Décret n° 2025-513 du 29 décembre 2025 réglementant les activités des fournisseurs des services, des produits et des technologies de cybersécurité

Sont soumis au régime de la licence :

• les prestataires des services de cybersécurité gérés ou managés ;
• les prestataires de sécurité en tant que service (SECaaS).

Les prestataires des services de cybersécurité gérés ou managés exercent l’une ou plusieurs des activités suivantes :

• la surveillance ;
• la recherche d’indicateurs de compromission ;
• l’analyse de Codes malveillants ;
• la détection d’incidents de sécurité ;
• la prévention ;
• l’atténuation ;
• la formation et la sensibilisation ;
• la réponse aux incidents ou menaces.

Les équipes d’intervention d’urgence informatique sectorielles, les centres d’opérations de sécurité (SOC) sont des services de cybersécurité gérés ou managés.

Les centres d’opérations de sécurité (SOC) sont soumis au régime de la licence et les équipes d’intervention d’urgence informatique sectorielles (CERT) sont soumis au régime de l’autorisation.

Les prestataires de sécurité en tant que service (SECaaS) sont qualifiés pour les activités suivantes :

• la gestion des identités et des accès (IAM) ;
• les services de détection et de prévention des intrusions (IDS/IPS) ;
• la protection contre les malicieux à travers notamment : les antivirus, les antimalware, les antispam ;
• le chiffrement des communications et des données ;
• le filtrage web et le contrôle des contenus ;
• la gestion des vulnérabilités et la protection contre les fuites de données ;
• les solutions de surveillance et de corrélation de journaux de sécurité (SIEM dans l’info nuage) ;
• les services de réponse aux incidents et de cyberdéfense managée.

Toute personne morale désirant obtenir une licence en qualité de prestataire des services de cybersécurité gérés ou managés ou de prestataire de sécurité en tant que service (SECaaS) est tenue de respecter les conditions ci-après :

• être légalement constituée en société de droit congolais et disposant d’une assurance professionnelle couvrant les activités de cybersécurité ;
• remplir les conditions techniques, organisationnelles et opérationnelles fixées par le référentiel d’exigences de qualification applicables aux prestataires des services de cybersécurité ;
• disposer d’une infrastructure technique sécurisée sur le territoire national, garantissant la résilience, la redondance, la continuité de service et la protection des données critiques ;
• démontrer sa capacité à héberger, traiter et stocker sur le territoire national, toutes les données, conformément aux directives et aux exigences de souveraineté numérique ;
• disposer d’une structure organisationnelle claire, de politiques internes de gouvernance de la sécurité, ainsi que de procédures de gestion des risques, de conformité et de protection des données personnelles ;
• démontrer l’existence de mécanismes et d’outils pour assurer la mission ;
• s’engager à se soumettre aux audits périodiques de l’agence nationale de sécurité des systèmes d’information et à signaler tout incident de cybersécurité, sans délai, après sa détection ;
• disposer d’un local technique conforme aux standards de sécurité physique, notamment : de contrôle d’accès, de surveillance, d’alimentation électrique de secours et de protection incendie ;
• disposer d’un effectif qualifié et certifié.

Un référentiel d’exigences, élaboré par l’agence nationale de sécurité des systèmes d’information, fixe les conditions de qualification des prestataires des services de cybersécurité gérés ou managés ou des prestataires de sécurité en tant que service (SECaaS).

La licence est délivrée pour une durée de deux ans renouvelable au plus tard un mois avant son expiration.

Tout contrevenant aux dispositions de l’alinéa ci-dessus est passible des sanctions administratives, conformément à la réglementation en vigueur.

La licence délivrée est strictement personnelle et incessible.

Toute cession ou transfert opéré en violation des dispositions du présent article est nul et expose son titulaire à des sanctions administratives et pécuniaires.

L’agence nationale de sécurité des systèmes d’information peut suspendre une licence, pour une durée maximale de six mois, lorsque :

• le titulaire n’a pas sollicité son renouvellement dans les délais requis ;
• le titulaire ne respecte pas les règles réglementant la licence octroyée.

La suspension ne peut intervenir qu’après notification préalable de trente jours, indiquant le motif, avec possibilité pour le titulaire de présenter ses observations ou de remédier aux manquements.

L’agence nationale de sécurité des systèmes d’information peut retirer une licence lorsqu’elle constate que :

• la licence a été obtenue frauduleusement ;
• le titulaire a cessé d’exercer l’activité pour laquelle la licence a été délivrée ;
• le titulaire a été condamné pour une infraction en matière de cybersécurité ;
• le titulaire est en liquidation judiciaire, en dehors des cas de restructuration ou de fusion ;
• les conditions initiales de délivrance de la licence ne sont plus respectées ;
• le maintien de la licence compromet la sécurité nationale ou l’intérêt public.

La décision de retrait est notifiée à l’intéressé et rendue publique par l’agence nationale de sécurité des systèmes d’information.

La demande d’obtention de la licence de prestataire des services de cybersécurité gérés ou managés ou de prestataire de sécurité en tant que service (SECaaS), est adressée au directeur général de l’agence nationale de sécurité des systèmes d’information.

Le dossier relatif à la demande de délivrance d’une licence comprend les pièces suivantes :

• une fiche de demande d’agrément, établie par l’agence nationale de sécurité des systèmes d’information, dûment remplie et signée par le représentant légal du demandeur ;
• une copie du numéro d’identification unique ;
• une copie de la carte nationale d’identité du représentant légal de la personne morale ou de son représentant ;
• une copie de l’immatriculation au registre du commerce et du crédit mobilier (RCCM) ;
• un casier judiciaire du représentant légal du demandeur de l’agrément datant de moins de trois mois ;
• une copie certifiée conforme des statuts de la société ;
• une attestation de régularité fiscale ;
• la liste des actionnaires et leurs parts, le cas échéant ;
• les comptes financiers des deux derniers exercices, le cas échéant ;
• la description des partenariats ou alliances dans le domaine de la cybersécurité ;
• la description des services de cybersécurité détenus par le partenaire, le cas échéant ;
• la description du projet faisant l’objet de la demande de licence, notamment :
• l’architecture technique et les modalités de déploiement ;
• le périmètre de couverture sectorielle ;
• les types de solutions et technologies utilisées, normes techniques et protocoles de sécurité ;
• la description détaillée des services proposés ;
• la description du local technique ;
• les procédures de gestion des accès et des identités ;
• la description de l’infrastructure technique, des équipements et des normes d’interopérabilité appliquées ;
• les dispositions à prendre pour garantir la continuité de service et la résilience ;
• les caractéristiques des infrastructures de supervision et de réponse aux incidents.
• les justificatifs de compétence, notamment :
• les copies certifiées conformes des curriculums vitae des experts techniques ;
• les copies certifiées conformes des diplômes et certifications en cybersécurité des membres de l’équipe ;
• les attestations d’expérience professionnelle dans le domaine de la cybersécurité, le cas échéant.
• les mesures prévues pour prévenir les incidents et limiter l’exposition aux risques liés aux systèmes et réseaux électroniques ;
• le plan de développement de compétences ;
• les preuves de conformité aux exigences de sécurité et de défense nationale ;
• tout autre document jugé nécessaire par l’agence nationale de sécurité des systèmes d’information.

La licence est délivrée lorsque :

• le demandeur satisfait aux exigences prévues par la réglementation en vigueur ;
• la délivrance de cette licence n’est pas susceptible de porter atteinte aux intérêts de l’Etat.

Toute décision de refus est motivée.