À Kinshasa, le ministère de l'Économie numérique et l'Autorité de régulation des postes et télécommunications du Congo (ARPTC) ont lancé une consultation sur sept projets d'arrêtés qui précisent les exigences de cybersécurité pour les institutions publiques et les entreprises du secteur numérique. Ces textes, dévoilés lors d'un atelier le 3 novembre, s'inscrivent dans la dynamique du Code du numérique adopté par la République démocratique du Congo en mars 2023.
Les projets d'arrêtés fixent les obligations minimales pour la sécurité des systèmes d'information, l'identification des infrastructures numériques critiques, la conduite d'audits de cybersécurité et la déclaration des incidents. Ils attribuent aussi des responsabilités aux acteurs concernés et imposent des règles aux prestataires de services numériques. Certaines dispositions abordent la gouvernance de la cybersécurité, la gestion des registres liés à l'intelligence artificielle et la coopération transfrontalière. Les autorités précisent que ces textes restent à l'état de projet et attendent les retours des parties prenantes avant toute adoption officielle.
Un cadre en évolution pour la sécurité numérique
Le Code du numérique, adopté en mars 2023, prévoit dans ses articles 295 et 296 que les prestataires de services numériques doivent mettre en place des mécanismes qualifiés pour détecter les événements susceptibles de compromettre la sécurité de leurs systèmes. Il introduit aussi des procédures de contrôle pour évaluer le niveau de protection. Ce dispositif concerne les systèmes d'information, les infrastructures numériques critiques, les audits de cybersécurité et la déclaration des incidents, selon le ministère de l'Économie numérique de la RDC.
L'Agence nationale de cybersécurité (ANCY), dont le cadre organisationnel a été fixé par une ordonnance du 16 mai 2026, coordonne les inspections, audits et la politique nationale en la matière. Cette agence occupe une place centrale dans la transition entre le cadre législatif général et la mise en œuvre d'obligations techniques pour les administrations et les entreprises. La création de l'ANCY vise à consolider la coordination institutionnelle et à structurer la gouvernance de la cybersécurité à l'échelle nationale.
La démarche intervient alors que la RDC cherche à consolider son dispositif face à la montée des risques liés à la transformation numérique. Selon le classement 2024 de l'Indice mondial de cybersécurité de l'Union internationale des télécommunications (UIT), le pays figure au troisième niveau sur cinq, dans la catégorie " Establishing ", qui regroupe les États ayant engagé des mesures mais devant encore consolider leurs capacités. Ce classement, attribué par l'UIT, repose sur l'évaluation des mesures juridiques et techniques, des capacités de développement et de la coopération internationale. Il sert d'indicateur de maturité institutionnelle, sans mesurer directement le nombre d'incidents ou le coût des cyberattaques.
La réforme s'inscrit dans une phase de construction progressive de la gouvernance numérique congolaise. Les projets d'arrêtés constituent le niveau réglementaire destiné à préciser les obligations générales du Code pour les opérateurs publics, les infrastructures critiques et les prestataires numériques. La consultation des parties prenantes reste déterminante pour transformer les principes légaux en exigences vérifiables concernant les audits, la gestion des incidents, les registres et les responsabilités. À ce stade, aucun calendrier officiel d'adoption finale, aucune date d'entrée en vigueur ni régime de sanctions détaillé n'ont été annoncés par les autorités compétentes.
Le statut réglementaire de ces textes reste celui de projets soumis à consultation. Les obligations finales pourront encore évoluer, notamment sur le périmètre des infrastructures critiques, la fréquence des audits, les délais de déclaration des incidents et les obligations imposées aux prestataires. Les prochaines étapes attendues sont la réception des contributions, la révision des textes et leur adoption officielle par les autorités compétentes, comme le rappelle l'ARPTC.
Une dynamique similaire de consolidation des infrastructures numériques publiques a été signalée récemment dans d'autres pays africains. Pour plus d'informations sur le classement international, consulter le portail de l'Union internationale des télécommunications.
