CCA 2026 : La Conférence Algérienne de Cybersécurité et le Déficit de Préparation des Entreprises

Pourquoi Novembre 2026 Marque un Tournant pour la Sécurité des Entreprises

Le calendrier algérien de la cybersécurité s’enrichit d’un rendez-vous incontournable : la Conférence sur la Cybersécurité et ses Applications — CCA’2026, organisée conjointement par l’École Nationale de Cybersécurité (ENCS) et l’Agence de Sécurité des Systèmes d’Information (ASSI), prévue les 25 et 26 novembre 2026 à Sidi Abdallah, Alger. Cet événement inaugural rassemble chercheurs, professionnels, académiciens et étudiants autour de quatre thématiques : cryptographie, IA appliquée à la cybersécurité, sécurité des systèmes et réseaux, et gouvernance de la cybersécurité.

Ce calendrier n’est pas anodin. La conférence s’ouvre moins de douze mois après l’entrée en vigueur du Décret présidentiel 26-07 en janvier 2026, qui impose à toutes les institutions publiques la création d’unités de cybersécurité dédiées, dotées de missions, d’une organisation et d’une chaîne de responsabilité définies. Le secteur privé observe : de nombreuses entreprises algériennes qui fournissent ou desservent des organismes publics interprètent le décret comme un signal que des standards équivalents leur seront prochainement imposés contractuellement, sinon législativement.

Par ailleurs, la Journée de Conformité & Cybersécurité organisée le 30 avril 2026 par SOLTIC Algérie à l’Hôtel Mercure Alger a réuni des dizaines de professionnels de la sécurité et du droit autour d’une conclusion partagée : « la conformité ne se limite plus à une obligation légale ; elle est désormais un levier de confiance, de performance et de compétitivité. »

Cet article décrypte le paysage réglementaire qui fait de CCA’2026 bien plus qu’une conférence, et ce que les responsables conformité des entreprises algériennes doivent mettre en place avant la fin d’année.

La Pile Réglementaire : Décret 26-07, Loi 25-11 et ANPDP

La gouvernance de la cybersécurité algérienne repose sur deux piliers qui ont atteint leur maturité simultanément en 2025–2026.

Pilier 1 — Décret 26-07 (Unités de cybersécurité). Le décret de janvier 2026 crée une obligation structurelle : chaque institution publique doit créer une unité de cybersécurité dédiée, responsable de sa mission, de son organisation et de la sécurité opérationnelle. L’unité rapporte à la chaîne hiérarchique de l’institution et est tenue de coordonner avec l’ASSI et DZ-CERT pour la réponse aux incidents. Les entreprises privées contractant avec le secteur public font face à une pression croissante — via les clauses de marchés publics — pour démontrer une gouvernance équivalente.

Pilier 2 — Loi 25-11 et le régime de mise en application de l’ANPDP. La loi fondamentale de protection des données d’Algérie — Loi 18-07 (juin 2018) — a été substantiellement amendée en juillet 2025 par la Loi 25-11, qui est devenue applicable dès qu’ANPDP est devenu opérationnel en août 2023. Le cadre combiné impose désormais :

• Une notification de violation sous 5 jours : les responsables de traitement doivent notifier l’ANPDP dans les cinq jours suivant la prise de connaissance d’une violation de données personnelles.
• La désignation obligatoire d’un Délégué à la Protection des Données (DPD/DPO), devant justifier d’une expertise spécialisée en droit et pratiques de la protection des données.
• Des Analyses d’Impact relatives à la Protection des Données (AIPD/DPIA) pour les traitements à haut risque.
• Un registre des activités de traitement (article 41 bis 2) et un journal automatisé des opérations (article 41 bis 3).

Les sanctions pénales pour violations vont de 2 mois à 10 ans d’emprisonnement, avec des amendes de 5 000 à 10 000 000 DZD. Les sanctions administratives incluent avertissements formels, mises en demeure et retrait d’autorisation.

Ce que CCA’2026 Offre Concrètement aux Équipes Conformité

CCA’2026 est structurée comme un carrefour académico-professionnel, ce qui fait de son contenu une réponse directe aux questions ouvertes des entreprises qui mettent en œuvre la pile réglementaire ci-dessus.

Les quatre thématiques sont :

1. Cryptographie — directement pertinente pour les exigences de DPIA relatives au chiffrement des données personnelles en transit et au repos.
2. IA appliquée à la cybersécurité — pertinente pour les capacités de détection automatisée des menaces, que l’ASSI a identifiées comme une lacune dans l’infrastructure institutionnelle algérienne.
3. Sécurité des systèmes et réseaux — le domaine opérationnel central des unités de cybersécurité du Décret 26-07.
4. Gouvernance et politiques de cybersécurité — la dimension où la conformité ANPDP croise les référentiels de contrôle interne.

