Pendant trois jours, du 3 au 5 novembre 2026, experts publics et acteurs du secteur se sont réunis au Fleuve Congo Hôtel de Kinshasa pour passer au crible sept projets d'arrêtés ministériels consacrés à la cybersécurité. L'atelier national de validation, ouvert par le ministre de l'Économie numérique, Augustin Kibassa Maliba, et organisé avec l'appui de l'Autorité de régulation de la poste et des télécommunications du Congo, marque une étape importante dans la mise en application du Code du numérique adopté en 2023.
Sept textes pour combler un vide d'application
Le Code du numérique, institué par l'ordonnance-loi n° 23/010 du 13 mars 2023, a posé les grands principes de la régulation des activités numériques en République démocratique du Congo. Mais un code ne produit pas d'effet sans textes d'application précis. C'est tout l'objet des sept projets d'arrêtés examinés à Kinshasa, qui s'appuient aussi sur la loi n° 20/017 du 25 novembre 2020 relative aux télécommunications et aux technologies de l'information et de la communication.
Les thèmes couverts dessinent l'architecture d'un véritable dispositif national. Le premier texte porte sur la protection des infrastructures critiques, ces systèmes dont la défaillance paralyserait des fonctions vitales de l'État ou de l'économie. Viennent ensuite les exigences minimales de sécurité, la gestion des incidents, les audits, les responsabilités des dirigeants, l'encadrement des prestataires de services et la coopération transfrontalière. Les échanges ont également abordé les questions de gouvernance et la tenue de registres liés à l'intelligence artificielle.
Réunis en groupes thématiques, les participants ont examiné les obligations et les délais de mise en conformité, et formulé leurs observations avant l'adoption. À ce stade, il s'agit toujours de projets : aucun calendrier d'entrée en vigueur n'a été rendu public.
La responsabilité remonte jusqu'aux dirigeants
En ouvrant les travaux, Augustin Kibassa Maliba a résumé l'esprit de la démarche d'une formule : « la souveraineté numérique ne se proclame pas ; elle se construit ». Le ministère affiche trois priorités : protéger les infrastructures critiques et les fonctions vitales de l'État, responsabiliser les institutions et leurs dirigeants, et bâtir une cyber-résilience nationale durable. L'objectif affiché est un cadre effectivement applicable, contrôlable et pérenne, et non une simple déclaration d'intention.
Le volet consacré aux responsabilités des dirigeants mérite l'attention des chefs d'entreprise. En faisant de la cybersécurité une question de gouvernance, et non plus un simple sujet technique, le texte pourrait conduire les directions générales des opérateurs, banques, fintechs ou hébergeurs de données à rendre des comptes en cas de manquement.
Le Code prévoit déjà, dans ses articles 295 et 296, que les prestataires de services numériques disposent de mécanismes qualifiés de détection des événements susceptibles de compromettre leurs systèmes, et que leur niveau de protection puisse faire l'objet de contrôles. Les arrêtés en préparation devraient préciser la manière dont ces obligations seront vérifiées, en particulier à travers les audits et la notification des incidents.
Une gouvernance cyber en construction
Ces textes s'inscrivent dans un mouvement plus large de structuration. L'Agence nationale de cybersécurité, créée par l'ordonnance n° 26/033 du 16 mai 2026, est dotée de missions de contrôle, d'audit et de coordination. L'ARPTC, de son côté, assure un appui technique et une coordination provisoires en vertu d'une lettre du ministre datée du 20 mai 2026, et sera chargée d'appliquer les nouvelles règles au secteur des communications électroniques.
Le pays a également lancé en avril 2026 un plan national de cybersécurité et de résilience numérique. Trente-quatre ministères et entités publiques ou privées ont été sollicités, et vingt-trois contributions ont été analysées. Un atelier de co-construction, organisé les 29 et 30 juillet 2026, a débouché sur trois livrables : un rapport de diagnostic global, un cadre national de gouvernance numérique pour la période 2026 à 2030 et un référentiel de 63 exigences minimales de sécurité destiné aux administrations publiques.
Le point de départ reste modeste. Dans l'indice mondial de cybersécurité 2024 de l'Union internationale des télécommunications, la RDC figure au troisième des cinq niveaux, celui des pays qui sont en train d'établir leurs capacités. ## ce que cela change pour les entreprises du numérique
Pour les startups et les entreprises technologiques installées en RDC, ces arrêtés viendront s'ajouter à un cadre déjà en mouvement. Un arrêté ministériel pris au début de l'année 2026 a fixé les conditions d'autorisation des activités et services numériques, notamment pour les centres de données, l'informatique en nuage, les services de confiance qualifiés et les grandes plateformes. La période transitoire a pris fin le 30 juin 2026 : depuis le 1er juillet, exercer ces activités sans autorisation est illégal.
La cybersécurité devient ainsi un critère de conformité à part entière, au même titre que la licence ou l'enregistrement. Les jeunes pousses qui traitent des données sensibles, qu'il s'agisse de paiements, de santé ou d'identité, auront intérêt à anticiper dès maintenant : cartographie des risques, procédures de gestion des incidents, contrats avec leurs prestataires et désignation claire des responsabilités au sein de l'équipe dirigeante.
Audits, supervision, formation ou mise en conformité : un marché de services spécialisés pourrait aussi s'ouvrir. La dynamique est régionale, comme le montre l'ouverture à Abidjan d'un centre régional de cybersécurité par Cybastion et Cisco, ou la place accordée à la cybersécurité dans la feuille de route numérique commune adoptée par le Burkina Faso, le Mali et le Niger.
Une adoption attendue
La prochaine étape sera la signature des arrêtés par le ministre, après intégration des observations recueillies à Kinshasa. Leur efficacité dépendra ensuite des moyens donnés à l'Agence nationale de cybersécurité et à l'ARPTC pour contrôler, auditer et, le cas échéant, sanctionner. Le message adressé aux entreprises est déjà clair : en RDC, la sécurité des systèmes d'information sort du registre des bonnes pratiques pour entrer dans celui des obligations.