit désigner un représentant technique pour toutes les questions relatives à l’application de la politique de sécurité des systèmes d’information.

Le représentant de l’opérateur est l’interlocuteur de l’agence nationale de sécurité des systèmes d’information. II jouit de l’indépendance requise dans l’exercice de sa mission.

Les opérateurs d’importance vitale sont soumis à un audit de sécurité obligatoire et périodique, conformément à la réglementation en vigueur, effectué par l’agence nationale de sécurité des systèmes d’information.

La liste des secteurs critiques, des sous-secteurs, des infrastructures d’information critiques et de leurs opérateurs est fixée en annexe du présent décret.

Cette liste peut être modifiée à l’initiative du directeur général de l’agence nationale de sécurité des systèmes d’information, compte tenu de l’émergence de nouveaux secteurs ou sous-secteurs d’activités d’importance vitale.

Le présent décret sera enregistré et publié au Journal officiel de la République du Congo.