Décret présidentiel n° 26-07 du 18 Rajab 1447 correspondant au 7 janvier 2026 portant création d'une structure responsable de la sécurité des systèmes d'information et de la protection des données dans les institutions, les administrations et les organismes publics, et fixant ses missions, son organisation et son fonctionnement

Le présent décret a pour objet la création au sein de toute institution, administration et organisme public d’une structure responsable de la sécurité des systèmes d’information et de la protection des données et fixant ses missions, son organisation et son fonctionnement, désignée ci-après la « structure ».

Les institutions, les administrations et les organismes publics sont tenus de mettre en place une structure chargée de la sécurité des systèmes d’information et de la protection des données qui doit être indépendante de la structure chargée des systèmes d’information.

La structure est rattachée au premier responsable de l’institution, de l'administration ou de l’organisme public et coordonne les missions de la sécurité des systèmes d’information et de la protection des données avec toute institution, service ou établissement sous tutelle.

La structure assure les missions de la sécurité des systèmes d’information et de la protection des données dans les institutions, les administrations et les organismes publics de manière permanente et en toute circonstance.

Les ressources humaines ainsi que les moyens matériels et techniques nécessaires à la structure sont estimés et déterminés de manière à assurer une protection optimale en fonction de la nature de la mission et des spécificités des systèmes d’information.

La structure est chargée de la sécurité des systèmes d’information et de la protection des données dans les institutions, les administrations et les organismes publics auprès desquels elle est créée.

A ce titre, elle est chargée, notamment :

— d’élaborer la politique de sécurité des systèmes d’information de l’institution, de l'administration ou de l'organisme dont elle relève et de veiller à sa mise en œuvre ;

— de veiller à la mise en œuvre des exigences de sécurité des systèmes d’information, conformément à la stratégie en la matière ;

LA REPUBLIQUE ALGERIENNE N° 04 21

— de veiller à l'élaboration de la cartographie des risques liés à la sécurité des systèmes d’information et de la protection des données à caractère personnel et d’assurer la mise en œuvre des différents plans de remédiation ;

— de gérer et d’administrer l'ensemble des solutions de la sécurité des systèmes d'information de la protection de données ainsi que les solutions de cyber résilience ;

— de procéder aux opérations d’audit et de contrôle en matière de sécurité des systèmes d’information et de protection des données à caractère personnel, en collaboration avec les parties compétentes, selon un planning prédéfini ;

— d’assurer une veille permanente et une surveillance continue de la sécurité des systèmes d’information relevant de sa compétence ;

— de signaler, immédiatement, tout incident cybernétique aux autorités compétentes et solliciter leur assistance, en cas de besoin ;

— de veiller au respect des dispositions législatives et réglementaires dans le domaine de traitement des données à caractère personnel, en collaboration avec l'autorité nationale de la protection des données à caractère personnel ;

— de sensibiliser et de former les personnels en matière de sécurité des systèmes d'information et de protection des données à caractère personnel.

Dans le cadre de l’exercice des missions prévues à l’article 4 ci-dessus, le responsable de la structure entretient des relations fonctionnelles avec son environnement institutionnel, au niveau interne et externe.

• Au niveau interne de l’institution, de l'administration ou de l’organisme, le responsable de la structure exerce ses missions en coordination, notamment avec :

1. Le premier responsable de l'institution, de l'administration ou de l'organisme, notamment en matière :

— d’information et de sensibilisation aux enjeux dans les domaines de la sécurité des systèmes d'information et de la protection des données et aux risques qui en pèsent ;

— de présentation des actions mises en place et celles projetées pour préserver la sécurité des systèmes d’information fixant les objectifs et des moyens y relatifs.

2. La structure en charge des systèmes d'information, notamment en matière :

— de veille sur le respect des procédures en vigueur dans les domaines de sécurité des systèmes d’information et de traitement des données à caractère personnel ;

— de gestion des incidents de sécurité des systèmes d’information et des modalités de reprise d’activité ;

— de coordination des projets de développement des systèmes d’information, à l’initiative de l’une ou de l'autre structure ;

— de veille au bon fonctionnement du cycle de vie des systèmes d’information.

