Ordonnance n° 26-033 du 16 mai 2026 portant organisation et fonctionnement d’un organisme public dénommé Agence nationale de cybersécurité, en sigle « ANCY »

L’Agence nationale de cybersécurité, ANCY en sigle, est un organisme public, doté de la personnalité juridique.

L’ANCY est placée sous l’autorité du président de la République.

Elle est régie par les dispositions de l’ordonnance-loi 23-010 du 13 mars 2023 portant Code du numérique et de la présente ordonnance.

Le siège de l’ANCY est situé à Kinshasa.

Elle exerce ses activités sur toute l’étendue du territoire national.

L’ANCY peut, en cas de nécessité et pour le besoin de son fonctionnement, ouvrir des directions dans les provinces et/ou des bureaux dans les entités territoriales décentralisées.

L’ANCY est l’autorité nationale chargée de la cybersécurité et de la sécurité des systèmes d’information, incluant les systèmes informatiques en République démocratique du Congo.

Elle assure la régulation en matière de cybersécurité, la conformité et l’audit des systèmes d’information ainsi que des réseaux de communication électronique, l’homologation des prestataires de services et produits de cybersécurité.

À ce titre, elle est notamment chargée de :

• piloter, coordonner, actualiser et suivre la mise en œuvre de la stratégie nationale de cybersécurité ainsi que la politique de sécurité des systèmes d’information de l’État ;
• élaborer, coordonner et superviser les mesures nationales de prévention, de protection et de résilience en matière de cybersécurité, en vue d’assurer la sécurisation des données, des systèmes d’information, des infrastructures critiques et essentielles ainsi que des réseaux de communications électroniques contre les cybermenaces en République démocratique du Congo ;
• assurer la gestion des risques au niveau national et piloter les mesures de cyber-résilience, de gestion des cyber-incidents, de continuité d’activités, de gestion de crises cybers ;
• assurer la conformité des procédures de cybersécurité pour les organismes et institutions publiques ;
• s’assurer du mécanisme d’inclusion nationale des différentes parties prenantes à la mise en œuvre de la stratégie nationale de la cybersécurité ;
• identifier, en collaboration avec les ministères et les régulateurs sectoriels, les organismes à importance vitale et les services essentiels, et s’assurer de leur mise à jour ;
• suivre les indicateurs de performance en matière de cybersécurité et sécurité des systèmes d’information ;
• établir et maintenir des bases de données des cyber-vulnérabilités ;
• participer au développement de la confiance numérique ;
• assurer l’audit et la veille technologique des systèmes d’information et des réseaux de communications électroniques en République démocratique du Congo ;
• qualifier, labelliser, certifier et homologuer les produits et services de cybersécurité et de cryptologie en République démocratique du Congo ;
• accompagner et collaborer dans la lutte contre la cybercriminalité avec d’autres organismes et institutions publiques ;
• collaborer et participer à la sensibilisation, à la formation ainsi qu’aux investigations en matière de cybersécurité ;
• assurer la gestion du Fonds souverain de cybersécurité et des systèmes informatiques, dénommé « Fonds souverain » ;
• contribuer, en ce qui concerne ses missions, à l’application des accords, traités et conventions relatifs à la cybersécurité et à la lutte contre la cybercriminalité ratifiés par la République démocratique du Congo ;
• veiller à l’exécution des dispositions légales et réglementaires relatives à la sécurité des systèmes d’information et des réseaux de communication électronique ;
• centraliser les demandes d’assistance à la suite des incidents de sécurité sur les systèmes d’information et les réseaux de communication électronique ;
• proposer au président de la République les mesures destinées à répondre aux crises qui affecteraient ou menaceraient la sécurité des systèmes d’information des institutions publiques et des opérateurs d’importance vitale ;
• proposer la réglementation nationale en matière de cybersécurité, de laquelle découleront les règlementations sectorielles ainsi que des mesures de prévention, de protection et de défense des données, des infrastructures critiques, des organismes d’importance vitale et des services essentiels face aux cybermenaces sur toute l’étendue de la République démocratique du Congo ;
• coordonner les actions nécessaires en matière de défense des systèmes d’information dans le cadre des orientations fixées par le président de la République ;
• mettre en place et opérationnaliser un Centre national de sécurité opérationnel (SOC) et un Centre national de réponse à incident (CERT/CSIRT) ;
• assurer la sécurité du cyberespace congolais en réduisant sa vulnérabilité ;
• renforcer la culture de cybersécurité ;
• suivre l’exécution des plans et des programmes relatifs à la sécurité des systèmes d’informations et des réseaux dans les secteur public et privé et assurer la coordination entre les divers intervenants dans ce domaine ;
• assurer l’audit direct et indirect des systèmes informatiques et de l’information des institutions publiques et des entreprises privées identifiées comme opérateurs d’importance vitale ;
• participer à la gouvernance des infrastructures nationales à clés publiques pour assurer la fiabilité et le fonctionnement du système de certification numérique national ;
• assurer la conformité et l’audit des systèmes d’information ;
• assurer la sécurisation des infrastructures de télécommunications et de technologies de l’information et communication en République démocratique du Congo, notamment dans les milieux ruraux et péri-urbains dans le cadre des politiques de développement et de lutte contre la fracture numérique ;
• établir et maintenir des bases de données des cyber-vulnérabilités ;
• concevoir et promouvoir la sécurité de l’information, notamment par le biais de mesures de sensibilisation et de formation et appuyer les institutions publiques et privées dans les investigations et dans la lutte contre la cybercriminalité ;
• effectuer un contrôle général de la sécurité des systèmes d’information et des réseaux relevant des divers organismes publics et privés identifiés par voie règlementaire ;
• contribuer à l’élaboration des textes légaux et règlementaires relatifs à la sécurité des systèmes d’information et des réseaux.

