Introduction
La mise en place du Conseil national de cyberdéfense (CNC) en République démocratique du Congo (RDC) répondait initialement à la volonté d’adapter l’État aux nouvelles menaces numériques. Toutefois, une conceptualisation imprécise, combinée à une confusion doctrinale et à des dérives fonctionnelles, a progressivement détourné cette structure de ses missions légales originelles.
La présente analyse met en lumière les ambiguïtés conceptuelles, les lacunes juridiques et les dérives institutionnelles entourant le CNC, tout en proposant des pistes de réforme.
CNS, ANR, DEMIAP et CNC : Cadres légaux et institutionnels laconiques et brouillés
CNS : un cadre de concertation des services de sécurité et de renseignement
En RDC, le Conseil national de sécurité (CNS) est un organe placé sous l’autorité directe du Président de la république, créé par de l’Ordonnance présidentielle N°86-306 du 1er décembre 1986 portant organisation et fonctionnement du Conseil National de sécurité. Il est dirigé par le Conseiller spécial du chef de l’Etat en matière de sécurité.
Le CNS constitue un cadre de concertation regroupant l’ensemble des services intervenant dans les domaines de la sécurité et du renseignement. Il a pour mission d’élaborer, sur instruction du Président de la république, la politique générale du pays en matière de sécurité ; de délibérer sur toutes les questions intéressant la sécurité intérieure et extérieure de l’Etat ; et de proposer des mesures appropriées. Il élabore également la politique budgétaire de l’Etat en matière de sécurité[1].
En principe, le CNS a pour vocation de coordonner l’ensemble des services de sécurité congolais, civils et militaires, sans pour autant disposer de compétences opérationnelles directes en matière de renseignement. Toutefois, notamment depuis l’ère Mobutu, il s’est imposé comme un super-organe présidentiel, omniprésent et influent, souvent perçu comme situé au-dessus des autres institutions de l’État.
ANR : un service de renseignement civil revêtu de prérogatives judiciaires
S’agissant de l’Agence nationale de renseignements (ANR), le décret-loi n° 003-2003 du 11 janvier 2003 portant sa création et son organisation la définit dans ses articles 1er, 2 et 3 comme un service public doté de l’autonomie administrative et financière, placé sous l’autorité du président de la République. Elle a pour mission de veiller à la sûreté intérieure et extérieure de l’État[2].
Les articles 22 à 25 consacrent un statut judiciaire renforcé des agents de l’ANR, en leur conférant des prérogatives étendues en matière de police judiciaire, (compétence nationale et pouvoir de réquisition) dans l’exercice de leurs missions. Ces dispositions les inscrivent dans une logique de centralisation hiérarchique et de protection institutionnelle, caractéristique des services de renseignement. Tel n’est pas le cas du CNC, dont le cadre juridique apparaît nettement moins structuré et plus ambigu.
L’article 22 porte sur le statut et les compétences des agents de l’ANR, qu’il distingue en fonction de leur grade. Les agents de grade inférieur à celui d’inspecteur adjoint sont considérés comme agents de police judiciaire (APJ). En revanche, ceux ayant au moins le grade d’inspecteur adjoint sont officiers de police judiciaire (OPJ) à compétence générale, avec pouvoir d’agir sur l’ensemble du territoire national. Cette distinction est fondamentale : elle confère aux OPJ de l’ANR des pouvoirs étendus habituellement réservés aux autorités judiciaires, leur permettant d’intervenir sans limitation territoriale. Or, de tels statuts ne sont pas prévus dans l’ordonnance-loi portant création du CNC.
Par ailleurs, l’article 24 consacre le pouvoir de réquisition reconnu aux agents et OPJ de l’ANR. Ceux-ci peuvent solliciter l’assistance de la force publique et des autres officiers de police judiciaire pour l’exécution de leurs missions, conformément aux lois et règlements en vigueur. Ce droit de réquisition leur confère une autorité opérationnelle directe : les autorités sollicitées sont tenues de coopérer, ce qui renforce l’efficacité et la portée institutionnelle de l’ANR.
