Décret n° 2025-515 du 29 décembre 2025 fixant les critères relatifs à la nature de l’audit obligatoire de sécurité des systèmes d’information et des réseaux de communications, à sa périodicité et aux procédures de suivi de l’application des recommandations contenues dans le rapport d’audit

Le présent décret, pris en application des dispositions de l’article 13 de la loi n° 26-2020 du 5 juin 2020 susvisée, fixe les critères relatifs à la nature de l’audit obligatoire de sécurité des systèmes d’information et des réseaux de communications, à sa périodicité et aux procédures de suivi de l’application des recommandations contenues dans le rapport d’audit.

Au sens du présent décret, les termes ci-après sont définis ainsi qu’il suit :

• audit : processus périodique, méthodique, indépendant et documenté permettant d’évaluer le niveau de conformité d’un système d’information avec les exigences du référentiel général de sécurité des systèmes d’information ;
• audité : organisme responsable de tout ou partie d’un système d’information faisant l’objet d’un audit ;
• certificat de sécurité : attestation formelle, délivrée par l’agence nationale de sécurité des systèmes d’information, prouvant que le système d’information remplit les conditions fixées par le référentiel général de sécurité ;
• certification : processus de délivrance d’un certificat ;
• commanditaire : personne morale, bénéficiaire ou non, exprimant le besoin d’être auditée ;
• conformité : satisfaction aux critères d’audit ;
• constats d’audit : résultats de l’évaluation des preuves d’audit recueillies par rapport aux critères d’audit ;
• critères d’audit : ensemble des politiques, référentiels, guides, procédures ou exigences déterminées applicables à la sécurité du système d’information audité ;
• déclaration inexacte : informations erronées ou incomplètes fournies volontairement ou par négligence, susceptibles d’entraver l’évaluation correcte du système audité ;
• expert auditeur de sécurité : auditeur titulaire d’une accréditation délivrée ou reconnue par l’agence nationale de sécurité des systèmes d’information ;
• infrastructures critiques : point, installation, actif crucial, système ou partie de celui-ci, situé sur le territoire de la République du Congo, qui est indispensable au maintien des fonctions vitales de la société telles que la santé, la sûreté, la sécurité et le bien-être économique ou social des citoyens, et dont l’arrêt ou la destruction aurait un impact significatif sur le fonctionnement continu des services de l’Etat du fait de la défaillance de ces fonctions ;
• manquement grave : violations significatives des obligations légales, pouvant entraîner un préjudice important ;
• non-conforme : non-satisfaction aux critères d’audit ou aux exigences essentielles du référentiel d’audit applicable ;
• non-conforme mineure : écart limité à un aspect non critique du système audité, sans impact significatif sur la sécurité globale, mais nécessitant des corrections pour respecter les exigences du référentiel d’audit, élaboré par l’agence nationale de sécurité des systèmes d’information ;
• prestataire d’audit de sécurité des systèmes d’information, en sigle PASSI : organisme agréé par l’agence nationale de sécurité des systèmes d’information, qui fournit des prestations d’audits de sécurité des systèmes d’information, conformément à la réglementation en vigueur ;
• rapport d’audit : document de synthèse élaboré par l’équipe d’audit et remis au commanditaire à l’issue de l’audit. Il présente les résultats de l’audit et en particulier les vulnérabilités découvertes ainsi que les mesures correctives proposées ;
• risque : probabilité qu’une menace donnée exploite une vulnérabilité occasionnant un impact dommageable sur la disponibilité, l’intégrité et la confidentialité d’un système d’information ;
• services critiques : tout service, gratuit ou rémunéré, fourni par un opérateur d’infrastructure critique, indispensable au bon fonctionnement de l’Etat ou au bien-être économique ou social des citoyens.

Les autres termes non prévus au présent article sont définis conformément aux dispositions de l’article 3 de la loi n° 26-2020 du 5 juin 2020 susvisée.

Les missions d’audit de sécurité des systèmes d’information et des réseaux de communications sont effectuées par l’agence nationale de sécurité des systèmes d’information.

Toutefois, ces missions peuvent être effectuées par des prestataires d’audit de sécurité des systèmes d’information ou experts auditeurs de sécurité, dument agréés par l’agence nationale de sécurité des systèmes d’information.

Les frais d’audit de sécurité, dont le montant est fixé conformément à la réglementation en vigueur, sont à la charge des audités.

Les modalités d’agrément des prestataires d’audit de sécurité des systèmes d’information ainsi que celles d’accréditation des experts auditeurs de sécurité sont fixées conformément à la réglementation en vigueur.

La liste des prestataires d’audit de sécurité des systèmes d’information ou experts auditeurs de sécurité agréés est publiée et mise à jour par l’agence nationale de sécurité des systèmes d’information, pour la réalisation des missions d’audit de sécurité.

L’agence nationale de sécurité des systèmes d’information élabore un référentiel général de sécurité des systèmes d’information, en sigle « RGSSI », en vue d’assurer la sécurité des systèmes d’information et des réseaux de communication.

