Pour une entreprise installée en Algérie, un audit de cybersécurité est une mission d’évaluation menée par un prestataire sur un périmètre défini, qui se termine par un rapport de constats classés par gravité et un plan de correction. Son prix n’est publié ni par les prestataires algériens que nous avons consultés, ni par un barème officiel : il se fixe sur devis, en fonction du périmètre, de la méthode et du nombre de jours d’expertise. Le vrai travail de l’acheteur se joue donc avant la consultation : savoir ce qu’il veut faire auditer, rédiger un cahier des charges précis et vérifier ce que le prestataire est réellement capable de livrer.

Ce guide s’adresse aux dirigeants, DSI, responsables informatiques et RSSI de PME et d’entreprises établies en Algérie. Il ne remplace ni un conseil juridique, ni un audit réel : il vous aide à commander le bon audit, au bon périmètre, et à lire le résultat.

L’essentiel

• Un audit de sécurité, un scan de vulnérabilités, un test d’intrusion (pentest) et une certification ISO 27001 sont quatre démarches différentes, avec des prix et des livrables différents.
• Aucune source officielle consultée n’impose un audit périodique à toutes les entreprises privées algériennes. Le décret présidentiel n° 26-07 du 7 janvier 2026 vise les institutions, administrations et organismes publics.
• Un test d’intrusion ne se lance jamais sans autorisation écrite : l’accès frauduleux à un système informatique est puni par l’article 394 bis du Code pénal algérien.
• Les tarifs algériens ne sont pas publiés : exigez un devis détaillé en jours d’intervention, avec périmètre, méthode, livrables et nouvelle vérification après correction.
• Le rapport n’a de valeur que si vous corrigez : prévoyez le budget et le responsable du plan d’action avant de signer.

Sommaire

• Audit, scan, pentest, ISO 27001 : ne pas confondre
• Que dit le cadre algérien sur l’audit de sécurité ?
• Quel audit choisir selon votre situation ?
• Comment se déroule une mission d’audit ?
• Que mettre dans le cahier des charges ?
• Combien coûte un audit cybersécurité en Algérie ?
• Comment choisir un prestataire en Algérie ?
• Que doit contenir le rapport d’audit ?
• Les erreurs fréquentes
• Checklist avant de signer
• Questions fréquentes
• Sources officielles et références

Audit, scan, pentest, ISO 27001 : ne pas confondre

Le mot « audit » recouvre en pratique des prestations très différentes. Un devis intitulé « audit de sécurité » peut désigner un simple scan automatisé de quelques jours comme une mission de plusieurs semaines. Commencez par nommer précisément ce que vous achetez.

La différence entre scan et pentest est la plus souvent mal comprise. Le guide technique NIST SP 800-115 sur les tests et évaluations de sécurité précise que la phase d’attaque d’un test d’intrusion consiste à vérifier des vulnérabilités déjà identifiées en tentant de les exploiter. Un scan s’arrête à l’identification. Une offre très bon marché présentée comme un pentest repose souvent sur un scan automatisé : demandez ce qui est fait manuellement.

La certification ISO 27001 fait l’objet d’un traitement séparé dans notre guide sur la certification ISO 27001 en Algérie : coût, audit en deux étapes et organismes. Ce guide-ci traite de l’audit commandé par l’entreprise pour connaître et réduire ses risques.

Que dit le cadre algérien sur l’audit de sécurité ?

Il n’existe pas, dans les sources officielles que nous avons consultées, d’obligation générale pour toutes les entreprises privées de faire auditer leur sécurité informatique à intervalle fixe. Plusieurs textes et référentiels encadrent toutefois le sujet, avec des portées différentes.

Le décret présidentiel n° 26-07 : le secteur public d’abord

Le décret présidentiel n° 26-07 du 7 janvier 2026, publié au Journal officiel le 21 janvier 2026, concerne les institutions, administrations et organismes publics. Selon la presse algérienne qui l’a analysé, chaque entité doit créer une structure de cybersécurité distincte de celle qui gère les systèmes d’information, placée sous l’autorité directe de son premier responsable. Cette structure doit notamment conduire des audits et des contrôles selon un calendrier défini à l’avance et intégrer des clauses de sécurité et de confidentialité dans les contrats de sous-traitance. Les numéros d’articles ne figurent pas dans les comptes rendus consultés : pour un dossier public, reportez-vous au texte du Journal officiel.

