Le mandat RSSI en Algérie : décrets 20-05 et 26-07 et votre carrière 2026

Le décret qui a créé une catégorie de carrière

Le 20 janvier 2020, l’Algérie a publié le décret présidentiel n° 20-05, établissant un système national pour la sécurité des systèmes d’information. Parmi ses dispositions les moins médiatisées mais les plus conséquentes : chaque système d’information de l’État doit nommer un Responsable de la sécurité des systèmes d’information (RSSI) chargé de la gouvernance, des risques et de la réponse aux incidents. Le même décret a créé le Conseil national pour la sécurité des systèmes d’information (CNSSI) et l’Agence nationale pour la sécurité des systèmes d’information (ANSSI, opérant désormais en tant qu’ASSI sous le Ministère de la Défense nationale).

Pendant quatre ans, le décret 20-05 a été honoré de manière inégale. De nombreuses institutions publiques ont traité la désignation de RSSI comme un exercice formel, en l’ajoutant aux responsabilités d’un directeur informatique existant. Cette ère a pris fin le 7 janvier 2026. Le décret 26-07 — publié au Journal officiel le 21 janvier 2026 — a clarifié l’autorité, les lignes hiérarchiques et les exigences minimales de compétence du RSSI, en stipulant explicitement que les RSSI doivent posséder une expertise cybersécurité démontrable. La fonction cyber doit désormais être organisationnellement distincte de la direction informatique et rendre compte directement au chef de l’institution.

Cette seule clause redessine le marché du travail algérien.

Qui le mandat couvre désormais

Le décret 20-05 s’appliquait à l’origine à tous les systèmes d’information de l’État. Le décret 26-07 a étendu et opérationnalisé l’exigence dans les institutions publiques — ministères, agences, entreprises publiques — et par extension sectorielle, atteint désormais les six catégories d’infrastructures d’information critiques (IIC) nommées dans la Stratégie nationale de cybersécurité 2025-2029 : énergie, télécommunications, eau, transports, services financiers et services gouvernementaux.

En termes pratiques, cela signifie :

• Chaque ministère et agence centrale a besoin d’un RSSI doté d’une autorité formelle et d’une équipe dédiée.
• Les entreprises publiques (Sonatrach, Sonelgaz, Algérie Télécom, Mobilis, Algérie Poste, Air Algérie, Naftal et les banques publiques) sont pleinement dans le périmètre.
• Les opérateurs IIC privés — banques privées, cliniques privées avec dossiers patients électroniques, télécoms et fournisseurs cloud privés — sont intégrés via des manuels sectoriels.

La demande agrégée est significative. Une estimation prudente basée sur les effectifs du secteur public et la couverture sectorielle indique plusieurs milliers de postes formels de RSSI et de RSSI adjoint à pourvoir — ou à repourvoir avec des professionnels qualifiés — avant la fin de la période de la stratégie en 2029.

Le tableau salarial

Le socle salarial général en cybersécurité en Algérie reste modeste à l’échelle mondiale. Les agrégateurs publics situent le salaire moyen d’un professionnel de la cybersécurité aux alentours de 69 000 à 73 000 DZD par mois, les ingénieurs gagnant légèrement au-dessus. Ce socle est inférieur à la moyenne tech nationale — mais c’est un indicateur retardé. L’exigence de compétence du décret 26-07 pousse activement la rémunération à la hausse.

Les données anecdotiques de recrutement de recruteurs basés à Alger et l’écosystème autour d’entreprises comme EKSec suggèrent :

• Ingénieur sécurité de niveau intermédiaire (3-5 ans) : 120 000–180 000 DZD/mois
• Ingénieur sécurité senior / chef d’équipe : 200 000–280 000 DZD/mois
• RSSI adjoint / RSSI (entreprise publique de taille moyenne) : 280 000–450 000 DZD/mois plus indemnités
• RSSI (grande banque, grande entreprise publique, ministère) : 450 000–700 000+ DZD/mois, souvent avec des avantages exécutifs

Les banques privées et les employeurs du secteur énergétique tirent le haut de cette fourchette vers le haut. Les multinationales avec des opérations en Algérie — services pétroliers, fournisseurs télécoms, entreprises françaises et du Golfe — proposent de plus en plus des packages hybrides combinant un salaire local en DZD avec une composante de rétention en devise étrangère.

