Décret n° 2025-513 du 29 décembre 2025 réglementant les activités des fournisseurs des services, des produits et des technologies de cybersécurité

Sont soumis au régime de l’agrément :

• les prestataires des services d’info nuage ou Cloud fournissant des services aux infrastructures d’information critiques et/ou aux opérateurs d’importance vitale ;
• les prestataires des services d’accompagnement et de conseil en sécurité des systèmes d’information ;
• les prestataires des services de criminalistique numérique ou d’investigation numérique ;
• les prestataires d’administration et de maintenance sécurisées ;
• les prestataires de sécurité des systèmes d’information industriels.

Les prestataires des services d’info nuage ou Cloud fournissent un ou plusieurs services ci-après, auprès des infrastructures d’information critiques et/ou des opérateurs d’importance vitale :

• infrastructure en tant que service (Infrastructure as a Service, IaaS) : fournit l’infrastructure informatique de base, telle que des serveurs virtuels, des réseaux, du stockage, et des systèmes d’exploitation sur demande ;
• plateforme en tant que Service (Platform as a Service, PaaS) : permet l’accès à une plateforme d’hébergement d’applications, comprenant des outils de développement, des environnements d’exécution et des services de déploiement ;
• logiciel en tant que Service (Software as a Service, SanS) : permet l’utilisation d’applications hébergées sur une plateforme Cloud ;
• fonction en tant que Service (Function as a Service, FanS) : permet l’exécution de fonctions logicielles ou de micro-services à la demande, sans gestion directe de l’infrastructure sous-jacente par l’utilisateur ;
• données en tant que service (Data as a Service, DaaS) : permet l’accès, le traitement et la gestion de données hébergées dans le Cloud, incluant notamment l’analyse de données massives (Big Data) et les services de bases de données ;
• autres modèles hybrides ou spécialisés toute combinaison ou déclinaison des services susmentionnés, ou tout autre modèle innovant reconnu par l’agence nationale de sécurité des systèmes d’information, dès lors qu’il repose sur une prestation des services d’info nuage.

Les prestataires des services d’accompagnement et de conseil en sécurité des systèmes d’information exercent une ou plusieurs activités telles que :

• conseil en gestion des risques de sécurité des systèmes d’information ;
• conseil en gouvernance de la cybersécurité ;
• conseil en gestion des systèmes d’information des infrastructures d’information critiques et/ou des opérateurs d’importance vitale ;
• conseil en homologation de sécurité des systèmes d’information ;
• conseil en préparation à la gestion de crise d’origine cyber ;
• conseil en sécurité des architectures des systèmes d’information.

Les prestataires des services de criminalistique numérique ou d’investigation numérique fournissent les activités d’investigation numérique ci-après :

• l’identification, l’acquisition, la préservation, le traitement, l’analyse et la production de rapports relatifs aux données stockées sous forme électronique ;
• la recherche et la production des éléments de preuves électroniques destinés à soutenir les procédures judiciaires ;
• le pilotage et la coordination des investigations.

Les prestataires d’administration et de maintenance sécurisées fournissent les activités ci-après :

• l’installation ou la désinstallation de composants ;
• la modification de la configuration ou du paramétrage ;
• la mise à jour des systèmes ou des composants ;
• la gestion de sauvegardes et des restaurations ;
• la gestion des droits d’accès des utilisateurs ;
• l’attribution de ressources informatiques ;
• la maintenance en condition opérationnelle ;
• la maintenance en condition de sécurité ;
• l’évolution du système d’information.

Les prestataires des services de sécurité des systèmes d’information industriels fournissent les activités ci-après :

• la sécurité physique et périmétrique ;
• la sécurité incendie et risques technologiques ;
• la cybersécurité industrielle, notamment les technologies opérationnelles, la sécurité des systèmes de contrôle industriel ;
• la gestion des risques et continuité d’activité ;
• la protection de l’information et du savoir-faire.

Des référentiels des exigences, élaborés par l’agence nationale de sécurité des systèmes d’information, fixent les critères de qualification des prestataires soumis au régime de l’agrément.

Toute personne morale désirant être agréée en qualité de prestataire est tenue de respecter les conditions ci-après :

• être légalement constituée, conformément au droit congolais ;
• employer du personnel et/ou expert qualifié et certifié par l’agence nationale de sécurité des systèmes d’information ;
• disposer d’une infrastructure technique permettant d’assurer la prestation ;
• disposer d’un plan de mise à niveau technologique et de renouvellement de l’infrastructure technique, approuvée par l’agence nationale de sécurité des systèmes d’information, dont le contenu est fixé conformément à la réglementation en vigueur ;
• disposer d’un plan de développement de compétences locales, approuvé par l’agence nationale de sécurité des systèmes d’information ;
• remplir les conditions figurant dans le référentiel des exigences de qualification des prestataires.

Le plan de mise à niveau technologique et de renouvellement de l’infrastructure technique doit couvrir une période de trois ans au maximum. Ce plan doit démontrer la conformité de l’infrastructure aux exigences de sécurité et aux référentiels en vigueur.

Le prestataire agréé doit s’assurer, chaque année, de l’actualisation des compétences de ses experts afin de leur permettre d’assurer une veille technologique efficiente.

Le prestataire est tenu d’assurer, chaque année, la mise à niveau technologique et/ou le renouvellement de son infrastructure technique, pour laquelle il a obtenu l’agrément de fournir le(s) service(s), afin de garantir la conformité, la disponibilité et la résilience de son ou ses service(s).

Les preuves de mise à niveau technologique et/ou de renouvellement de l’infrastructure technique doivent être transmises à l’agence nationale de sécurité des systèmes d’information, sans délai.

En cas de non-respect des dispositions prévues à l’article 29 ci-dessus, le directeur général de l’agence nationale de sécurité des systèmes d’information peut suspendre l’agrément, conformément à la réglementation en vigueur.

Le prestataire concerné par cette suspension dispose d’un délai de trois mois à compter de la date de la notification de la décision de suspension de son agrément, pour se conformer à la réglementation en vigueur.

Passé ce délai, sans mise en conformité, le directeur général de l’agence nationale de sécurité des systèmes d’information procède au retrait définitif de l’agrément, conformément à la réglementation en vigueur.

L’agrément est délivré pour une durée de deux ans, renouvelable au plus tard un mois avant son expiration.

La demande d’obtention d’un agrément pour l’exercice des activités prévues à l’article 20 ci-dessus est adressée au directeur général de l’agence nationale de sécurité des systèmes d’information.

Le dossier de la demande d’agrément comprend les pièces ci-après :

• une fiche de demande d’agrément, établie par l’agence nationale de sécurité des systèmes d’information, dûment remplie et signée par le représentant légal du demandeur de l’agrément ;
• une copie de la carte nationale d’identité du représentant légal de la personne morale ou de son représentant ;
• la preuve de l’immatriculation au registre du commerce et du crédit mobilier (RCCM) ;
• un casier judiciaire du représentant légal du demandeur de l’agrément datant de moins de trois mois ;
• une copie certifiée conforme des statuts de l’entreprise ;
• une attestation de régularité fiscale, le cas échéant ;
• une copie certifiée conforme des contrats de travail conclus avec des experts métiers ;
• une copie des curriculums vitae des experts métiers ;
• une copie certifiée conforme des certifications et des diplômes des experts.

Tout refus de délivrance d’un agrément est motivé.