Ce qui a changé le 21 janvier 2026
Le 7 janvier 2026, le Président Tebboune a signé le Décret présidentiel 26-07, établissant le cadre opérationnel de la gouvernance de la cybersécurité dans les institutions algériennes. Le décret a été publié au Journal officiel le 21 janvier 2026, déclenchant des obligations d’application immédiates pour les organismes publics et un calendrier de conformité structuré pour les organisations privées opérant dans les secteurs critiques désignés.
Le Décret 26-07 n’existe pas seul. Il met en œuvre la Stratégie nationale de cybersécurité 2025–2029, approuvée huit jours plus tôt par le Décret présidentiel 25-321 (30 décembre 2025), et s’appuie sur le cadre fondateur établi par le Décret présidentiel 20-05 (janvier 2020) et son amendement sous le Décret 25-298 (novembre 2025). Ensemble, ces quatre décrets constituent la pile réglementaire de cybersécurité la plus complète jamais adoptée en Algérie.
Pour les entreprises privées, la question opérationnelle n’est pas de savoir si elles doivent se conformer, mais dans quel ordre. Le décret désigne comme infrastructures critiques les secteurs bancaire, sanitaire, énergétique, des télécommunications, de l’eau, des transports et des services gouvernementaux. Si votre entreprise opère dans — ou fournit des services à — l’un de ces secteurs, le Décret 26-07 s’applique directement.
Les quatre obligations fondamentales que chaque entreprise privée doit satisfaire
Le décret établit des obligations à différents niveaux de l’économie. Pour les organisations privées des secteurs critiques ou disposant d’une infrastructure informatique significative, quatre exigences sont non négociables.
Une unité de cybersécurité dédiée. Les organisations doivent créer une unité de cybersécurité qui rend compte directement au responsable de l’institution — et non au directeur informatique ou au CTO. Cette exigence structurelle est délibérée : elle reproduit le modèle du secteur public où les CISO sont « institutionnalisés dans les institutions d’État », comme le reporting du SAMENA Council l’a noté dans sa couverture du déploiement du cadre ASSI en Algérie. L’unité doit avoir un mandat défini, une ligne budgétaire et un plan de dotation en personnel.
Nomination d’un CISO qualifié. Le décret exige la nomination d’un Chief Information Security Officer possédant une expertise démontrée. L’« expertise démontrée » n’est pas encore codifiée avec des exigences de certification spécifiques dans le texte du décret, mais les orientations de l’ASSI font systématiquement référence au CISSP, CISM et CEH comme qualifications de référence. Les entreprises ne disposant pas d’un candidat interne doivent lancer immédiatement le processus de recrutement — le vivier de talents CISO en Algérie est restreint et la concurrence va s’intensifier à mesure que la date limite de conformité approche.
Des audits de sécurité obligatoires. Les organisations doivent conduire des audits selon un calendrier défini par l’ASSI. Pour les opérateurs d’infrastructures critiques, cela implique de faire appel à un prestataire d’audit de cybersécurité accrédité par l’ASSI — un registre que l’ASSI développe depuis 2020. Les entreprises faisant appel à des prestataires non accrédités ne satisferont pas à l’exigence d’audit, quelle que soit la qualité technique de l’audit.
Signalement des incidents à l’ASSI. Les incidents de cybersécurité significatifs doivent être signalés immédiatement à l’ASSI. « Significatif » inclut les violations de données, les attaques par rançongiciel, les événements de déni de service affectant la continuité des services et les accès non autorisés aux systèmes contenant des données personnelles. Le DZ-CERT, hébergé par le CERIST, coordonne la réponse nationale aux incidents et constitue le point de contact opérationnel pour les signalements.
Publicité
Ce que les entreprises privées algériennes doivent faire maintenant
La plupart des entreprises privées algériennes appartiennent à l’une des trois catégories de préparation. Les actions de conformité ci-dessous sont organisées selon votre situation actuelle — et non selon vos aspirations.
