Décret 26-07 : ce que la structure de cybersécurité change pour les organismes publics

Ce que dit le texte

Le décret présidentiel n° 26-07 du 7 janvier 2026, publié au Journal officiel le 21 janvier 2026, organise la sécurité des systèmes d'information dans les institutions, administrations et organismes publics, ainsi que dans les organismes placés sous leur tutelle.

Il s'inscrit dans la stratégie nationale de cybersécurité 2025-2029, adoptée fin décembre 2025 et rendue publique en mars 2026 par l'Agence de la sécurité des systèmes d'information (ASSI), qui relève du ministère de la Défense nationale.

Le principe central tient en une phrase : chaque entité concernée doit disposer d'une structure chargée de la sécurité de ses systèmes d'information, séparée de la structure qui exploite ces systèmes, et rattachée directement à son premier responsable.

Les missions de la structure

D'après les présentations publiées du texte, la structure a pour missions de :

• élaborer la politique de sécurité des systèmes d'information de l'entité et suivre son application, en cohérence avec la stratégie nationale ;
• cartographier les risques et piloter les plans de traitement ;
• assurer une surveillance continue des systèmes ;
• signaler sans délai les incidents de sécurité ;
• conduire des audits de sécurité selon un calendrier établi à l'avance ;
• veiller, avec l'autorité nationale compétente, à la conformité des traitements de données personnelles ;
• travailler avec la structure chargée des marchés publics, pour que les contrats de sous-traitance comportent des clauses de sécurité.

Prises ensemble, ces missions décrivent une fonction de pilotage et de contrôle, pas une équipe technique supplémentaire.

Pourquoi la séparation avec l'informatique compte

La séparation n'est pas une formalité. Le service informatique est jugé sur la disponibilité : que les applications tournent, que les utilisateurs soient servis, que les projets avancent. La sécurité demande parfois l'inverse : refuser un accès, retarder une mise en production, couper un service exposé.

Quand la même équipe porte les deux, la sécurité perd presque toujours l'arbitrage, et personne ne contrôle celui qui administre. Une structure distincte, rattachée au premier responsable, rend ces arbitrages visibles et remonte les risques là où se prennent les décisions.

Ce qui bloque le plus souvent

Mettre en place la structure est rapide. La faire fonctionner suppose des éléments qui manquent souvent :

• Un inventaire des actifs. On ne protège pas ce qu'on ne connaît pas : serveurs, applications, comptes, accès des prestataires.
• Des journaux exploitables. Sans traces conservées, impossible de surveiller ou d'enquêter après un incident.
• Des sauvegardes vérifiées. Une sauvegarde jamais restaurée en test n'est pas une garantie.
• Une procédure de signalement. "Sans délai" suppose de savoir qui alerte qui, par quel canal, avec quelles informations.
• Des contrats de sous-traitance à jour. Beaucoup de marchés en cours ne prévoient ni clause de sécurité, ni obligation de notifier un incident.

Par où commencer : cinq étapes

1. Désigner le responsable et formaliser le rattachement, par une décision écrite qui fixe ses missions et son accès à la direction.
2. Dresser l'inventaire et la cartographie des risques, en commençant par les systèmes qui portent l'activité et les données personnelles. C'est le point de départ d'un audit du système d'information.
3. Rédiger une politique de sécurité courte et applicable, alignée sur la stratégie nationale, plutôt qu'un document exhaustif que personne ne lit.
4. Écrire la procédure de gestion des incidents, de la détection au signalement, et la tester une fois par un exercice.
5. Planifier les audits et revoir les marchés, pour que chaque nouveau contrat de prestation intègre des exigences de sécurité.

Ces étapes recoupent largement les mesures de base que nous recommandons aussi aux entreprises privées dans notre checklist de cybersécurité.

Et les entreprises privées ?

Le décret ne s'applique pas à elles directement. Mais toute entreprise qui travaille pour un organisme public, comme fournisseur, intégrateur ou sous-traitant, sera concernée par les clauses de sécurité que ces organismes vont introduire dans leurs marchés. Être capable de décrire ses propres mesures, ses sauvegardes et sa procédure en cas d'incident devient un argument, puis une condition.

Les menaces qui visent les PME algériennes sont d'ailleurs les mêmes que celles qui touchent les organismes publics, souvent par le même chemin : un accès de prestataire mal protégé.

Ce que le texte ne précise pas encore

À la date de cet article, nous n'avons pas trouvé de texte d'application public qui fixe un délai de mise en place, un effectif minimum ou un profil type pour le responsable de la structure. Ces points pourraient être précisés par des textes ultérieurs ou par l'ASSI. En attendant, la bonne lecture est celle des missions : une structure qui ne cartographie pas, ne surveille pas et n'audite pas ne remplit pas l'obligation, quel que soit son intitulé.

Questions fréquentes

Sources : Algérie360, TSA, Radio Algérie. Le texte de référence est le Journal officiel du 21 janvier 2026, consultable sur joradp.dz.