Pour une entreprise privée, ce décret n’est pas une obligation directe. Il compte néanmoins si vous travaillez pour une administration ou un organisme public : leurs exigences de sécurité peuvent se retrouver dans vos contrats ou vos cahiers des charges.

La Stratégie nationale 2025-2029 et le RNSI

L’Agence de la sécurité des systèmes d’information, rattachée au ministère de la Défense nationale, a publié le 3 mars 2026 la Stratégie nationale de sécurité des systèmes d’information 2025-2029. Les sources consultées la décrivent comme un cadre de résilience pour l’État et les infrastructures critiques ; aucune source officielle ne décrit un mécanisme d’audit obligatoire pour l’ensemble des entreprises. Des commentateurs non officiels évoquent des audits obligatoires pour certains secteurs critiques (banque, santé, énergie, télécoms) : si vous en relevez, faites confirmer vos obligations par votre autorité de tutelle.

Le Référentiel National de Sécurité de l’Information (RNSI), publié par le ministère de la Poste et des Télécommunications, est le référentiel technique local le plus utile pour cadrer un audit. Des offres d’emploi algériennes en cybersécurité le citent d’ailleurs aux côtés de l’ISO 27001 et du NIST comme référentiel de conformité. Il vise d’abord les organismes publics : pour une entreprise privée, il sert de grille de lecture, pas d’obligation, sauf exigence contractuelle. Notre guide sur la cybersécurité des PME en Algérie en détaille le socle pratique.

Données personnelles : la loi 18-07 et la loi 25-11

Si votre système contient des données de clients, de salariés ou de patients, la loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel s’applique, telle que modifiée par la loi n° 25-11 du 24 juillet 2025. L’Autorité nationale de protection des données à caractère personnel (ANPDP) communique sur les amendements, dont l’obligation de tenir un registre des activités de traitement. Un audit de sécurité ne vaut pas mise en conformité, mais il fournit des preuves utiles sur la sécurité des traitements. Le détail des obligations est dans notre article sur la loi 18-07 et la mise en conformité des entreprises. Les montants des sanctions varient selon les commentaires consultés : vérifiez-les dans le texte publié.

Le Code pénal : pourquoi l’autorisation écrite est indispensable

Les articles 394 bis et suivants du Code pénal algérien, introduits par la loi n° 04-15 du 10 novembre 2004, répriment l’accès et le maintien frauduleux dans un système de traitement automatisé de données, ainsi que la modification ou la suppression frauduleuse de données. Un testeur qui s’introduit dans un système sans mandat s’expose donc à des poursuites, quelles que soient ses intentions. Pour l’entreprise, la conséquence est simple : aucun test intrusif sans contrat, périmètre et autorisation signés, y compris par la personne qui a le pouvoir d’engager la société sur les systèmes concernés.

Le même raisonnement vaut pour les systèmes que vous ne possédez pas : hébergement mutualisé, solution SaaS, serveur loué chez un fournisseur. Vous ne pouvez pas autoriser un test sur l’infrastructure d’un tiers. Il faut l’accord de ce tiers et, souvent, ses règles propres.

Quel audit choisir selon votre situation ?

Le bon audit dépend du risque que vous cherchez à réduire, pas du budget le plus facile à obtenir. Cette matrice de décision donne un point de départ ; elle ne remplace pas l’avis d’un spécialiste sur votre cas.

Dans tous les cas, commencez par l’inventaire : liste des postes, serveurs, applications, comptes cloud, prestataires ayant un accès technique et données critiques. Sans inventaire, le périmètre du devis sera flou et le prix, difficile à comparer.

Comment se déroule une mission d’audit ?

Le guide NIST SP 800-115 décrit un test d’intrusion en quatre phases, présentées comme un exemple parmi d’autres découpages acceptables. Cette trame sert de repère pour vérifier qu’un prestataire ne saute pas d’étape.