1. Auditer votre gouvernance sécurité actuelle selon les quatre piliers
Avant d’investir dans des outils ou de recruter, cartographiez votre état actuel par rapport aux quatre piliers du Décret 26-07 : structure de gouvernance (disposez-vous d’une unité de cybersécurité ?), personnel (avez-vous un CISO qualifié ?), cadence d’audit (avez-vous bénéficié d’un audit conforme ASSI ?) et signalement des incidents (disposez-vous d’un processus respectant les délais de signalement ASSI ?).
La plupart des entreprises constateront une conformité partielle dans un ou deux domaines et des lacunes significatives dans les autres. Documentez formellement cette analyse des écarts — les audits ASSI commencent par un questionnaire d’auto-évaluation, et les entreprises incapables de démontrer qu’elles comprennent leur propre posture partent avec un désavantage.
2. Prioriser le recrutement du CISO ou la promotion interne avant tout
L’exigence structurelle — une unité de cybersécurité relevant du responsable de l’institution — ne peut pas être satisfaite par un simple titre de poste. Le CISO doit posséder une compétence technique et managériale documentée. L’analyse de la stratégie nationale de cybersécurité algérienne indique que la stratégie 2025–2029 se connecte explicitement aux 285 000 nouvelles places de formation professionnelle annoncées pour 2026, dont des programmes de certification en cybersécurité — mais ces diplômés ne seront disponibles que dans 18 à 24 mois. Les titulaires actuels de CISSP ou CISM en Algérie constituent un vivier limité. Les entreprises du secteur bancaire et des télécommunications doivent s’attendre à une forte concurrence salariale d’ici mi-2026.
Pour une promotion interne, le chemin le plus rapide vers une qualification reconnue est le CEH (Certified Ethical Hacker) ou le CISM (Certified Information Security Manager) — tous deux disponibles en supports d’étude en arabe via les partenaires régionaux d’ISACA et d’EC-Council.
3. Faire appel à un auditeur accrédité ASSI avant la date limite
Le système d’accréditation de l’ASSI pour les prestataires d’audit de cybersécurité est opérationnel depuis 2020 dans le cadre du dispositif national de cybersécurité. Demandez directement à l’ASSI la liste actualisée des prestataires accrédités — cette liste est mise à jour et n’est pas toujours publiée. Planifiez votre premier audit dès maintenant : les prestataires accrédités ont déjà des carnets de commandes chargés, et une file d’attente qui reste gérable aujourd’hui deviendra un goulot d’étranglement lorsque les grandes institutions publiques commenceront à concurrencer pour les mêmes créneaux au troisième trimestre 2026.
Le périmètre d’audit dans le cadre du Décret 26-07 couvre : l’architecture de sécurité réseau, les contrôles de protection des données, la gestion des accès, les procédures de réponse aux incidents et les plans de continuité d’activité. Les entreprises certifiées ISO 27001 constateront environ 70 % de chevauchement avec le cadre d’audit ASSI.
4. Mettre en place le processus de signalement ASSI avant d’en avoir besoin
Les obligations de signalement des incidents sont déclenchées par des événements, pas par des calendriers d’audit — ce qui signifie que le processus doit être en place avant qu’une violation survienne, pas après. Le portail de signalement DZ-CERT est le point d’entrée opérationnel. Établissez des critères internes d’escalade (ce qui constitue un incident « significatif » dans votre secteur), désignez un responsable du signalement, testez le processus de soumission DZ-CERT lors d’un exercice de simulation et documentez le processus dans votre plan de réponse aux incidents.
Les entreprises des secteurs de l’énergie et de la banque doivent également examiner les délais de signalement sectoriels que l’ASSI et l’ARPCE (Autorité de Régulation de la Poste et des Communications Électroniques) devraient publier dans le cadre du pilier de renforcement du cadre réglementaire de la stratégie.
L’exposition aux sanctions est déjà effective
Le guide CMS Law sur l’Algérie documente le régime de sanctions : les mesures administratives vont des avertissements formels à la suspension d’autorisation, tandis que les sanctions pénales incluent des peines d’emprisonnement de 2 mois à 10 ans et des amendes de 5 000 à 10 000 000 DZD (environ 33 à 65 800 €). La sévérité est proportionnelle à la nature de la violation — mais toute mesure d’application, y compris un avertissement formel, crée un dossier de conformité qui affecte les futures décisions de licences et d’appels d’offres.
