Titre 4 - De cyber sécurité, de la cryptologie, de la cyber-criminalité et de la fraude
Chapitre 1 - De la cyber sécurité
Art. 134
Le Gouvernement élabore et met en œuvre la politique nationale de cybersécurité dont l’objet est notamment de :
- 1° reconnaitre l’importance de l’infrastructure essentielle de l’information (IEI) pour la République Démocratique du Congo ;
- 2° identifier les risques auxquels l’infrastructure essentielle de l’information est confrontée en utilisant une approche tous risques ;
- 3° définir dans les grandes lignes la façon dont les objectifs de cette politique seront mis en œuvre.
Art. 135
Les opérateurs des réseaux et les fournisseurs des services prennent les mesures administratives et techniques nécessaires pour garantir la sécurité des communications électroniques.
Ils se dotent de systèmes normalisés leur permettant d’identifier, d’évaluer, de traiter et de gérer de façon continue les risques liés à la sécurité des systèmes d’information dans le cadre des services offerts directement ou indirectement.
Ils informent les usagers des risques particuliers de violation de la sécurité notamment, les dénis de service distribués, le ré-routage anormal, les pointes de trafic, le trafic et les ports inhabituels, les écoutes passives et actives, les intrusions et tout autre risque.
Ils veillent à la légalité des communications véhiculées par leurs réseaux afin que celles-ci ne portent pas atteinte à la sécurité, à l’ordre public et à la pudeur.
Art. 136
L’autorité de régulation procède régulièrement à l’audit de sécurité des réseaux et des systèmes des communications électroniques.
Les agents commis à l’audit technique sont soumis à l’obligation de confidentialité.
L’audit de sécurité et les mesures d’impact de gravité sont effectués chaque année ou lorsque les circonstances l’exigent.
Les rapports d’audit sont confidentiels et adressés au Ministre.
Le Ministre fixe, par arrêté, les conditions d’évaluation des niveaux d’impact de gravité.
Art. 137
Les exploitants des systèmes d’information assurent la protection des plates-formes des systèmes d’information contre les éventuels rayonnements et les intrusions qui peuvent compromettre l’intégrité des données transmises et contre toute attaque externe notamment par la mise en place d’un système de détection d’intrusions.
Art. 138
Les exploitants des systèmes d’information sont tenus de mettre à jour leur système de sécurité en fonction de l’évolution des technologies. A cet effet, ils évaluent, révisent leurs systèmes de sécurité et introduisent, en cas de nécessité, les modifications appropriées dans leurs pratiques, mesures et techniques de sécurité.
Les exploitants des systèmes d’information et leurs utilisateurs peuvent collaborer pour l’élaboration et la mise en œuvre des pratiques, mesures et techniques de sécurité de leurs systèmes.
Art. 139
Les fournisseurs de contenus des réseaux sont tenus :
- 1° d’assurer la disponibilité des contenus, ainsi que celle des données stockées dans leurs installations ;
- 2° de mettre en place des filtres pour faire face aux atteintes préjudiciables aux données personnelles et à la vie privée des utilisateurs.
Art. 140
Tout opérateur dont l’activité est d’offrir un accès à des systèmes d’information est tenu d’informer les usagers :
- 1° du danger encouru dans l’utilisation des systèmes d’information non sécurisés notamment pour les particuliers ;
- 2° de la nécessité d’installer des dispositifs de contrôle parental ;
- 3° des risques particuliers de violations de sécurité, notamment la famille générique des virus ;
- 4° de l’existence de moyens techniques permettant de restreindre l’accès à certains services et de leur proposer au moins l’un de ces moyens, notamment l’utilisation des systèmes d’exploitation les plus récents, les outils antivirus et contre les logiciels espions et trompeurs, l’activation des pare-feu personnels, des systèmes de détection d’intrusions et l’activation des mises à jour automatiques.
Art. 141
Les exploitants des systèmes d’information informent les utilisateurs de l’interdiction faite d’utiliser le réseau pour diffuser des contenus illicites ou tout autre acte qui peut entamer ma sécurité des réseaux.
Ils les informent également de l’interdiction de conception et de mise en circulation de logiciels trompeurs, espions, potentiellement indésirables ou de tout autre outil conduisant à un comportement frauduleux.
Art. 142
Les opérateurs de réseaux et les fournisseurs de services sont tenus de conserver les données de connexion et de trafic pendant une période de douze mois et d’installer des mécanismes de surveillance de trafic des données de leurs réseaux.
Les données de connexion et de trafic conservées peuvent être accessibles lors des investigations judiciaires, dans les conditions fixées par les lois et règlements en vigueur.
Lorsque l’utilisation des données de connexion et de trafic porte atteinte aux libertés individuelles des usagers, la responsabilité des opérateurs de réseaux et celle des fournisseurs de services est engagée.
Art. 143
Les exploitants des systèmes d’information mettent en place des mécanismes techniques pour faire face aux atteintes préjudiciables à la disponibilité permanente des systèmes, à leur intégrité, à leur authentification, à leur non répudiation par des utilisateurs tiers, à la confidentialité des données et à la sécurité physique.
Les mécanismes prévus à l’alinéa précédent font l’objet d’approbation dans les conditions fixées par arrêté du Ministre.