Elle assure également toute mission conférée par le président de la République dans le respect des lois, règlements et droits garantis aux particuliers.

L’ANCY procède directement ou indirectement à des audits obligatoires et périodiques des systèmes d’information des Institutions publiques et des opérateurs d’importance vitale.

À cet effet, les institutions publiques et les opérateurs d’importance vitale sont tenus d’informer l’ANCY de toutes les attaques, intrusions et autres pénétrations susceptibles d’entraver leur fonctionnement et tout autre système d’information.

Dans l’accomplissement de sa mission, l’ANCY collabore avec le Gouvernement central, notamment les ministères ayant dans leurs attributions les affaires intérieures, la sécurité, la défense nationale, la justice, le numérique, les postes et télécommunications ainsi que les droits humains, les exécutifs provinciaux, de même qu’avec les institutions, organismes, associations, partenaires et personnes physiques intervenant aux niveaux local, régional et international dans des domaines similaires ou relevant de son champ d’activités.

L’ANCY est composée des organes suivants :

• le conseil stratégique ;
• la direction générale ;
• les départements ;
• la commission de cryptologie.

Le conseil stratégique est l’organe d’orientation et de surveillance chargé d’assurer le suivi permanent de l’exécution de la mission de l’ANCY.

À ce titre, il est chargé notamment de :

• définir les orientations stratégiques tant générales que particulières en matière de cybersécurité en République démocratique du Congo ;
• approuver les plans stratégiques pluriannuels et les programmes annuels d’actions de l’ANCY ;
• approuver le budget annuel sur proposition du collège de l’ANCY.

Le conseil stratégique est composé de :

• Président de la République ou son délégué ;
• Premier Ministre ;
• Ministres ayant dans leurs attributions les matières suivantes : intérieur et sécurité, les affaires étrangères, la défense nationale, la justice, les droits humains, les finances, les numériques, les postes et télécommunications, les nouvelles technologies de l’information et de la communication, la recherche scientifique et innovation technologique ;
• chef d’État-major des Forces armées ;
• commissaire général de la Police nationale ;
• administrateur général de l’Agence nationale de renseignement ;
• conseiller spécial du chef de l’État en matière de sécurité ;
• coordonnateur de l’Agence pour le développement du numérique ;
• directeur général de l’ANCY.