3. La structure en charge des marchés publics, notamment en matière :

— de coordination pour l’intégration des clauses relatives à la sécurité des systèmes d’information et aux mesures de confidentialité et de sécurité du traitement en cas de recours à la sous-traitance, conformément à la législation et à la réglementation en vigueur.

4. La structure en charge de la sûreté interne, notamment en matière :

— de coordination pour l’intégration des mesures relatives à la protection des personnels et des équipements.

5. Les structures chargées des systèmes d'information auprès des institutions, services et établissements sous tutelle, notamment en matière :

— de participation à l’élaboration et à la mise en œuvre de la politique sectorielle de la sécurité des systèmes d’information.

• Au niveau externe de l’institution, de l'administration ou de l’organisme, le responsable de la structure exerce ses missions en coordination, notamment avec :

— l'agence de la sécurité des systèmes d’information ;

— l'autorité nationale de la protection des données à caractère personnel ;

— toute institution ou tout organisme dont le fonctionnement de la structure requiert la collaboration et la concertation.

La structure est composée des emplois suivants :

1. le responsable de la structure ;

2. le chargé des opérations de sécurité et de veille ;

3. le chargé de l'audit et de la gestion des risques ;

4. le chargé de la protection des données à caractère personnel ;

5. le chargé de la sensibilisation et de la formation.

Les emplois 2 et 3 et les emplois 4 et 5 peuvent être fusionnés selon la dimension de l’institution, de l’administration ou de l’organisme public concerné, et selon le degré de criticité de ses systèmes d’information. 18 janvier 2026

Il est tenu compte dans l’organisation de la structure et la détermination de son classement, la dimension de l’institution, de l’administration et de l’organisme concerné, ainsi que la classification de leurs systèmes d’information.

La classification des emplois relevant de la structure est fixée selon la nature de l’institution, de l'administration ou de l'organisme public et selon la classification de leurs systèmes d’information.

Les titulaires de ces postes sont nommés conformément aux modalités en vigueur au sein de l'institution, de l'administration ou de l'organisme public concerné.

Les conditions de nomination ou de recrutement dans les emplois relevant de la structure et ses effectifs, sont fixés par un texte particulier.

Pour la mise en place immédiate de la structure, il est procédé à la nomination et au recrutement de personnels qualifiés, en priorité, par voie de :

— redéploiement interne ;

— mutation ou de détachement des personnels en activité au sein d’autres institutions et administrations publiques, justifiant le profil adéquat en matière de compétences et de certifications ;

— recrutement externe.

Les personnels nommés ou recrutés, conformément à l'article 10 ci-dessus, bénéficient d'une formation préparatoire à l’occupation de l’emploi dont le contenu, la durée et les modalités d’organisation sont fixés par arrêté conjoint du ministre chargé des finances et de l'autorité chargée de la fonction publique.

Le contenu du programme de la formation prévue à l’alinéa ci-dessus, est élaboré en coordination avec l’agence de la sécurité des systèmes d’information et l’autorité nationale de la protection des données à caractère personnel.

Les institutions et les organismes autres que ceux prévus par les dispositions du présent décret, s’engagent à mettre en place la structure responsable de la sécurité des systèmes d’information et de la protection des données en activité en leur sein, conformément aux dispositions du présent décret.

Les modalités d’application des dispositions du présent décret seront précisées, en tant que de besoin, par instruction de l'autorité chargée de la fonction publique.

Le présent décret sera publié au Journal officiel de la République algérienne démocratique et populaire.

Fait à Alger, le 18 Rajab 1447 correspondant au 7 janvier 2026.

Abdelmadjid TEBBOUNE. 29 Rajab 1447 JOURNAL OFFICIEL DE 18 janvier 2026 LA REPUBLIQUE ALGERIENNE N° 04 23 DECISIONS INDIVIDUELLES