Ce référentiel fixe les règles et exigences auxquelles les organismes publics et privés doivent se conformer.

La mission d’audit de sécurité des systèmes d’information et des réseaux de communications s’effectue au moyen d’une enquête sur site et s’appuie notamment sur les critères ou éléments ci-après :

• l’analyse et l’évaluation des risques qui pourraient résulter de l’exploitation des failles découvertes à la suite de l’opération d’audit, la classification des risques selon les niveaux de gravité d’impact définis conformément à la réglementation en vigueur ;
• le mode de gestion et d’utilisation des procédures de sécurité et la disponibilité des outils de sécurisation du réseau ou du système d’information ;
• les aspects organisationnels et structurels de la fonction de sécurité des systèmes d’information ;
• les aspects techniques de la sécurité de toutes les composantes du réseau et du système d’information ;
• la réalisation des tests de pénétration ou d’intrusion, d’attaque, et de leur résistance à tous types de dangers ou de risques.

Chaque audit de sécurité des systèmes d’information est sanctionné par la délivrance d’un rapport d’audit et d’un procès-verbal de réunion de clôture.

Sont transmis à l’agence nationale de sécurité des systèmes d’information, dans un délai de dix jours ouvrés à compter de la date de réunion de clôture de l’audit, les documents ci-après, signés par l’auditeur et l’audité :

• le rapport d’audit ;
• le procès-verbal de réunion de clôture ;
• les procès-verbaux des réunions de travail organisées.

L’agence nationale de sécurité des systèmes d’information définit les modèles de ces documents.

Lorsque l’analyse des documents prévus à l’article 9 ci-dessus fait naître un doute sur la véracité de leurs contenus, l’agence nationale de sécurité des systèmes d’information dispose du droit de demander à l’audité de lui fournir des informations ou des documents complémentaires et de procéder à des contrôles ou à des vérifications supplémentaires sur le terrain.

En cas de contrôles ou de vérifications supplémentaires, l’audité est avisé, par tout moyen laissant traces écrites.

Le rapport de l’audit contient les éléments suivants :

• un compte rendu résumant les principales conclusions de l’examen des documents et les recommandations ;
• une description, une évaluation complète de la sécurité du système d’information ainsi que les mesures mises en œuvre depuis le dernier audit réalisé et les insuffisances enregistrées dans l’application des recommandations ;
• une analyse précise des insuffisances organisationnelles et techniques relatives aux procédures et aux outils de sécurité adoptés ;
• une description de la démarche méthodologique utilisée ;
• une proposition des procédures, des solutions organisationnelles et techniques de sécurité, qui devront être adoptées pour corriger les insuffisances enregistrées ;
• une description complète et détaillée des mesures de sécurité recommandées.

L’agence nationale de sécurité des systèmes d’information peut rejeter le rapport d’audit dans les cas suivants :

• lorsque l’enquête sur site n’a pas été réalisée conformément aux conditions prévues par le présent décret ;
• lorsque le rapport ne contient pas tous les éléments prévus à l’article 11 ci-dessus ;
• lorsque le contrôle sur le terrain révèle de graves manquements aux obligations légales en matière d’audit de sécurité des systèmes d’information.

Lorsque l’audit est conforme aux règles de sécurité, l’agence nationale de sécurité des systèmes d’information délivre à l’audité un certificat de sécurité, dont la durée de validité dépend de la nature de l’infrastructure du système d’information audité, prévu à l’article 17 du présent décret.

Un audit de sécurité déclaré conforme peut être assorti de recommandations. L’audité est tenu de s’y conformer, conformément aux dispositions de l’article 21 du présent décret.

Lorsque l’audit de sécurité des systèmes d’information et des réseaux de communications est effectué, il peut être déclaré non-conforme mineure ou non-conforme.

En cas de non-conformité mineure, l’agence délivre un certificat de sécurité à l’audité, sous réserve de correction dans un délai de deux mois, à compter de la date de délivrance du certificat de sécurité.

Si la mise en conformité n’est pas effectuée dans le délai ci-dessus prévu, le contrevenant est passible des sanctions prévues par le présent décret.

Lorsque l’audit n’est pas conforme, l’agence nationale de sécurité des systèmes d’information désigne un auditeur, au frais de l’audité, et enjoint l’organisme concerné à procéder à la réalisation d’un ou plusieurs audits supplémentaires, jusqu’à sa mise en conformité aux règles et/ou exigences de sécurité, dans un délai de douze mois, à compter de la date de notification du rejet.

En cas de force majeure, tels qu’un incident de sécurité, le changement substantiel du système, ou des exigences normatives ou tout autre situation, appréciée par l’agence nationale de sécurité des systèmes d’information, comme étant une circonstance atténuante, la périodicité de l’audit obligatoire de sécurité ci-dessus prévue, peut être réduite ou modifiée conformément à la réglementation en vigueur, par le directeur général de l’agence nationale de sécurité des systèmes d’information.

Dans ce cas, le certificat de sécurité prévu à l’article 13 du présent décret est révoqué. L’organisme concerné est tenu de refaire un nouvel audit, conformément aux critères établis par le présent décret.