Les membres du conseil stratégique ne peuvent se faire représenter aux réunions, sauf dérogation du président de la République.

Le conseil stratégique est convoqué et présidé par le président de la République.

Le secrétariat technique du conseil stratégique est assuré par le directeur général de l’ANCY.

Le conseil stratégique se réunit au moins une fois l’an en séance ordinaire, sur convocation du président de la République ou en séance extraordinaire chaque fois que de besoin, suivant un ordre du jour fixé par le président de la République.

La direction générale est l’organe de gestion de l’ANCY.

Elle est investie de tous les pouvoirs de décision, de gestion et de dispositions nécessaires à la réalisation de sa mission.

Elle assure la régulation en matière de cybersécurité, la conformité et l’audit des systèmes d’information ainsi que des réseaux de communication électronique, l’homologation des prestataires de services et produits de cybersécurité.

La direction générale assure la coordination, l’exécution et la gestion quotidienne des activités de l’ANCY dans le respect des orientations fixées par le conseil stratégique.

À ce titre, elle est chargée de :

• exécuter les résolutions prises et orientations fixées par le Conseil stratégique ;
• élaborer le projet de budget annuel de l’ANCY ;
• ordonnancer les dépenses ;
• organiser, coordonner et évaluer au quotidien les activités de l’ANCY ;
• élaborer un programme d’activités, les comptes d’exploitation provisionnels, les opérations de clôture d’exercices comptables ;
• contrôler et arrêter les états financiers établis après chaque exercice comptable ;
• approuver et adopter les règles de gouvernance, l’organigramme, le règlement d’administration, le manuel de procédure, les règles d’éthique et déontologie, les barèmes de rémunérations du personnel ;
• examiner, contrôler et approuver les rapports d’activités ainsi que les rapports annuels de performance ;
• veiller à la stricte application des procédures techniques, administratives, financières et comptables en vigueur ;
• représenter l’ANCY dans tous les actes de gestion, notamment à l’égard des tiers ;
• assurer le secrétariat technique du conseil stratégique ;
• procéder au recrutement et au licenciement du personnel contractuel, dans le respect de la législation en vigueur ;
• contribuer à la communication, à la diffusion et à la vulgarisation de la stratégie nationale de cybersécurité et de toutes les autres mesures prises dans le cadre de la conduite des réformes dans le secteur ;
• participer à l’organisation et prendre part à des grands événements provinciaux, nationaux et internationaux en lien avec la cybersécurité et la cybercriminalité.

Une ordonnance du président de la République portant règlement d’administration fixe le cadre organique ainsi que le statut du personnel de l’ANCY.

La direction générale de l’ANCY est composée d’un directeur général, assisté de deux directeurs généraux adjoints, dont l’un chargé des questions techniques et opérationnelles et l’autre des questions administratives et financières.

Le directeur général et les directeurs généraux adjoints sont nommés, relevés de leurs fonctions et, le cas échéant, révoqués par le président de la République.

Leur mandat est de cinq ans, renouvelable une seule fois.

Ils sont choisis en raison de leur compétence dans les secteurs public et/ou privé ainsi que de leur expertise avérée en matière de cybersécurité, de sécurité des systèmes d’information et de régulation technique et juridique y afférente.

Le directeur général doit justifier d’un profil ainsi que d’une expérience avérée en matière de cybersécurité et de sécurité des systèmes d’information.

Les directeurs généraux adjoints doivent, chacun en ce qui le concerne, justifier d’une expérience avérée dans les domaines relevant de leurs attributions respectives.

Le directeur général de l’ANCY ainsi que ses adjoints bénéficient des rémunérations et des avantages tenant compte de leur rang.