La date limite de soumission des articles de recherche est le 15 août 2026 — ce qui signifie que le programme sera finalisé en octobre, permettant aux praticiens d’entreprise de s’inscrire en avance. La co-organisation par l’ASSI confère à la conférence une légitimité officielle qui la distingue des événements menés par des éditeurs.

Ce que Doivent Faire les Responsables Conformité avant la Fin d’Année

1. Finaliser la désignation du DPD avant le premier cycle de mise en application de l’ANPDP

La Loi 25-11 impose la désignation d’un DPD pour les organisations qui traitent des données personnelles à grande échelle, gèrent des catégories sensibles ou effectuent une surveillance systématique. Le standard de sélection est explicite : « qualifications professionnelles, notamment une connaissance spécialisée du droit et des pratiques relatifs à la protection des données. » Cela exclut un responsable IT généraliste sans formation juridique. Formalisez la désignation, la ligne de reporting du DPD et le dossier décisionnel — le circuit de mise en application de l’ANPDP débute par des mises en demeure formelles et peut s’escalader rapidement dès lors qu’une plainte déclenche un contrôle.

2. Cartographier le registre de traitement en vue du délai de notification de 5 jours

Le délai de notification de 5 jours est inapplicable si vous ne savez pas quelles données vous détenez, où elles se trouvent et qui y a accès. L’article 41 bis 2 exige un registre des activités de traitement, et l’article 41 bis 3 un journal automatisé. Les entreprises qui n’ont pas constitué ces artéfacts doivent les traiter comme des prérequis à la capacité de notification, et non comme des documents de conformité. Le registre nourrit également le processus d’identification des DPIA.

3. Aligner la structure de l’unité de cybersécurité sur le Décret 26-07 avant que la pression acheteur ne se matérialise

Les institutions publiques soumises au Décret 26-07 construisent déjà leurs unités de cybersécurité. Lorsqu’elles lanceront des appels d’offres, l’exigence d’une gouvernance équivalente apparaîtra comme une condition contractuelle — d’abord sous forme de questionnaire, puis de droit d’audit, puis de critère éliminatoire. Les entreprises qui structurent leur fonction cybersécurité maintenant — avec une mission documentée, une ligne hiérarchique, une procédure de réponse aux incidents et un contact de coordination ASSI — se qualifieront pour les marchés publics qui se fermeront aux organisations sans cette structure.

4. Utiliser CCA’2026 comme canal de renseignement précoce sur les priorités d’application de l’ANPDP

La co-organisation de CCA’2026 par l’ASSI et l’ENCS en fait l’un des rares forums publics où les autorités algériennes partagent leur vision sur les modèles de menaces et les attentes en matière de conformité. Les entreprises devraient y envoyer a minima leur RSSI, leur DPD et un sponsor de niveau dirigeant. Les sessions sur la gouvernance et l’IA en cybersécurité signaleront probablement les catégories de DPIA et les scénarios de traitement que l’ANPDP considère comme les plus à risque.

La Leçon Structurelle : La Conformité comme Capacité, pas comme Coût

La convergence de CCA’2026 et de l’environnement d’application du Décret 26-07/Loi 25-11 reflète un schéma visible dans les régimes réglementaires plus matures : les mandats de conformité n’existent pas indépendamment de la capacité opérationnelle de sécurité. La désignation du DPD, le registre de traitement, le délai de notification, la structure de l’unité de cybersécurité — chacun est simultanément une obligation légale et un contrôle de sécurité.

Le cadre de sanctions pénales algérien (jusqu’à 10 ans d’emprisonnement pour violations délibérées) indique que le gouvernement ne traite pas la protection des données comme une obligation souple. Le délai de 5 jours est plus contraignant que beaucoup d’entreprises ne le supposent — le délai moyen mondial de détection des violations par des initiés dépassait 150 jours en 2025. Combler ce déficit de détection — via le journal automatisé et la fonction de surveillance de l’unité de cybersécurité — est la seule façon de rendre le délai de notification tenable.

CCA’2026 vaut le déplacement non pas parce qu’elle répondra à toutes ces questions, mais parce qu’elle fera émerger les questions que les entreprises n’ont pas encore pensé à poser.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Annonce CCA’2026 — Université de Sétif
• Lois algériennes sur la protection des données et la cybersécurité — CMS Law
• Journée Conformité & Cybersécurité 2026 — SOLTIC Algérie
• Loi algérienne 25-11 sur la protection des données — DataGuidance
• L’Algérie renforce son cadre de cybersécurité — TechAfrica News