Loi n° 027/2023 du 11 juillet 2023 portant règlementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise

Les dispositions et mesures relevant de la cybersécurité sont définies et mises en œuvre sous l’autorité du Gouvernement.

Le Gouvernement définit une stratégie nationale en matière de cybersécurité. Cette stratégie est adoptée par décret.

Un décret pris en Conseil des Ministres, sur proposition conjointe des Ministres chargés de la Défense Nationale et de la Sécurité, adopte des normes et procédures relatives aux politiques de défense, de sécurité des infrastructures et services critiques et des plans de rétablissement définis par l’autorité administrative compétente en matière de sécurité des systèmes d’information déterminée par les textes en vigueur.

Un décret pris en conseil des Ministres, sur proposition conjointe des Ministres chargés de la Défense nationale et de la Sécurité, adopte les critères de classification des opérateurs d’infrastructures et services critiques définis par l’autorité administrative compétente.

Chaque département ministériel identifie les infrastructures et services critiques relevant de son secteur, notamment dans les domaines régalien, humain, économique et technologique, après avis notamment, de l’autorité administrative compétente.

La liste de ces secteurs et infrastructures critiques fait l’objet d’un décret de classification notifié à l’opérateur de l’infrastructure critique dans les mêmes formes.

L’opérateur d’une infrastructure critique établit, sur la base des résultats d’une analyse des risques, la liste des systèmes d’information sensibles et la transmet avec les mises à jour de celle-ci à l’autorité administrative compétente.

L’autorité administrative compétente peut faire des observations à l’opérateur de l’infrastructure critique, sur la liste des systèmes d’information sensibles qui lui a été transmise.

Dans ce cas, l’opérateur de l’infrastructure critique est tenu de modifier sa liste conformément à ces observations et transmet la liste modifiée à l’autorité administrative compétente, dans un délai fixé par un texte réglementaire.

La liste des systèmes d’information sensibles est couverte par le degré de classification correspondant.

L’opérateur d’une infrastructure critique est tenu de prendre toutes dispositions utiles en vue d’organiser et d’assurer la sécurité de cette infrastructure, dans les conditions et selon les modalités fixées par voie réglementaire.

Un arrêté conjoint des Ministres chargés de la Défense, de la Sécurité et de l’Economie Numérique, définit un cadre de coopération entre les opérateurs d’infrastructures critiques sous la coordination de l’autorité administrative compétente.

Le cadre de coopération visé au précédent alinéa garantit un échange permanent d’informations entre les acteurs, notamment sur les menaces et vulnérabilités et la mise en place de procédures permettant de prévenir et détecter les incidents de cybersécurité et d’y répondre efficacement.

Les opérateurs dont un ou plusieurs établissements, installations et ouvrages, désignés en application de l’article 12 ci-dessus, réalisent pour chacun de ces établissements, installations ou ouvrages des mesures de protection particulières.

Le plan d’exécution de ces mesures, élaboré par l’opérateur, est soumis à l’approbation de l’autorité administrative compétente.

En cas de non-approbation du plan ou de désaccord, la décision est prise par l’autorité administrative compétente.

Les mesures de protection visées aux articles 13 et 14 ci-dessus comportent notamment des dispositifs de surveillance, d’alerte et de protection matérielle ayant pour effet de garantir l’opérationnalité permanente de l’infrastructure.

Le plan des mesures de protection est élaboré par l’opérateur et soumis à l’approbation de l’autorité administrative compétente.

La réalisation effective de ces mesures fait l’objet d’une certification de sécurité.

En cas d’approbation du plan de protection, l’autorité administrative compétente impartit à l’opérateur un délai d’exécution.

L’inobservation de ce délai expose l’opérateur défaillant à une amende dont le montant est fixé en fonction de l’importance du dommage résultant de l’impact causé ou susceptible d’être causé.

Les modalités d’application de cette amende sont fixées par la loi de finances.

Une copie de ce plan est transmise à chaque autorité ministérielle compétente.

Par exception aux dispositions de l’article 17 ci-dessus, les entreprises nationales ou faisant appel au concours financier de l’Etat sont mises en demeure en cas d’inexécution dans le délai fixé pour la réalisation du plan de protection.

Les mises en demeure sont communiquées aux autorités de tutelle de ces entreprises.

Les opérateurs des réseaux de communications électroniques et les fournisseurs de services de communications électroniques doivent prendre toutes les mesures techniques et administratives nécessaires pour garantir la sécurité des services offerts.

A ce titre, ils sont notamment tenus d’informer les usagers :

• du danger encouru en cas d’utilisation de leurs réseaux ;
• des risques particuliers de violation de la sécurité ;
• de l’existence de moyens techniques permettant d’assurer la sécurité de leurs communications.

En outre, les opérateurs des réseaux sont tenus de mettre en place un dispositif d’enregistrement pour recueillir les réclamations et les signalements des usagers.

Les modalités d’application du présent article sont fixées par voie réglementaire.