Pendant l’exercice de leurs fonctions, les membres de la direction générale de l’ANCY jouissent des garanties d’indépendance et d’inviolabilité attachées à leurs charges.

Ils ne peuvent être entendus en qualité de témoin ou de renseignant sur des faits dont ils ont eu connaissance dans l’exercice ou à l’occasion de l’exercice de leurs fonctions et en lien avec celles-ci. Ils sont tenus au secret professionnel.

À l’expiration de leur mandat, le directeur général de l’ANCY ainsi que les directeurs généraux adjoints ne peuvent exercer d’activités professionnelles dans le même secteur pendant une période de deux ans, sauf dérogation accordée par le président de la République.

Le directeur général de l’ANCY assure la direction, l’organisation, la coordination ainsi que la supervision de l’ensemble des activités de l’ANCY.

Il rend compte directement au président de la République.

Il représente l’ANCY à l’égard des tiers et agit en justice, tant en demande qu’en défense, au nom et pour le compte de l’ANCY.

Il statue par voie de décision.

Le directeur général ordonne les dépenses, en assure le contrôle comptable et exerce le pouvoir disciplinaire sur les membres du personnel autres que ceux de la direction générale.

Le pouvoir disciplinaire à l’égard des membres de la direction générale est exercé directement par le président de la République ou, par délégation, par l’autorité qu’il désigne.

Le directeur général convoque et préside les réunions de la direction générale.

Afin de faciliter la bonne exécution des missions de l’ANCY, il collabore avec le Gouvernement central ainsi qu’avec les provinces.

En cas d’absence ou d’empêchement, le directeur général délègue à un directeur général adjoint, suivant l’ordre de préséance fixé dans l’acte de nomination, le pouvoir de poser certains actes relevant de ses attributions.

La direction générale se réunit au moins une fois par semaine et chaque fois que de besoin.

Les directeurs de département participent à toutes les réunions de la direction générale avec voix délibératives.

La direction générale ne siège, ni ne délibère valablement, qu’à la majorité absolue de ses membres.

Les délibérations de la direction générale sont constatées par des procès-verbaux inscrits sur un registre spécial et signés par chacun des membres ayant pris part à la séance. Elles deviennent exécutoires après leur notification aux intéressés ou leur publication au Journal officiel selon le cas. Elles sont communiquées, pour information, aux membres du conseil stratégique.

Les départements sont des structures techniques chargées d’appuyer la direction générale dans l’accomplissement de ses missions.

À ce titre, ils sont chargés notamment de :

• contribuer à la surveillance et à la protection de la sécurité des systèmes d’information de l’État, des institutions et des opérateurs d’importance vitale ;
• gérer les incidents de sécurité informatique et des systèmes d’information ;
• coordonner des équipes de réponses aux incidents de sécurité informatique ;
• appuyer les différentes unités d’investigation et de lutte contre la cybercriminalité ;
• assurer la veille technologique des systèmes d’information et du cyberespace congolais.

L’ANCY comprend quatre départements ci-après :

• département cyberdéfense et lutte contre la cybercriminalité ;
• département gouvernance, risques et conformité ;
• département sécurité opérationnelle ;
• département juridique, administration et finances.

Chaque département est dirigé par un directeur de département nommé, relevé de ses fonctions et, le cas échéant, révoqué par le président de la République.

Le directeur de département dispose d’une expertise qualifiée et avérée dans le domaine qui le concerne.

Les départements sont chargés d’auditer directement ou indirectement les systèmes d’information des institutions publiques et des organismes à importance vitale et assurer une veille permanente des infrastructures essentielles et critiques.

L’ANCY dispose d’un personnel technique, administratif et d’appoint, dont le statut est fixé par le règlement d’administration.

Le personnel de carrière des services publics de l’État et les agents des entreprises publiques, en détachement auprès de l’ANCY, sont soumis, pendant toute la durée de leur détachement, aux textes régissant l’ANCY et à la législation du travail, sous réserve de dispositions de leurs statuts respectifs.

