Loi n° 027/2023 du 11 juillet 2023 portant règlementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise

La présente loi a pour objet d’adapter les dispositifs de sécurité de la République Gabonaise aux enjeux de la société de l’information.

A ce titre, elle vise notamment à :

• organiser la sécurité des systèmes d’information et instaurer une confiance des citoyens, des entreprises et des pouvoirs publics à l’égard de l’usage des technologies de l’information et de la communication ;
• définir et réprimer toute infraction commise au moyen des technologies de l’information et de la communication ;
• fixer les règles et les dispositions générales de sécurité applicables aux réseaux de communications électroniques et aux systèmes d’information de l’Etat et ses démembrements ;
• fixer les règles et dispositions générales de sécurité applicables aux prestataires de services de la société de l’information et aux opérateurs d’infrastructures critiques ;
• protéger les droits fondamentaux des personnes physiques, notamment le droit à la dignité humaine, à l’honneur et au respect de la vie privée, ainsi que les intérêts légitimes des personnes morales ;
• protéger les opérateurs d’infrastructures critiques ;
• promouvoir l’utilisation des technologies de sécurité de l’information en tant que moyens de protection des droits de propriété intellectuelle ;
• assurer l’équilibre entre les intérêts du secteur public et ceux du secteur privé.

Les dispositions de la présente loi s’appliquent à tout usage des technologies de l’information et de la communication produisant ses effets au Gabon.

Est réputé produire ses effets au Gabon, tout usage des technologies de l’information et de la communication, sur le territoire de la République Gabonaise ou non par une personne physique ou morale de nationalité gabonaise ou étrangère contre :

• des droits ou intérêts de la République Gabonaise ou des intérêts s’y rapportant indirectement ;
• des droits ou intérêts des personnes physiques ou morales de nationalité gabonaise ;
• des personnes physiques ou morales de nationalité étrangère domiciliées ou dont les intérêts en République Gabonaise sont impactés.

Les dispositions de la présente loi ne s’appliquent pas aux :

• dispositifs spécifiques utilisés en matière de défense et de sécurité nationale ;
• moyens de cryptologie utilisés par les missions diplomatiques et consulaires visées par la Convention de Vienne sur les relations diplomatiques ainsi que ceux relatifs à la sécurité de l’Etat.

Au sens de la présente loi, on entend par :