Les opérateurs de réseaux et les fournisseurs de services de communications électroniques ont l’obligation de conserver les données de connexion et de trafic pendant une période de dix ans sur le territoire national à compter de la date de leur enregistrement. Au terme de ce délai, les opérateurs et les fournisseurs doivent transmettre à l’autorité le procès-verbal de la suppression desdites données de connexion et de trafic.

Les opérateurs de réseaux et les fournisseurs de services de communications électroniques installent des mécanismes de surveillance de trafic des données de leurs réseaux. Ces données sont accessibles lors des investigations judiciaires.

La responsabilité des opérateurs de réseaux et celle des fournisseurs de services de communications électroniques n’est pas engagée si l’utilisation des données prévue à l’alinéa 2 ci-dessus porte atteinte aux libertés individuelles des usagers.

Les opérateurs de réseaux de communications électroniques installés sur le territoire national sont tenus de disposer d’un centre de gestion opérationnelle de leurs infrastructures et de leurs données sur le territoire national.

Les données, les infrastructures numériques et systèmes d’information de l’Etat et ses démembrements doivent être classifiés selon leur niveau de sensibilité en termes de confidentialité, d’intégrité et de disponibilité. Les mesures de protection de ces actifs informationnels doivent être proportionnées au niveau de classification attribué.

Chaque administration ou démembrement de l’Etat doit arrêter des procédures d’habilitation des personnes pouvant accéder aux informations classifiées et des conditions d’échange, de conservation ou de transport de ces informations. Le référentiel de classification des actifs informationnels et des systèmes d’information est fixé par voie réglementaire.

Chaque administration ou démembrement de l’Etat met en place une équipe chargée d’appliquer la politique de sécurité du système d’information en collaboration avec l’autorité administrative compétente en matière de cybersécurité conformément aux dispositions des textes en vigueur.

Chaque administration désigne un responsable au sein de cette équipe. Ce dernier est l’interlocuteur de l’autorité administrative compétente en matière de cybersécurité et doit jouir de l’indépendance requise dans l’exercice de sa mission.

Chaque administration ou démembrement de l’Etat doit, dès qu’il a connaissance d’un incident de cybersécurité, le déclarer à l’autorité administrative compétente.

Un décret d’application précise les conditions d’application du présent article.

L’externalisation à un prestataire de service d’un système d’information sensible au sens de l’article 23 de la présente loi est subordonnée à un avis motivé de l’autorité administrative compétente, ce dernier est tenu de respecter au maximum, les normes et référentiels techniques relatifs à la sécurité des systèmes d’information édictés par l’autorité administrative compétente.

Sous réserve d’une dérogation écrite accordée par l’autorité administrative compétente, l’externalisation d’un système d’information sensible doit faire l’objet d’un contrat régi par le droit gabonais, contenant obligatoirement des engagements de protection de l’information, d’auditabilité et de réversibilité des données.

Les données jugées confidentielles ou sensibles au sens de l’article 22 de la présente loi, doivent être exclusivement hébergées sur le territoire national, sauf dérogation écrite de l’autorité administrative compétente.

Les exploitants des systèmes d’information prennent toutes les mesures techniques et administratives afin de garantir la sécurité des services offerts. A ce titre, ils se dotent de systèmes normalisés leur permettant d’identifier, d’évaluer, de traiter et de gérer en continu les risques liés à la sécurité des systèmes d’information.

Les exploitants des systèmes d’information mettent en place des mécanismes techniques permettant de faire face aux atteintes préjudiciables à la disponibilité permanente des systèmes, à leur intégrité, à leur authentification, à leur non-répudiation par des utilisateurs tiers, à la confidentialité des données et à la sécurité physique.

Les mécanismes prévus à l’alinéa 2 du présent article, font l’objet d’un visa de conformité à la politique administrative de cybersécurité de la part de l’autorité administrative compétente.

Les systèmes d’information font l’objet de protection contre d’éventuels rayonnements et d’intrusions qui peuvent compromettre l’intégrité des données transmises et contre toute autre attaque.

Les personnes dont l’activité est d’offrir un accès à des systèmes d’information sont notamment tenues d’informer les usagers :

• du danger encouru dans l’utilisation des systèmes d’information non sécurisés ;
• de la nécessité d’installer des dispositifs de contrôle parental ;
• des risques particuliers de violation de sécurité ;
• de l’existence de moyens techniques permettant de restreindre l’accès à certains services et de leur proposer au moins l’un de ces moyens.

Les exploitants des systèmes d’information informent les utilisateurs de l’interdiction faite d’utiliser les réseaux de communications électroniques pour diffuser des contenus illicites ou tout autre acte qui peut entamer la sécurité des réseaux ou des systèmes d’information.

L’interdiction porte également sur la conception de logiciel trompeur, espion, potentiellement indésirable ou de tout autre outil conduisant à un comportement frauduleux.