Plus immédiatement, la Loi sur la protection des données personnelles de 2023 (obligations ANPDP) croise le Décret 26-07 sur plusieurs points : les entreprises créant des unités de cybersécurité trouveront naturel — et l’ANPDP l’attend — de regrouper les responsabilités de protection des données sous la même structure de gouvernance. Créer un bureau CISO combinant cybersécurité et protection des données sera plus rentable que gérer deux programmes de conformité parallèles.
Où en est le secteur privé algérien à l’entrée de 2026
Le tableau honnête est nuancé. Le système national de cybersécurité algérien est opérationnellement actif depuis 2020, et le rôle de CISO a été institutionnalisé dans les institutions d’État, comme l’a documenté le SAMENA Council dans sa couverture du cadre ASSI. Mais le secteur privé a pris du retard. L’analyse de Comparitech classant l’Algérie parmi les nations les moins sécurisées au niveau cyber citait le « manque de législation » comme principale déficience — une lacune que les Décrets 25-321 et 26-07 comblent directement.
Les cinq piliers de la stratégie 2025–2029 (renforcement de la gouvernance, protection des infrastructures critiques, développement des capacités, amélioration du cadre juridique et coopération internationale) fournissent une feuille de route claire. Les entreprises privées qui alignent leurs programmes internes de conformité sur ces piliers — plutôt que de traiter le Décret 26-07 comme un exercice à cocher — bâtiront une résilience organisationnelle qui survivra à tout cycle d’audit individuel.
La fenêtre de conformité à faible stress est celle des six prochains mois. Le calendrier d’audit de l’ASSI se remplira. Les CISO qualifiés deviendront plus rares. Commencez l’analyse des écarts aujourd’hui.
Questions Fréquemment Posées
Le Décret 26-07 s’applique-t-il aux entreprises privées ou uniquement aux institutions gouvernementales ?
Le Décret 26-07 s’applique à toutes les organisations des secteurs critiques désignés : banque, santé, énergie, télécommunications, eau, transport et services gouvernementaux. Les entreprises privées opérant dans ces secteurs ou les fournissant font face aux mêmes obligations obligatoires — unité de cybersécurité, nomination d’un CISO, audit et signalement des incidents — que les institutions publiques.
Quelles qualifications un CISO algérien doit-il posséder pour satisfaire aux exigences du décret ?
Le décret exige une « expertise démontrée », que les orientations de l’ASSI évaluent à l’aune de certifications internationalement reconnues : CISSP (Certified Information Systems Security Professional), CISM (Certified Information Security Manager) et CEH (Certified Ethical Hacker). Il n’existe pas encore de parcours de certification algérien formel — les entreprises doivent s’orienter vers les certifications internationales via les partenaires régionaux d’ISACA ou d’EC-Council.
Quelle est la sanction pour non-conformité au Décret 26-07 ?
En vertu du régime de sanctions de cybersécurité algérien documenté par CMS Law, les pénalités administratives vont de l’avertissement formel à la suspension complète d’autorisation. Les sanctions pénales comprennent des peines d’emprisonnement de 2 mois à 10 ans et des amendes de 5 000 à 10 000 000 DZD (environ 33 à 65 800 €). La sévérité est proportionnelle à la nature et à la durée de la non-conformité.
—
Sources et lectures complémentaires
🔗 Intelligence Connexe
Après la Journée Conformité & Cybersécurité d’Algérie : Ce que les Entreprises Doivent Faire Maintenant
Conformité Cyber en Algérie : Un Référentiel Pratique pour la Loi 18-07 en 2026
Décret 26-07 : Guide pratique de conformité cybersécurité pour les PME algériennes
Décret 26-07 : Le Mandat des Unités de Cybersécurité en Algérie — Ce que les Entreprises Doivent Faire