1. Planification. Les règles sont fixées, la direction approuve et documente la mission, les objectifs sont définis. Aucun test n’a lieu à ce stade.
2. Découverte. Collecte d’informations (noms de domaine, adresses, services exposés, versions de logiciels), puis analyse des vulnérabilités, par outils et par examen manuel. Les analyses manuelles peuvent détecter des failles que les scanners ratent, mais elles prennent plus de temps.
3. Attaque. Les vulnérabilités identifiées sont vérifiées en tentant de les exploiter. Selon le guide, une attaque réussie peut conduire à de nouvelles découvertes et donc à un retour vers la phase précédente.
4. Rapport. Les constats sont consignés avec leur gravité et des mesures correctives.

Pour un audit organisationnel ou de configuration, la logique est voisine : cadrage, collecte (documents, entretiens, relevés de configuration), analyse des écarts par rapport à un référentiel, restitution. Vérifiez que le calendrier prévoit une restitution orale au-delà du document écrit : c’est là que vous posez les questions sur la priorité des correctifs.

Boîte noire, grise ou blanche

Le testeur peut travailler sans information préalable (boîte noire), avec quelques comptes ou informations (boîte grise) ou avec un accès large aux documents et au code (boîte blanche). Le NIST distingue aussi les tests externes, qui simulent un attaquant venu d’Internet, et les tests internes, qui simulent un employé malveillant ou un attaquant déjà entré sur le réseau. Pour une PME, un test externe plus un test interne en boîte grise donne généralement une image plus utile qu’un test externe seul, mais le choix dépend de vos actifs : faites-le valider par le prestataire.

Que mettre dans le cahier des charges ?

Un cahier des charges d’audit n’a pas besoin d’être long, mais il doit éliminer l’ambiguïté. Il s’appuie utilement sur le modèle de « règles d’engagement » du guide NIST SP 800-115, dont voici les éléments adaptés au contexte d’une entreprise algérienne.

• Objectif de la mission : par exemple « mesurer l’exposition du site de vente en ligne » ou « préparer un dossier client exigeant ». Un objectif clair détermine la méthode.
• Périmètre : adresses, noms de domaine, applications, sites physiques, nombre de postes et de serveurs. Précisez aussi ce qui est exclu (liste d’exclusion), notamment les systèmes hébergés chez des tiers sans accord.
• Type de test et point de vue : scan, audit de configuration, pentest externe ou interne, boîte noire, grise ou blanche, ingénierie sociale autorisée ou non.
• Autorisations : mandat signé par une personne habilitée, accords des hébergeurs et fournisseurs concernés.
• Calendrier et horaires : le guide NIST suggère par exemple de tester un site en exploitation en dehors des heures de pointe.
• Contacts et gestion des incidents : qui prévenir si un test perturbe un service, critères d’arrêt des tests, procédure de reprise. Le modèle NIST juge cette section critique.
• Confidentialité : engagement de non-divulgation, stockage et suppression des données récupérées pendant les tests, localisation du stockage du rapport.
• Livrables : rapport de synthèse pour la direction, rapport technique pour l’équipe informatique, restitution orale, liste des preuves.
• Nouvelle vérification : un contrôle après correction est-il inclus, dans quel délai, pour combien de jours ?
• Sauvegardes avant test : si le test peut affecter la disponibilité, vérifiez que des sauvegardes restaurables existent avant son lancement.

Si votre activité implique des données personnelles, ajoutez une clause précisant comment le prestataire traite les données qu’il peut voir pendant la mission. Faites relire la clause par un juriste : le prestataire peut devenir sous-traitant au sens de la loi 18-07.

Combien coûte un audit cybersécurité en Algérie ?

Nous n’avons trouvé aucun tarif public fiable pour un audit ou un test d’intrusion en Algérie. Les pages des prestataires algériens consultées proposent des devis ou une consultation gratuite, sans grille de prix. Les fourchettes publiées dans des guides français ou américains concernent d’autres marchés, d’autres devises et d’autres niveaux de prix : elles ne se transposent pas telles quelles. En l’absence de source algérienne, la seule réponse honnête est « sur devis ». Ce qui se compare, en revanche, ce sont les éléments qui font varier le prix.