Les exploitants des systèmes d’information ont l’obligation de conserver les données de connexion et de trafic de leurs systèmes d’information pendant une période de dix ans.

Les exploitants des systèmes d’information sont tenus d’installer des mécanismes de surveillance et de contrôle d’accès aux données de leurs systèmes d’information. Les données conservées sont accessibles lors des investigations judiciaires.

Les installations des exploitants des systèmes d’information peuvent faire l’objet de perquisition ou de saisie sur ordre d’une autorité judiciaire dans les conditions prévues par les lois en vigueur.

Les dispositions du présent article sont sans préjudice notamment, du respect des textes en vigueur, notamment la loi relative à la protection des données à caractère personnel.

Les exploitants des systèmes d’information évaluent, révisent leurs systèmes de sécurité et introduisent en cas de nécessité les modifications appropriées dans leurs pratiques, mesures et techniques de sécurité en fonction de l’évolution des technologies.

Les exploitants des systèmes d’information et leurs utilisateurs peuvent coopérer pour l’élaboration et la mise en œuvre des pratiques, mesures et techniques de sécurité de leurs systèmes.

Les réseaux de communications électroniques et les systèmes d’information sont soumis à un régime d’audit de sécurité obligatoire et périodique de leurs systèmes de sécurité, selon les modalités fixées par voie réglementaire.

Les dispositions de la présente section s’appliquent aux opérateurs d’infrastructures critiques, sous réserve de l’application de mesures de sécurité plus contraignantes, selon les modalités fixées par voie réglementaire.

Tout opérateur est tenu d’héberger une copie de ses données sur le territoire national, dans les conditions et selon les modalités fixées par voie réglementaire.

Les opérateurs et exploitants des réseaux de communications électroniques et des systèmes d’information assurent la confidentialité des communications acheminées à travers les réseaux de communications électroniques et les systèmes d’information y compris les données relatives au trafic.

Il est interdit à toute personne physique ou morale, équipements informatiques ou intelligence artificielle d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférent, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés, sauf lorsque cette personne y est légalement autorisée.

Toutefois, le stockage technique préalable à l’acheminement de toute communication est autorisé aux opérateurs et exploitants des réseaux de communications électroniques, sans préjudice du principe de confidentialité.

L’enregistrement des communications et des données de trafic y afférent, effectué dans le cadre professionnel en vue de fournir la preuve numérique d’une communication électronique, est autorisé dans les conditions fixées par la présente loi.

Les prestataires ou fournisseurs des services de communications électroniques, sont tenus d’informer leurs abonnés de l’existence de moyens techniques permettant de restreindre l’accès à certains services, de les sélectionner ou de leur proposer au moins un de ces moyens.

La confidentialité des communications acheminées à travers les réseaux de communications électroniques et les systèmes d’information, y compris les données relatives au trafic, est assurée par les opérateurs et exploitants des réseaux de communications électroniques et des systèmes d’information.

Les fournisseurs de contenus des réseaux de communications électroniques et systèmes d’information sont tenus d’assurer la disponibilité des contenus, ainsi que celle des données stockées dans leurs installations, selon les modalités fixées par voie réglementaire.

Ils ont l’obligation de mettre en place des filtres pour faire face aux atteintes préjudiciables aux données personnelles et à la vie privée des utilisateurs.

Les fournisseurs de contenus des réseaux de communications électroniques et systèmes d’information, sont tenus de conserver les contenus ainsi que les données stockées dans leurs installations pendant une durée de dix ans.

Les fournisseurs de contenus des réseaux de communications électroniques et systèmes d’information, ont l’obligation de mettre en place des filtres pour faire face aux atteintes préjudiciables aux données personnelles et à la vie privée des utilisateurs.

L’utilisation des réseaux de communications électroniques et des systèmes d’information aux fins de stocker les informations ou d’y accéder à des informations stockées dans un équipement terminal d’une personne physique ou morale, ne peut se faire qu’avec le consentement préalable de la personne concernée ou d’un tiers légalement autorisé.

L’émission des messages électroniques à des fins de prospection en dissimulant l’identité de l’émetteur au nom duquel la communication est faite, ou sans indiquer une adresse valide à laquelle le destinataire peut transmettre une demande visant à obtenir l’arrêt de ces informations est interdite.

L’émission des messages électroniques utilisant frauduleusement l’identité d’autrui est interdite.

Les personnels des opérateurs des réseaux de communications électroniques ou des fournisseurs de services de communications électroniques sont astreints au secret professionnel.

Les modalités d’utilisation de la taille de certaines clés sont fixées par voie réglementaire.

Le prestataire ou la personne procédant à la fourniture d’un service de cryptologie tient à la disposition de l’autorité administrative compétente une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le Code source des logiciels utilisés.

La cryptologie est un domaine de souveraineté de l’Etat.

Les prestataires de services de cryptologie sont assujettis au secret professionnel.

Un texte réglementaire précise les modalités d’application du présent article.