Règles cyber infrastructures critiques Algérie : banques, santé, énergie

Un cadre réglementaire bâti pour la résilience nationale

Avec le décret présidentiel 25-321 du 30 décembre 2025, l’Algérie a formellement adopté la Stratégie nationale de cybersécurité 2025-2029, la tentative la plus ambitieuse du pays pour codifier ce que protéger un périmètre numérique national signifie. Deux semaines plus tard, le décret 26-07 du 7 janvier 2026 a traduit cette stratégie en règles opérationnelles : chaque institution publique doit désormais créer une unité de cybersécurité dédiée — distincte de la direction informatique — rendant compte directement au chef de l’organisation.

La stratégie s’articule autour de cinq piliers, mais la partie qui compte le plus pour les RSSI se trouve dans le troisième pilier : des réglementations de cybersécurité sectorielles pour les banques, la santé et l’énergie. Cette phrase, aussi brève soit-elle, signale une rupture avec l’approche uniforme antérieure de l’Algérie. Les régulateurs sectoriels — Bank of Algeria pour les banques, ARPCE pour les télécoms, et le Ministère de la Santé pour les hôpitaux et cliniques — doivent désormais publier des manuels sur mesure qui s’appuient sur le socle national fixé par l’ASSI (l’Agence de la sécurité des systèmes d’information opérant sous le Ministère de la Défense nationale).

Qui doit se conformer, et quand

Les décrets définissent une hiérarchie d’obligations claire. Au sommet se trouvent les opérateurs d’infrastructures d’information critiques (IIC) — les organisations dont la compromission perturberait les services essentiels. Six secteurs sont explicitement nommés : énergie, télécommunications, eau, transports, services financiers et services gouvernementaux. La santé est en cours d’intégration via des orientations sectorielles en cours de rédaction en 2026.

Pour les banques — tant publiques (BNA, CPA, BADR, BEA, BDL, CNEP) que privées (Société Générale Algérie, AGB, Trust Bank, Natixis Algérie et autres) — la Bank of Algeria agit en tant que régulateur sectoriel. Des audits de sécurité obligatoires doivent se déployer sur 2026 et 2027, les obligations les plus lourdes reposant sur les institutions qui exploitent la commutation des cartes (GIE Monétique, SATIM) ou qui présentent une importance systémique.

Pour la santé, la stratégie vise à la fois les CHU publics et les cliniques privées qui gèrent des dossiers patients électroniques. Avec le déploiement du programme national de dossier de santé et la transformation numérique au niveau hospitalier, les cliniques qui ignoraient auparavant les obligations cyber se retrouvent désormais à l’intérieur du périmètre IIC.

Pour l’énergie, Sonatrach et Sonelgaz — ainsi que leurs filiales et fournisseurs ICS — opèrent déjà sous des règles classifiées adjacentes à la défense. La stratégie 2025-2029 formalise ce qui était auparavant traité comme une exception de sécurité nationale, en faisant entrer la sécurité des technologies opérationnelles dans le périmètre réglementaire civil.

Les échéances varient. Les institutions publiques sont déjà liées par le décret 26-07 (publié au Journal officiel le 21 janvier 2026) et disposaient d’une fenêtre de 90 jours pour désigner un RSSI. Les opérateurs IIC privés sont intégrés via des circulaires sectorielles attendues tout au long de 2026.

Le mandat du RSSI — et le déficit de talents

Un fil conducteur traverse chaque décret : le Responsable de la sécurité des systèmes d’information n’est plus un simple atout. Le décret 20-05 avait initialement établi la fonction de RSSI pour les systèmes d’information de l’État ; le décret 26-07 a désormais clarifié l’autorité du rôle, les lignes hiérarchiques et les exigences minimales de compétence. Le décret 26-07 est explicite : le RSSI doit posséder une expertise cybersécurité démontrable — pas un directeur informatique reconverti avec un nouveau titre.

C’est un défi pratique majeur. La filière algérienne de professionnels qualifiés en cybersécurité se développe, mais la demande dépasse désormais largement l’offre. La réponse de la stratégie consiste à aligner le déploiement sur 285 000 nouvelles places de formation professionnelle dans les disciplines informatiques et cybersécurité sur la période de la stratégie — un chiffre qui reflète délibérément la courbe de conformité. Les universités (USTHB, ESI, ENSIA), les instituts de formation professionnelle et les prestataires privés comme EKSec développent déjà leurs cursus autour des nouveaux décrets.

Ce que les RSSI doivent faire dans les 180 prochains jours

L’environnement réglementaire évolue vite, mais les actions concrètes pour une direction RSSI algérienne bien gérée sont de plus en plus claires :

1. Confirmez votre classification IIC. Si votre institution relève du secteur bancaire, de la santé, de l’énergie, de l’eau, des transports ou des télécoms, partez du principe que vous êtes dans le périmètre. Engagez le dialogue avec votre régulateur sectoriel tôt plutôt que d’attendre une lettre d’audit.
2. Mettez en place l’unité de cybersécurité, indépendante de l’informatique. Le décret 26-07 est sans ambiguïté : la fonction cyber rend compte au chef de l’organisation, et non au DSI. Les schémas de gouvernance doivent le refléter.
3. Cartographiez vos actifs par rapport au socle ASSI. Le centre opérationnel de l’ASSI (CNOSSI) est la référence technique. Aligner les inventaires d’actifs, la journalisation et les playbooks de réponse aux incidents sur ses attentes dès maintenant portera ses fruits lorsque les audits commenceront.
4. Préparez-vous aux audits obligatoires. Les programmes d’audit sectoriels se déploient jusqu’en 2027. Identifiez des auditeurs externes qualifiés (la liste est en cours d’élaboration par l’ASSI) et planifiez une auto-évaluation avant que l’officielle n’arrive.
5. Investissez dans la filière humaine. Travaillez avec les universités et les centres professionnels pour sécuriser les futurs candidats RSSI. Les 285 000 places de formation constituent le plan national — votre institution a besoin de sa propre filière d’alimentation arrimée à celui-ci.

La perspective plus large

L’Algérie construit un cadre réglementaire qui, bien que plus strict que ce à quoi la plupart des RSSI du secteur privé sont habitués, aligne le pays sur la direction prise par l’UE (NIS2), le CCG et la plupart des économies du G20. Pour les dirigeants algériens, la fenêtre permettant de traiter la cybersécurité comme un poste budgétaire informatique s’est refermée. Ce qui vient ensuite est une capacité nationale — audits de niveau bancaire, gouvernance des données de santé, résilience du secteur énergétique — et les RSSI qui bougent les premiers définiront ce à quoi ressemble la conformité pour le reste de la décennie.

Sources et lectures complémentaires

• Algeria Charts Its Digital Sovereignty: Ministry of National Defence Unveils 2025-2029 National Cybersecurity Strategy — DzairTube
• Algeria Strengthens Cybersecurity Framework to Protect National Infrastructure — TechAfrica News
• Cybersecurity at the Core of Algeria’s Digital Sovereignty Strategy: ASSI Leads National Efforts — DzairTube
• Data Protection and Cybersecurity Laws in Algeria — CMS Expert Guide
• An Overview of Cybersecurity Regulations in Algeria: Compliance, Reporting, and Penalties — Generis Online