Demandez un devis qui détaille le nombre de jours, le profil des intervenants, le taux journalier, les livrables et ce qui est facturé en supplément. Exemple purement fictif pour comprendre la lecture : si un prestataire annonce 12 jours d’intervention, vous pouvez vérifier que le devis se compose, par exemple, de 2 jours de cadrage, 6 jours de tests, 3 jours de rapport et 1 jour de restitution. Le total correspond alors à 12 jours multipliés par le taux journalier annoncé. Un devis forfaitaire sans détail des jours est plus difficile à comparer.

Méfiez-vous des écarts très importants entre deux offres pour le même périmètre : l’une des deux ne vend probablement pas la même chose. Posez la question franchement : qu’est-ce qui est manuel, qu’est-ce qui est automatisé ?

Faut-il aussi budgéter la correction ?

Oui. L’audit révèle les failles, il ne les corrige pas. Prévoyez du temps interne ou externe pour corriger, puis une nouvelle vérification. Certaines corrections sont gratuites (activer l’authentification multifacteur, supprimer des comptes inutiles, appliquer des mises à jour), d’autres demandent des investissements ou une refonte applicative. Si vous hébergez vos services chez un fournisseur local, notre comparatif des VPS et serveurs cloud en Algérie vous aidera à évaluer les conséquences d’une migration.

Comment choisir un prestataire en Algérie ?

Quels types d’acteurs existent ?

Le marché algérien comprend des sociétés spécialisées en cybersécurité, des intégrateurs réseaux, des opérateurs et fournisseurs de services numériques, des cabinets de conseil et des consultants indépendants. À titre d’exemples issus de recherches publiques, INITOne (Alger) présente un audit de sécurité informatique et des tests d’intrusion comme services distincts, et DCSecurite se présente comme une entreprise de cybersécurité en Algérie proposant SOC, tests d’intrusion et réponse aux incidents. Ces mentions sont informatives : nous n’avons pas évalué leur qualité de service et leurs pages ne publient ni méthodologie détaillée ni tarif. Cette liste n’est pas un classement.

Qualifications : ce qu’on peut vérifier, ce qu’on ne peut pas

En France, la qualification PASSI de l’ANSSI atteste officiellement qu’un prestataire d’audit respecte un référentiel. Nous n’avons identifié aucun équivalent algérien public pour les prestataires d’audit. Le décret 26-07 n’est pas décrit, dans les sources consultées, comme créant un agrément de ce type. Un site spécialisé non officiel évoque un dispositif d’accréditation des prestataires d’audit par l’ASSI ; nous n’avons pu le confirmer par un texte officiel. Si vous êtes opérateur d’un secteur sensible ou sous-traitant du secteur public, interrogez directement l’ASSI ou votre autorité de tutelle avant de choisir. En l’absence d’agrément confirmé, vérifiez :

• les certifications individuelles des intervenants réels (OSCP, CISA, CISSP, CEH, ISO 27001 Lead Auditor ou équivalent), en demandant le nom de ceux qui travailleront sur votre mission ;
• la méthodologie citée : NIST SP 800-115, OWASP pour les applications web, RNSI ou ISO 27001 pour les audits de conformité ;
• des références vérifiables, de préférence dans votre secteur, que vous pouvez appeler ;
• un exemple de rapport anonymisé, pour juger de la clarté et de la hiérarchisation des constats ;
• la couverture assurantielle du prestataire, en cas de dommage causé pendant un test (à faire confirmer par écrit) ;
• la localisation du stockage de vos données et du rapport, notamment si le prestataire utilise des outils hébergés à l’étranger.

Les questions à poser avant de choisir

• Qui réalise concrètement les tests, et qui signe le rapport ?
• Quelle part du travail est manuelle ?
• Quels outils sont utilisés, et où sont stockées les données collectées ?
• Quelles précautions sont prises pour éviter d’interrompre la production ?
• Que se passe-t-il si une faille critique est trouvée en cours de mission : prévenez-vous immédiatement ?
• Combien de temps après la mission les constats sont-ils expliqués à mes équipes ?
• Une nouvelle vérification après correction est-elle incluse ?
• Pouvez-vous intervenir en langue française, arabe ou anglaise, selon mes équipes ?

