Les articles 19 - 20

L'État manipule quotidiennement des données particulièrement sensibles :

• Données fiscales ;
• Données de santé ;
• Données judiciaires ;
• Données de sécurité ;
• Registres d'état civil ;
• Informations relatives à la défense nationale.

Une faille de sécurité dans un système informatique public peut compromettre non seulement des données personnelles mais également la continuité des services publics et la souveraineté numérique.

C'est pourquoi le Code du numérique instaure un régime d'homologation spécifique pour certaines infrastructures et certains services numériques destinés au secteur public.

L'objectif n'est pas de favoriser un opérateur plutôt qu'un autre, mais de vérifier que les solutions déployées répondent à un niveau minimal de sécurité et de conformité.

Ce que prévoit le Code du numérique

Article 19

Le régime d’homologation atteste que les infrastructures et services numériques fournis à l’État sont conformes aux Normes et Standards du Numérique applicables au secteur public en République Démocratique du Congo ainsi qu’aux bonnes pratiques en la matière.

Sont soumis à l’homologation :

1. Les fournisseurs des services numériques à l’État ou à toute autre entité publique ;
2. Les fournisseurs des services numériques à un service public ou à une entreprise du portefeuille de l’État.

Un Décret du Premier Ministre délibéré en Conseil des Ministres complète, sur proposition du Ministre ayant le numérique dans ses attributions, la liste des activités et services numériques soumis au régime d’homologation, l’Agence Nationale de Cybersécurité entendue par avis écrit.

Un arrêté du Ministre ayant le numérique dans ses attributions fixe les conditions et modalités d’octroi de l’homologation.

Article 20

Le certificat d’homologation est délivré par le Ministre ayant le numérique dans ses attributions après avis de l’Agence Nationale de Cybersécurité.

Ce que cela signifie concrètement

Une entreprise qui souhaite vendre un logiciel ou une infrastructure informatique à un ministère, à un établissement public ou à une entreprise publique ne peut pas uniquement démontrer que son produit fonctionne.

Elle doit également démontrer qu'il répond aux exigences de sécurité et aux standards techniques exigés par le secteur public.

L'homologation constitue donc un mécanisme préalable de confiance destiné à protéger les systèmes d'information de l'administration.

Elle ne remplace ni les règles des marchés publics, ni les obligations contractuelles. Elle ajoute une exigence spécifique liée à la sécurité numérique.

Analyse juridique et scientifique

A. Nature juridique

Le régime d'homologation relève de la police administrative spéciale.

Il poursuit une finalité essentiellement préventive : éviter qu'une infrastructure insuffisamment sécurisée soit déployée au sein des administrations publiques.

B. Finalité

Le législateur poursuit plusieurs objectifs :

• Protéger les systèmes d'information publics ;
• Renforcer la cybersécurité des administrations ;
• Harmoniser les standards techniques ;
• Garantir un niveau minimal de qualité et de sécurité.

C. Articulation avec les autres régimes

Le régime d'homologation est distinct :

• Du régime d'autorisation (articles 15 et 16) ;
• Du régime de déclaration (articles 17 et 18).

Une même entreprise pourrait, selon son activité, être soumise à plusieurs obligations prévues par le Code.

D. Situation institutionnelle actuelle

Le Code attribue un rôle central à l'Agence Nationale de Cybersécurité (ANCY), qui doit rendre un avis préalable avant la délivrance du certificat d'homologation.

Toutefois, comme pour d'autres autorités créées par le Code, l'opérationnalisation complète de l'ANCY demeure progressive. En pratique, certaines compétences ont été exercées de manière transitoire par des autorités existantes dans le cadre des textes d'harmonisation adoptés après l'entrée en vigueur du Code.

Cette situation doit être distinguée du schéma institutionnel prévu par les articles 19 et 20 !

E. Textes d'application

Les articles 19 et 20 renvoient à un arrêté ministériel pour fixer les conditions et modalités d'octroi de l'homologation.

À la date de cette revue, des arrêtés ministériels de mars 2026 ont été adoptés pour les régimes d'autorisation et de déclaration, mais aucun arrêté spécifique mettant en œuvre le régime d'homologation prévu par les articles 19 et 20.

Cette absence constitue une incertitude juridique qu'il convient de signaler.

Analyse technique

L'homologation consiste à vérifier qu'un système informatique satisfait à un ensemble d'exigences techniques.

Selon le type de service, cette vérification peut porter sur :

• L'architecture du système ;
• Les mécanismes d'authentification ;
• Le chiffrement des données ;
• La journalisation des événements ;
• La continuité d'activité ;
• La sauvegarde des données ;
• La gestion des vulnérabilités ;
• Les procédures de reprise après incident.