L’exigence de compétence — et comment y répondre

Le décret 26-07 n’est pas spécifique sur les certifications acceptées, mais l’ASSI a signalé un alignement sur les références internationalement reconnues :

• CISSP (ISC2) — la référence senior la plus respectée mondialement.
• CISM (ISACA) — particulièrement valorisée dans les secteurs bancaires et réglementés.
• ISO/IEC 27001 Lead Implementer / Lead Auditor — très pertinente compte tenu de l’accent réglementaire algérien sur les audits.
• CEH / OSCP — plus opérationnelles, mais valorisées dans les rôles red-team et SOC.
• CCSP (ISC2) — sécurité cloud, de plus en plus requise à mesure que les institutions algériennes migrent vers le cloud souverain.

Les filières domestiques comptent aussi. ESI Alger, ENSIA, USTHB, l’École Militaire Polytechnique et les prestataires de formation privés (EKSec, BINAA, CyberCity) proposent des filières dédiées. La Stratégie nationale de cybersécurité 2025-2029 est structurellement liée à 285 000 nouvelles places de formation professionnelle couvrant l’informatique et la cybersécurité — l’échafaudage politique pour la filière de talents.

Pour les professionnels visant un rôle de RSSI dans les trois à cinq ans, le cursus réaliste combine un diplôme domestique (idéalement de l’ESI ou de l’ENSIA), au moins une certification internationale (CISSP ou CISM), une expérience sectorielle (banque, télécom, énergie) et une expérience démontrable en réponse aux incidents.

Ce que les employeurs doivent faire

Du côté de la demande, les institutions algériennes ne peuvent pas attendre que le marché du talent rattrape son retard. Le playbook réaliste :

1. Promouvoir en interne. La voie la plus rapide vers un RSSI crédible consiste à élever un ingénieur sécurité expérimenté ou un responsable infrastructure et à financer son parcours de certification. Recruter un RSSI clé en main sur le marché ouvert est coûteux et lent.
2. Financer explicitement les certifications. Traitez les formations CISSP, CISM et ISO 27001 comme des investissements stratégiques, pas comme des avantages personnels. De nombreuses institutions algériennes demandent encore aux candidats de s’auto-financer — cette approche perdra des talents dans un marché qui se resserre.
3. Construire des filières d’adjoints. Le décret 26-07 implique que chaque RSSI a besoin d’un numéro deux crédible. Désignez et développez ce second siège dès maintenant.
4. Participer aux partenariats universitaires. ESI, ENSIA et USTHB construisent activement des partenariats industriels. Les institutions qui parrainent des chaires, des stages et des projets de recherche appliquée auront le premier choix des diplômés.

Le signal de carrière

Pour les technologues algériens qui pèsent une spécialisation, le signal est exceptionnellement clair. La combinaison du décret 20-05 (création du rôle), du décret 26-07 (application de la compétence), de la Stratégie nationale de cybersécurité 2025-2029 (fixation du périmètre sectoriel) et de la sous-offre structurelle (les 20 000 professionnels certifiés d’Afrique pour 1,4 milliard d’habitants) fait du leadership en cybersécurité l’un des paris de carrière à plus fort effet de levier disponibles en Algérie cette décennie.

Les organisations qui s’en aperçoivent les premières — et les professionnels qui obtiennent les certifications tôt — définiront le marché pour les dix prochaines années.

Sources et lectures complémentaires

• Data Protection and Cybersecurity Laws in Algeria — CMS Expert Guide
• Algeria Strengthens Cybersecurity Framework to Protect National Infrastructure — TechAfrica News
• Cyber Security Average Salary in Algeria — Glassdoor
• The Cybersecurity Industry Has an Urgent Talent Shortage — World Economic Forum
• 2025 ISC2 Cybersecurity Workforce Study — ISC2