Cybersécurité : le Congo adopte deux référentiels pour renforcer ses systèmes d’information 🔐🇨🇬

Click here to read in English

L’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) annonce l’adoption de deux nouveaux référentiels destinés à renforcer la sécurité numérique au Congo. Il s’agit du Référentiel Général de Sécurité des Systèmes d’Information (RGSSI) et du Référentiel des Prestataires d’Audit de Sécurité des Systèmes d’Information (RE-PASSI), adoptés le 25 août 2026 par l’ANSSI. Ces deux outils concernent notamment les entités administratives, les organismes publics et privés, les opérateurs de services essentiels ainsi que les fournisseurs de services numériques. Plus largement, ils s’adressent à l’ensemble des acteurs concernés par la sécurité des systèmes d’information.

Un nouveau cadre national pour sécuriser les systèmes d’information 🛡️

Avec le RGSSI, l’ANSSI met désormais en place un cadre national de référence destiné à renforcer et à harmoniser le niveau de sécurité des systèmes d’information des organismes concernés. Ce référentiel s’inscrit dans une démarche structurée de gouvernance et de maîtrise des risques numériques. Il doit également favoriser une amélioration continue de la sécurité des systèmes d’information, alors que les organisations dépendent de plus en plus des infrastructures et services numériques. Ainsi, le RGSSI permet de définir les exigences auxquelles les organismes concernés doivent se conformer afin de renforcer la protection de leurs systèmes d’information.

En complément, le RE-PASSI établit un cadre de référence destiné aux prestataires chargés de réaliser les audits de sécurité des systèmes d’information. Ce référentiel précise notamment les exigences liées aux compétences, aux qualifications, aux méthodes de travail, à l’organisation et aux conditions d’intervention de ces prestataires. L’objectif est ainsi de garantir davantage la qualité, la fiabilité, l’indépendance et la confidentialité des missions d’audit réalisées dans le cadre de la réglementation nationale.

La complémentarité entre les deux dispositifs constitue donc un élément central de la nouvelle architecture de cybersécurité. D’un côté, le RGSSI définit ce qui doit être sécurisé ainsi que les exigences à respecter. De l’autre, le RE-PASSI encadre les conditions dans lesquelles le respect de ces exigences peut être vérifié par des prestataires qualifiés.

Un outil pour tester son niveau de conformité 💻

Toutefois, l’adoption de ces référentiels ne se limite pas à la définition de nouvelles exigences. Afin d’aider les acteurs concernés à mieux les comprendre et à préparer leur mise en œuvre, l’ANSSI prévoit également de mettre à leur disposition un outil dédié au RGSSI.

Celui-ci doit notamment permettre aux organismes d’évaluer leur niveau de conformité aux exigences du référentiel. Ils pourront ainsi identifier plus facilement les éventuels écarts et déterminer les mesures correctives à mettre en place.

Des audits à blanc pour préparer les organismes ⚙️

Dans cette phase d’accompagnement, l’outil permettra également de réaliser des audits à blanc. Ces exercices doivent donner aux organismes concernés la possibilité de mesurer leur niveau de préparation avant une éventuelle démarche formelle de mise en conformité. Grâce à ces évaluations, les organisations pourront identifier les points faibles de leurs systèmes d’information et engager, si nécessaire, les actions correctives appropriées.

Cette phase constitue donc avant tout une démarche de préparation et d’accompagnement. Elle doit permettre aux différents acteurs de mieux s’approprier les exigences du RGSSI et d’avancer progressivement vers leur mise en conformité.

Deux référentiels pour structurer la cybersécurité nationale 🔐

Les décisions portant adoption du RGSSI et du RE-PASSI sont consultables sur le site officiel de l’ANSSI, dans la rubrique consacrée à la réglementation.

À travers ces deux référentiels et les outils d’accompagnement prévus, l’ANSSI entend ainsi structurer davantage la sécurité des systèmes d’information au niveau national. Elle entend aussi donner aux organismes concernés les moyens d’évaluer leur préparation et d’améliorer progressivement leur niveau de protection numérique. Reste à voir si ce cadre se traduira, dans les mois à venir, par une adoption réelle sur le terrain — au-delà du texte réglementaire.

Selon vous, ces deux référentiels peuvent-ils réellement améliorer le niveau de cybersécurité des organisations au Congo ?