Par exemple, une plateforme destinée à gérer les dossiers fiscaux de l'État devra démontrer qu'elle protège efficacement les données contre les accès non autorisés, les pertes d'information et les cyberattaques.

L'homologation ne garantit pas qu'un système sera invulnérable ; elle atteste qu'il répond à un niveau de sécurité jugé acceptable au regard des normes applicables à l'échelle de la nation.

Cas pratique

Les faits

Une société remporte un marché public pour développer une plateforme nationale de gestion des dossiers médicaux.

Problème juridique

Le logiciel peut-il être déployé immédiatement après son développement ?

Analyse

Les articles 19 et 20 prévoient que les infrastructures et services numériques fournis à l'État peuvent être soumis à un régime d'homologation. Avant leur mise en production, ils devront satisfaire aux exigences prévues par le Code et, le cas échéant, par les textes d'application.

Précautions

Le prestataire devrait :

• Intégrer les exigences de cybersécurité dès la conception du projet ( security by design ) ;
• Documenter les mesures de sécurité mises en œuvre ;
• Anticiper les contrôles techniques nécessaires à l'homologation.

Personnes concernées

Ces dispositions concernent principalement :

• Les ministères ;
• Les établissements publics ;
• Les entreprises du portefeuille de l'État ;
• Les prestataires informatiques du secteur public ;
• Les fournisseurs de services cloud ;
• Les intégrateurs de solutions numériques ;
• Les entreprises de cybersécurité.

Obligations et mesures de conformité

Mesures juridiques

• Vérifier si le projet relève du régime d'homologation ;
• Suivre les textes réglementaires applicables.

Mesures administratives

• Préparer le dossier d'homologation lorsqu'il est requis ;
• Collaborer avec les autorités compétentes pendant l'instruction.

Mesures techniques

• Appliquer les normes de cybersécurité ;
• Documenter les contrôles de sécurité ;
• Réaliser des tests techniques avant la mise en service.

Mesures organisationnelles

• Mettre en place une gouvernance de la sécurité de l'information ;
• Former les équipes techniques aux exigences du secteur public.

Regard critique

Le choix d'un régime d'homologation présente plusieurs avantages :

• Amélioration de la cybersécurité ;
• Harmonisation des exigences techniques ;
• Réduction des risques pesant sur les administrations.

Toutefois, son efficacité dépendra :

• De l'adoption des normes techniques de référence ;
• De la publication des mesures d'application ;
• De l'opérationnalisation complète de l'Agence Nationale de Cybersécurité ;
• Dela capacité des entreprises à satisfaire aux exigences techniques.

Ce qu'il faut retenir

Que prévoient les articles ?

Ils instaurent un régime d'homologation applicable à certaines infrastructures et services numériques destinés au secteur public.

Qui est concerné ?

Les fournisseurs de services numériques à l'État, aux entités publiques et aux entreprises du portefeuille de l'État.

Que faut-il faire ?

Vérifier si le projet est soumis à homologation et intégrer les exigences de sécurité dès sa conception.

Que faut-il éviter ?

Considérer qu'un logiciel fonctionnel est automatiquement conforme aux exigences du Code.

Quel est le principal risque ?

Déployer un service public numérique sans satisfaire aux exigences de sécurité ou aux procédures d'homologation applicables.

Idée essentielle

L'homologation vise à garantir que les solutions numériques utilisées par l'État répondent à un niveau suffisant de sécurité, de qualité et de conformité

📍 Zones desservies par Avocats.cd

Nos avocats partenaires sont disponibles dans toutes les provinces de la RDC :

Provinces : Bas-Uélé • Équateur • Haut-Katanga • Haut-Lomami • Haut-Uélé • Ituri • Kabinda • Kasaï • Kasaï-Central • Kasaï-Oriental • Kinshasa • Kongo-Central • Kwango • Kwilu • Lomami • Lualaba • Lulua • Maï-Ndombe • Maniema • Mongala • Nord-Kivu • Nord-Ubangi • Sankuru • Sud-Kivu • Sud-Ubangi • Tanganyika • Tshopo • Tshuapa

Villes : Bandundu • Baraka • Beni • Boende • Boma • Bukavu • Bumba • Bunia • Buta • Gandajika • Gbadolite • Gemena • Goma • Inongo • Isiro • Kabinda • Kalemie • Kamina • Kananga • Kikwit • Kindu • Kinshasa • Kipushi • Kisangani • Kolwezi • Likasi • Lodja • Lubumbashi • Lusambo • Matadi • Mbandaka • Mbanza-Ngungu • Mbuji-Mayi • Moanda • Mwene-Ditu • Tshikapa • Uvira • Zongo

✍️ Auteur : Me. Timothée MALEMBE AFIKEN  – Défenseur judiciaire et Legal Content, Équipe Avocats.cd