• accès dérobé : mécanisme permettant de prévoir un accès tenu secret vis-à-vis de l’utilisateur légitime aux données contenues dans un logiciel ou sur un matériel ;
• accès illicite : accès intentionnel, sans en avoir le droit, à l’ensemble ou à une partie d’un réseau de communications électroniques, d’un système d’information ou d’un équipement terminal ;
• activité de cryptologie : toute activité ayant pour but la production, l’utilisation, l’importation, l’exportation ou la commercialisation des moyens de cryptologie ;
• agrément : reconnaissance formelle que le produit ou le système évalué peut protéger jusqu’à un niveau spécifié par un organisme agréé ;
• algorithme : suite d’opérations mathématiques élémentaires à appliquer à des données pour aboutir à un résultat désiré ;
• algorithme cryptologique : procédé permettant, avec l’aide d’une clé, de chiffrer et de déchiffrer des messages ou des documents ;
• algorithme asymétrique : algorithme de chiffrement utilisant une clé publique pour chiffrer et une clé privée différente de cette dernière pour déchiffrer les messages ;
• algorithme symétrique : algorithme de déchiffrement utilisant une même clé pour chiffrer et déchiffrer les messages ;
• attaque active : acte modifiant ou altérant les ressources ciblées par l’attaque tel que l’atteinte à l’intégrité, à la disponibilité et à la confidentialité des données ;
• attaque passive : acte n’altérant pas sa cible tel que l’écoute passive ou l’atteinte à la confidentialité ;
• atteinte à l’intégrité : fait de provoquer intentionnellement une perturbation grave ou une interruption de fonctionnement d’un système d’information, d’un réseau de communications électroniques ou d’un équipement terminal, en introduisant, transmettant, endommageant, effaçant, détériorant, modifiant, supprimant ou rendant inaccessibles les données ;
• audit de sécurité : examen méthodique des composantes et des acteurs de la sécurité, de la politique, des mesures, des solutions, des procédures et des moyens mis en œuvre par une organisation, pour sécuriser son environnement ;
• authentification : critère de sécurité défini par un processus mis en œuvre notamment pour vérifier l’identité d’une personne physique ou morale et s’assurer que l’identité fournie correspond à l’identité de cette personne préalablement enregistrée ;
• autorité administrative : toute autorité administrative investie des prérogatives administratives dans le domaine du numérique ;
• autorité ministérielle compétente : autorité ministérielle en charge du secteur de l’économie numérique ou toute autre autorité ministérielle ;
• bi-clé : couple clé publique et clé privée utilisé dans des algorithmes de cryptographie asymétrique ;
• chiffrement : toute technique, tout procédé grâce auquel sont transformées à l’aide d’une convention secrète appelée clé, des données numériques, des informations claires en informations inintelligibles par des tiers n’ayant pas connaissance de la clé ;
• chiffrement par bloc : chiffrement opérant sur des blocs d’informations claires et sur des informations chiffrées ;
• chiffrer : action visant à assurer la confidentialité d’une information, à l’aide de Codes secrets, pour la rendre inintelligible à des tiers, en utilisant des mécanismes offerts en cryptographie ;
• clé : valeur mathématique, mot ou phrase qui permet, grâce à l’algorithme de chiffrement, de chiffrer ou de déchiffrer un message dans un système de chiffrement ;
• clé de chiffrement : série de symboles commandant les opérations de chiffrement et de déchiffrement ;
• clé privée : clé utilisée dans les mécanismes de chiffrement asymétrique ou chiffrement à clé publique, appartenant à une entité et devant être secrète ;
• clé publique : clé servant au chiffrement d’un message dans un système asymétrique et donc librement diffusé ;
• clé sécrète : clé connue de l’émetteur et du destinataire servant de chiffrement et de déchiffrement des messages et utilisant le mécanisme de chiffrement symétrique ;
• code source : ensemble des spécifications techniques, sans restriction d’accès ni de mise en œuvre, d’un logiciel ou protocole de communication, d’interconnexion, d’échange ou d’un format de données ;
• communication électronique : émission, transmission ou réception, de signes, de signaux, d’écrits, d’images ou de sons par voie électronique ;
• confidentialité : maintien du secret des informations et des transactions afin de prévenir la divulgation non autorisée d’informations aux non destinataires permettant la lecture, l’écoute, la copie illicite d’origine intentionnelle ou accidentelle durant leur stockage, traitement ou transfert ;
• contenu : ensemble d’informations relatives aux données appartenant à des personnes physiques ou morales, transmises ou reçues à travers les réseaux de communications électroniques et les systèmes d’information ;
• contenu illicite : contenu portant atteinte à la dignité humaine, à la vie privée, à l’honneur ou à la sécurité administrative ;