Le personnel de l’ANCY ne doit pas avoir des intérêts dans les entreprises du secteur.

Le personnel de l’ANCY a un statut spécial d’agent assermenté.

Il a qualité d’officier de police judiciaire à compétence restreinte, lorsqu’il est chargé de l’enquête.

Il prête serment selon les dispositions du droit commun applicables en la matière conformément à l’article 280 de l’ordonnance-loi portant Code du numérique.

L’ANCY est compétente en matière de cryptologie.

À ce titre, elle crée en son sein, sur décision du directeur général après approbation du conseil stratégique, une commission en charge de la cryptologie dénommée « commission de cryptologie ».

La commission de cryptologie est compétente pour toute question relative au développement des moyens ou prestations de services de cryptologie en République démocratique du Congo.

La fourniture ou l’importation de moyens de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité est soumise à une déclaration préalable auprès de la commission cryptologie.

La commission de cryptologie est chargée notamment de :

• assurer la veille relative aux normes techniques adoptées dans le domaine de la cybersécurité et sécurité des systèmes informatiques en général et celui de la cryptologie en particulier ;
• octroyer les autorisations pour l’exploitation de moyens de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité, conformément à la loi ;
• étudier les demandes d’autorisation et d’agrément des prestataires de services de cryptologie ;
• analyser et tester les logiciels, les équipements et les algorithmes de cryptologie ;
• auditer les produits de cryptologie.

Les ressources financières de l’ANCY sont constituées de :

• une dotation émargeant au budget de l’État ;
• une redevance de 3 % de chiffres d’affaires des entreprises de cybersécurité et sécurité des systèmes d’information homologuées par l’ANCY ;
• fonds souverain de cybersécurité et des systèmes informatiques « Fonds souverain » ;
• fonds dus aux prestations de services rendus aux institutions publiques et entreprises tierces ;
• subventions, dons et legs ;
• un patrimoine propre ;
• tout financement des partenaires et organismes intéressés à sa mission ;
• toutes autres ressources acquises dans le cadre de ses activités.

Pour financer ses initiatives en matière de cybersécurité et sécurité des systèmes d’information dans le cadre de ses missions d’accompagnement du développement des télécommunications ainsi que les technologies de l’information et communication en République démocratique du Congo, l’ANCY bénéficie d’une quotité de 10 % du Fonds de service universel dans le cadre d’un mécanisme de nivellement automatique avec le Fonds de développement du service universel.

L’ANCY élabore son budget conformément à la loi des finances.

Elle le transmet au Gouvernement pour être incorporé dans le budget de l’État.

Il émarge au budget annexe de l’État.

Les ressources de l’ANCY sont logées dans les comptes ouverts en son nom dans les livres du Trésor public et/ou dans les banques commerciales locales.

L’ANCY gère le Fonds souverain de cybersécurité et des systèmes informatiques « Fonds souverain » qui finance ses activités et opérationnalise ses projets.

Le Fonds souverain est une réserve stratégique dont la moitié (50 %) ne peut être utilisée qu’en cas de crise ou d’incident de nature à paralyser le fonctionnement du cyberespace congolais, d’un ou plusieurs services essentiels ou toutes autres situations critiques similaires.

Le Fonds souverain finance les activités de l’ANCY, la veille et le maintien en condition opérationnelle, conformément à l’esprit et à la lettre de l’article 279 de l’ordonnance-loi portant Code du numérique.

Le patrimoine de l’ANCY est constitué de tous les biens meubles et immeubles, droits et obligations qui lui sont reconnus par la présente ordonnance.

Sans préjudice des dispositions légales contraires, l’ANCY bénéficie, pour l’ensemble de ses opérations, du même régime fiscal, douanier et parafiscal que l’État, en ce qui concerne les impôts, droits et taxes légalement mises à sa charge.

Sont abrogées toutes les dispositions antérieures contraires à la présente ordonnance.

La présente ordonnance entre en vigueur à la date de sa signature.