Que doit contenir le rapport d’audit ?

Un bon rapport permet à un dirigeant de décider et à un technicien d’agir. Il comprend généralement :

• une synthèse de direction en langage non technique : niveau de risque global, trois à cinq priorités, décisions à prendre ;
• le périmètre réellement testé, les dates, la méthode et les limites de la mission ;
• la liste des constats, chacun avec sa description, sa gravité, les systèmes touchés, les preuves et la façon de le reproduire ;
• des recommandations concrètes, hiérarchisées par priorité et par effort ;
• le cas échéant, la correspondance avec un référentiel (RNSI, ISO 27001) ;
• une annexe technique pour l’équipe informatique.

Méfiez-vous d’un rapport qui reprend la sortie brute d’un outil sans tri : il vous donne des centaines de lignes, mais pas de priorités. Une bonne restitution distingue les failles exploitables à court terme, celles qui sont théoriques et celles qui relèvent d’une dette technique à traiter progressivement.

Traitez le rapport comme un document confidentiel : il décrit précisément comment attaquer votre entreprise. Limitez sa diffusion, stockez-le chiffré et demandez au prestataire de supprimer ses copies à la fin du contrat, comme prévu au cahier des charges.

Et après le rapport ?

Désignez un responsable par constat critique, fixez une échéance, puis faites vérifier la correction. Si vous souscrivez ou envisagez une assurance cyber, un rapport d’audit et un plan d’action daté sont des éléments utiles pour dialoguer avec l’assureur ; notre article sur l’assurance cyber en Algérie détaille les garanties et les exclusions. Un audit ne remplace pas la souscription ni la prévention.

Les erreurs fréquentes

• Commander un pentest sans inventaire. Le prestataire teste ce que vous lui montrez, pas ce qui existe.
• Lancer un test sans autorisation écrite. Le risque pénal ne disparaît pas parce que le testeur est « de confiance ».
• Tester en production sans sauvegarde restaurable. Un test qui plante un service sans plan de reprise coûte plus cher que l’audit.
• Acheter le moins cher sans comparer le contenu. Un scan automatisé et un test manuel ne sont pas comparables.
• Auditer un système hébergé chez un tiers sans son accord. Les règles d’un hébergeur ou d’un éditeur SaaS peuvent interdire les tests.
• Ranger le rapport sans plan d’action. Les mêmes failles reviennent à l’audit suivant.
• Considérer un audit comme une garantie. Il donne une image à une date précise, sur un périmètre précis : les systèmes évoluent, de nouvelles failles sont découvertes.
• Confondre certification et sécurité. Une entreprise certifiée ISO 27001 a un système de management audité, pas des systèmes à l’abri d’une attaque.

Checklist avant de signer

• Le type de prestation (scan, audit, pentest, certification) est nommé précisément dans le devis.
• Le périmètre et la liste d’exclusion sont écrits et validés par la direction.
• L’autorisation signée couvre tous les systèmes testés, y compris ceux de tiers.
• Le nombre de jours, les profils et les livrables sont détaillés.
• Les contacts d’urgence et les critères d’arrêt des tests sont définis.
• Des sauvegardes restaurables existent avant le début des tests.
• Une clause de confidentialité et de suppression des données est signée.
• Une restitution orale et une nouvelle vérification après correction sont prévues.
• Un responsable interne est désigné pour suivre les corrections.

Questions fréquentes

L’audit de cybersécurité est-il obligatoire pour une entreprise en Algérie ?

Aucune source officielle consultée n’impose un audit périodique à toutes les entreprises privées. Les obligations connues concernent surtout les entités publiques (décret présidentiel n° 26-07 du 7 janvier 2026) ou résultent de contrats, de normes ou de la protection des données personnelles. Si votre secteur est réglementé, confirmez avec votre autorité de tutelle.