• convention secrète : accord de volontés portant sur des clés non publiées nécessaires à la mise en œuvre d’un moyen ou d’une prestation de cryptologie pour les opérations de chiffrement ou de déchiffrement ;
• courrier électronique : tout message sous forme de texte, de voix, de son ou d’image envoyé par un réseau public ou privé de communication, qui peut être stocké dans le réseau ou dans l’équipement terminal du destinataire jusqu’à ce que ce dernier le récupère ;
• cryptage : utilisation de Codes ou signaux non usuels permettant la conservation des informations à transmettre en des signaux incompréhensibles par les tiers ;
• cryptanalyse : opération qui vise à rétablir une information inimitable en information claire sans connaître la clé de chiffrement qui a été utilisée ;
• cryptogramme : message chiffré ou codé ;
• cryptographie : ensemble de techniques, application des mathématiques permettant d’écrire l’information, de manière à la rendre inintelligible à ceux ne possédant pas les capacités de la déchiffrer ;
• cryptologie : science relative à la protection et à la sécurité des informations notamment pour la confidentialité, l’authentification, l’intégrité et la non répudiation des données transmises ;
• cybercriminalité : ensemble des infractions commises au moyen ou sur un réseau de communication électronique ou un système d’information ;
• cybersécurité : ensemble de mesures de prévention, de protection et de dissuasion d’ordre technique, organisationnel, juridique, financier, humain, procédural et autres actions permettant d’atteindre les objectifs de sécurité fixés à travers les réseaux de communications électroniques, les systèmes d’information et pour la protection de la vie privée des personnes ;
• démembrement de l’Etat : entité étatique décentralisée ;
• déni de service : attaque informatique ayant pour effet d’empêcher ou de limiter fortement la capacité d’un système d’information ou du réseau de communications électroniques, à fournir le service attendu ;
• déni de service distribué : attaque informatique lancée depuis plusieurs sources ayant pour effet d’empêcher ou de limiter fortement la capacité d’un système d’information ou du réseau de communications électroniques, à fournir le service attendu ;
• disponibilité : critère de sécurité permettant que les ressources des réseaux de communications électroniques, des systèmes d’information ou des équipements terminaux soient accessibles et utilisables selon les besoins ;
• données confidentielles : informations qui ne doivent être communiquées ou rendues accessibles qu’aux personnes et aux entités autorisées ;
• données informatiques : représentation de faits, d’informations ou de notions sous une forme susceptible d’être traitée par un équipement terminal, y compris un programme permettant à ce dernier d’exécuter une fonction ;
• données de connexion : ensemble d’informations relatives au processus d’accès dans une communication électronique ;
• données de trafic : données ayant trait à une communication électronique indiquant l’origine, la destination, l’itinéraire, l’heure, la date, la taille et la durée de la communication ou le type du service réseau sous-jacent ;
• équipement terminal : tout équipement destiné à être connecté directement ou indirectement à un point de terminaison d’un réseau en vue de la transmission, du traitement ou de la réception d’informations ;
• fiabilité : aptitude d’un système d’information ou d’un réseau de communications électronique à fonctionner sans incident pendant un temps suffisamment long ;
• fournisseur des services de communications électroniques : personne physique ou morale fournissant à titre principal des prestations de communications électroniques ;
• gestion des incidents de cybersécurité : processus de détection, de signalement et d’évaluation des incidents de cybersécurité, ainsi que les mesures d’intervention et de traitement y afférentes ;
• gravité de l’impact : appréciation du niveau de gravité d’un incident, pondéré par sa fréquence d’apparition ;
• infrastructure critique : installations, ouvrages, systèmes ou partie de ces dispositifs, civils ou militaires, fournissant des biens ou services indispensables au maintien des fonctions vitales de l’État dont l’indisponibilité ou le dysfonctionnement aurait un impact significatif induisant la défaillance de ces fonctions ;
• incident de cybersécurité : évènement(s), indésirable(s) ou inattendu(s) lié(s) à la sécurité des systèmes d’information et présentant une forte probabilité de compromettre les activités d’une entité, d’une infrastructure critique ou d’un opérateur d’infrastructure critique ou de menacer la sécurité de leurs systèmes d’information ;
• intégrité des données : critère de sécurité définissant l’état d’un réseau de communications électroniques, d’un système d’information ou d’un équipement terminal qui est demeuré intact et permet de s’assurer que les ressources n’ont pas été altérées ;