La décision de révocation du certificat de sécurité peut faire l’objet d’un recours, conformément à la réglementation en vigueur.

L’audit obligatoire de sécurité des organismes prévus conformément à la réglementation en vigueur, en vue de la certification de leur système d’information, a lieu :

• au moins une fois par an, pour les infrastructures critiques et les services critiques ;
• tous les deux ans, pour les autres organismes, sous réserve d’une évaluation de risque préalable, validé par l’agence nationale de sécurité des systèmes d’information.

L’agence nationale de sécurité des systèmes d’information établit annuellement, et au plus tard à la fin du troisième trimestre de l’année N, un planning des audits de sécurité de l’année N+1, qu’elle communique aux organismes soumis à l’audit de sécurité.

Toutefois, le planning établi ou en cours d’exécution peut être modifié par l’agence nationale de sécurité des systèmes d’information.

La décision de modification doit être motivée et notifiée aux organismes nudités.

Tout organisme public ou privé souhaitant le report de son audit de sécurité est tenu d’adresser une demande motivée à l’agence, trois mois au moins avant l’échéance.

L’agence nationale de sécurité des systèmes d’information peut, dans les deux mois suivant la réception de la demande de report de l’audit de sécurité, lorsque les motifs invoqués lui paraissent fondés, modifier la période prévue dans son planning de l’audit, de l’organisme qui en fait la demande.

Tout refus de modification doit être motivé et notifié.

Lorsque les organismes concernés ne se soumettent pas à la réalisation de l’audit obligatoire et périodique, dans la période prévue dans le planning ci-dessus évoqué, l’agence nationale de sécurité des systèmes d’information avertit l’organisme concerné, qui est tenu de se faire auditer dans un délai de trois mois à compter de la date de la notification d’un avertissement, consécutive à la non-soumission en vue de la réalisation de l’audit obligatoire et périodique.

A l’expiration de ce délai, si l’audit obligatoire de sécurité n’a toujours pas été effectué, l’agence nationale de sécurité des systèmes d’information désigne, aux frais de l’organisme concerné, un expert auditeur de sécurité ou un prestataire d’audit des systèmes d’information, chargé de réaliser cet audit, sans préjudice des sanctions administratives, notamment pécuniaires, prévues par le présent décret.

L’audité est tenu de préparer, dans un délai de soixante jours à compter de la date de réception du rapport d’audit, lorsque l’audit est conforme aux règles de sécurité, un plan d’action de mise en œuvre des recommandations, précisant :

• les mesures correctives pour les vulnérabilités ;
• les responsables de la mise en œuvre ;
• les délais de correction prévus.

Le plan d’action est transmis à l’agence nationale de sécurité des systèmes d’information pour validation préalable.

L’agence peut exiger des modifications si les propositions sont jugées non conformes aux exigences de sécurité. L’audité est tenu de se conformer aux exigences de l’agence, dans un délai d’un mois à compter de la date de notification des modifications.

L’audité doit soumettre à l’agence nationale de sécurité des systèmes d’information, tous les six mois, un rapport d’avancement certifié par son responsable de sécurité des systèmes d’information, en sigle « RSSI » ou son équivalent, comprenant :

• l’état d’exécution des actions ;
• les preuves de mise en œuvre ;
• les difficultés rencontrées, le cas échéant.

L’agence nationale de sécurité des systèmes d’information peut effectuer un audit de suivi inopiné, pour vérifier l’effectivité de la réalisation des corrections.

Les frais de cet audit sont à la charge de l’audité en cas de manquements graves ou de déclarations inexactes.

Le non-respect des obligations contenues dans le présent décret, expose leurs auteurs au paiement d’une amende, prononcé par le directeur général de l’agence nationale de sécurité des systèmes d’information, dont le montant fixé est, en fonction du degré de criticité de l’infrastructure du système d’information ou du service fourni, supérieur ou égal à 2 % et ne dépassant pas 10 % du chiffre d’affaires tel que déclaré dans l’exercice comptable de l’année précédente. Ce pourcentage peut être doublé en cas de récidive.

Sont recouvrées par l’agent comptable de l’agence nationale de sécurité des systèmes d’information, les pénalités découlant des amendes administratives infligées.

Les organismes publics ou privés sont tenus d’informer sans délai, l’agence nationale de sécurité des systèmes d’information de toutes attaques, intrusions et autres perturbations susceptibles d’entraver le bon fonctionnement de leur système d’information ou de leur réseau.

Les organismes publics ou privés concernés sont tenus de se conformer aux mesures arrêtées par l’agence nationale de sécurité des systèmes d’information pour mettre fin à ces perturbations.

Dans les cas prévus à l’article 25 ci-dessus, le directeur général de l’agence nationale de la sécurité des systèmes d’information peut prescrire l’isolement du réseau ou du système d’information concerné, jusqu’à la cessation des perturbations.

Le présent décret sera enregistré et publié au Journal officiel de la République du Congo.