Combien coûte un test d’intrusion en Algérie ?

Aucun tarif public fiable n’a été trouvé : les prestataires travaillent sur devis. Le prix dépend du périmètre, de la profondeur des tests, de la complexité des applications et du nombre de jours d’intervention.

Quelle est la différence entre un scan de vulnérabilités et un test d’intrusion ?

Le scan identifie des vulnérabilités connues avec des outils automatisés. Le test d’intrusion tente de les exploiter pour mesurer leur impact réel, avec une part de travail manuel.

Peut-on faire tester le site de son entreprise sans autorisation de l’hébergeur ?

Mieux vaut ne pas le faire. Vous pouvez autoriser un test sur ce que vous contrôlez, mais pas sur l’infrastructure d’un tiers. Vérifiez les conditions de l’hébergeur et demandez son accord écrit si nécessaire.

Existe-t-il un équivalent algérien de la qualification PASSI ?

Nous n’avons pas identifié de qualification algérienne publique équivalente pour les prestataires d’audit. Vérifiez donc les certifications individuelles, les références et la méthodologie, et demandez un rapport type anonymisé.

Le RNSI est-il obligatoire pour une PME privée ?

Le RNSI vise d’abord les organismes publics. Pour une PME privée, il sert de référentiel de bonnes pratiques, sauf si un client public ou une clause contractuelle l’exige.

Un audit remplace-t-il la mise en conformité à la loi 18-07 ?

Non. Un audit de sécurité vérifie des mesures techniques et organisationnelles. La conformité couvre aussi la base légale, l’information des personnes, le registre des traitements et les relations avec l’ANPDP.

Un audit ISO 27001 est-il la même chose qu’un test d’intrusion ?

Non. L’audit de certification évalue un système de management de la sécurité. Un test d’intrusion évalue la résistance technique de systèmes précis.

À quelle fréquence faut-il auditer ?

Il n’existe pas de fréquence légale générale pour le secteur privé dans les sources consultées. Un rythme courant consiste à tester après un changement important (nouvelle application, migration, incident) et à contrôler régulièrement l’exposition, mais le bon rythme dépend de votre risque et de vos exigences contractuelles.

Que faire si l’audit révèle une fuite de données personnelles ?

Isolez et corrigez, conservez les preuves, informez la direction et le prestataire, puis consultez un juriste sur les obligations de déclaration auprès de l’ANPDP. Vérifiez les délais et les modalités dans les textes en vigueur plutôt que de vous fier à des chiffres relayés sans source officielle.

Lire aussi

• Formation cybersécurité en Algérie : études, certifications et salaires
• Paiement en ligne en Algérie : ce qu’il faut savoir

Sources officielles et références

• Présidence de la République — décret présidentiel n° 26-07 du 7 janvier 2026 sur les structures de cybersécurité des institutions, administrations et organismes publics (Journal officiel du 21 janvier 2026), tel que présenté par Algérie360 ; le texte du Journal officiel prévaut.
• Agence de la sécurité des systèmes d’information (ministère de la Défense nationale) — Stratégie nationale de sécurité des systèmes d’information 2025-2029, publiée le 3 mars 2026.
• Ministère de la Poste et des Télécommunications — Référentiel National de Sécurité de l’Information (RNSI).
• Journal officiel — loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel, modifiée par la loi n° 25-11 du 24 juillet 2025 ; ANPDP.
• Code pénal algérien — articles 394 bis et suivants (loi n° 04-15 du 10 novembre 2004), tels que présentés dans la base du Conseil de l’Europe sur la cybercriminalité en Algérie.
• NIST — Special Publication 800-115, Technical Guide to Information Security Testing and Assessment (septembre 2008), notamment la section 5.2 sur les phases du test d’intrusion et l’annexe B sur le modèle de règles d’engagement.
• Pages publiques de prestataires (INITOne, DCSecurite) consultées pour vérifier la nature des offres et l’absence de tarifs publiés.

Ce guide a une portée informative et ne remplace ni un audit, ni un avis juridique. Les textes, les offres et les pratiques évoluent : vérifiez les informations auprès des organismes compétents avant toute décision.