• interception illégale : accès sans en avoir le droit ou l’autorisation, aux données d’un réseau de communications électroniques, d’un système d’information ou d’un équipement terminal ;
• interception légale : accès autorisé aux données d’un réseau de communications électroniques, d’un système d’information ou d’un équipement terminal ;
• intrusion par intérêt : accès intentionnel et sans droit dans un réseau de communications électroniques ou dans un système d’information, dans le but soit de nuire soit de tirer un bénéfice économique, financier, industriel, sécuritaire ou de souveraineté ;
• intrusion par défi intellectuel : accès intentionnel, sans en avoir le droit ou l’autorisation, dans un réseau de communications électroniques ou dans un système d’information, dans le but de relever un défi intellectuel pouvant contribuer à l’amélioration des performances du système de sécurité de l’organisation ;
• logiciel trompeur : logiciel effectuant des opérations sur un équipement terminal d’un utilisateur sans informer préalablement cet utilisateur de la nature exacte des opérations que ce logiciel va effectuer sur son équipement terminal ou sans demander à l’utilisateur s’il consent à ce que le logiciel procède à ces opérations ;
• logiciel espion : type particulier de logiciel trompeur collectant les informations personnelles auprès d’un utilisateur du réseau de communications électroniques ;
• logiciel potentiellement indésirable : logiciel représentant des caractéristiques d’un logiciel trompeur ou d’un logiciel espion ;
• matériel raciste et xénophobe : tout support numérique qui préconise ou encourage la haine, la discrimination ou la violence, contre une personne ou un groupe de personnes, en raison de la race, de la couleur, de la religion, de l’ascendance ou de l’origine nationale ou ethnique ;
• moyens de cryptologie : ensemble d’outils scientifiques et techniques permettant de chiffrer ou de déchiffrer ;
• non répudiation : critère de sécurité assurant la disponibilité de preuves qui peuvent être opposées à un tiers et utilisées pour prouver la traçabilité d’une communication électronique qui a eu lieu ;
• opérateur : toute personne morale ou physique, privée ou publique, exploitant une infrastructure ou fournissant un service à destination du public ;
• opérateur d’infrastructures critiques : opérateur exploitant une infrastructure ou fournissant un service critique ;
• politique de sécurité : référentiel de sécurité établi par une organisation, reflétant sa stratégie de sécurité et spécifiant les moyens de la réaliser ;
• pornographie enfantine : toute donnée quelle qu’en soit la nature ou la forme ou le support représentant : un mineur se livrant à un comportement sexuellement explicite ;
• des images réalistes représentant un mineur se livrant à un comportement sexuellement explicite.
• prestation de cryptographie : opération visant à la mise en œuvre, pour le compte d’autrui ou de soi, de moyens de cryptographie ;
• prestataire de services de cryptologie : toute personne, physique ou morale, qui fournit une prestation de cryptologie ;
• preuve numérique : indices digitaux sous forme d’informations qui se concrétisent au travers des données numériques ;
• prospection directe : tout envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services ;
• réseau de communications électroniques : système de transmission permettant l’acheminement de signaux par câble, par voie hertzienne, par moyen optique ou par d’autres moyens électromagnétiques ;
• sécurité : situation dans laquelle quelqu’un, quelque chose n’est exposé à aucun danger. Mécanisme destiné à prévenir un événement dommageable, ou à limiter les effets ;
• service critique : service à la fois publics et privés, indispensables au maintien des fonctions vitales de l’Etat et de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social des citoyens, et dont l’arrêt ou la destruction aurait un impact significatif du fait de la défaillance de ces fonctions ;
• système de détection : système permettant de détecter les incidents qui pourraient conduire aux violations de la politique de sécurité et permettant de diagnostiquer des intrusions potentielles ;
• système d’information : ensemble organisé de ressources permettant de collecter, regrouper, classifier, traiter et diffuser l’information ;
• système informatique : tout dispositif isolé ou ensemble de dispositifs interconnectés ou apparentés, qui assure un traitement automatisé de données ;
• vulnérabilité : défaut ou insuffisance de sécurité, connu ou inconnu, dans l’architecture d’un réseau de communications électroniques ou dans la conception d’un système d’information se traduisant par une violation de la politique de sécurité.

La présente loi intègre, en tant que de besoin, les autres définitions contenues dans tout autre texte en vigueur, en rapport avec la cybersécurité ou la cybercriminalité.

Les termes et références non définis dans la présente loi conservent leurs définitions ou significations données par les instruments juridiques internationaux ratifiés par l’Etat Gabonais.