À l’inverse, le CNC se permet, en pratique, de requérir les officiers de police judiciaire sans disposer d’un fondement légal explicite lui conférant un tel pouvoir.
DEMIAP : structure chargée de renseignement militaire intégrée aux FARDC
Sur le plan historique, à suite de la chute du régime de Mobutu et de la disparition des Forces armées zaïroises (FAZ), Laurent-Désiré Kabila met en place un nouveau service d’intelligence militaire au sein des Forces armées congolaises, succédant aux Forces armées zaïroises. Ce service est dénommé Service de Détection Militaire des Activités Anti-Patrie (DEMIAP). C’est ce patronyme qui est resté d’usage jusqu’à ce jour pour désigner les services de renseignement(s) militaires congolais (Ex-DEMIAP).
Après son accession au pouvoir en janvier 2001, Joseph Kabila promulgue, le 24 février 2002 le Décret 018/2002 portant création d’un service spécialisé des Forces armées congolaises dénommé Direction générale de la détection militaire des activités anti-patrie, « DGDEMIAP », en sigle[3].
A partir de 2003, les renseignements militaires congolais évoluent vers une entité plus structurée, prenant la forme d’un Etat-major du renseignement militaire. Ce service est placé sous l’autorité directe, opérationnelle et fonctionnelle du Sous-chef d’état-major général des FARDC chargé des renseignements militaires[4]. Celui-ci relève hiérarchiquement du chef d’état-major général adjoint des FARDC chargé des opérations et du renseignement, auquel il rend compte en principe.
CNC: un organe administratif de coordination et de conseil sans pouvoir opérationnel
L’Ordonnance-Loi n°23/170 du 15 aout 2023 portant création, organisation et fonctionnement d’un service spécialisé dénommé Conseil National de Cyberdéfense, en sigle « CNC », le définit comme un organe stratégique chargé de coordonner les services de l’État en matière de cyberdéfense et de cyber-renseignement, de conseiller le Président de la République sur les questions de cybersécurité et de superviser les stratégies nationales de protection des systèmes d’information[5], sans toutefois lui conférer explicitement de compétences opérationnelles ni de prérogatives de police judiciaire.
Juridiquement, le CNC demeure ainsi un service purement administratif et technique, exerçant de coordination et de conseil, non un service opérationnel.
À l’instar de l’ANR, le CNC, est placé sous l’autorité directe du Président de la République en tant qu’institution, et non en tant que personne politique physique. Toutefois, à la différence de l’ANR — service civil de renseignement chargé notamment de la sûreté de l’État et doté de prérogatives en matière de police judiciaire — le CNC demeure juridiquement un service administratif, dépourvu de toute compétence légale en matière de police judiciaire, d’interpellation ou de détention.
Comparaison internationale des modèles de cyberdéfense
Dans les systèmes institutionnels comparés, la cyberdéfense est traditionnellement considérée comme une prérogative régalienne des forces armées et s’exerce en étroite coordination avec les services de renseignement militaire. À l’échelle internationale, les modèles opérationnels mettent en évidence une distinction nette entre, d’une part, la cybersécurité, généralement confiée à des structures civiles chargées de la protection des infrastructures et des systèmes d’information, et, d’autre part la cyberdéfense, de nature essentiellement militaire et orientée vers la réponse aux menaces stratégiques.
Aux États-Unis, la cyberdéfense est assurée par le United States Cyber Command (USCYBERCOM), une structure pleinement intégrée aux forces armées et basée au Fort George G. Meade. Elle dispose de capacités offensives, défensives et de renseignement, en étroite coordination avec la National Security Agency (NSA).
En France, la cyberdéfense relève du Commandement de la cyberdéfense (COMCYBER), placé sous l’autorité du chef d’état-major des armées. Cette structure est chargée de planifier et de conduire les opérations militaires dans le cyberespace. Parallèlement, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) assure la cybersécurité civile, notamment la protection des infrastructures critiques et la réponse aux incidents.
En Belgique, la cyberdéfense relève également des forces armées à travers la « Force Cyber », chargée de protéger les systèmes militaires, de collecter du renseignement et de conduire des opérations dans le cyberespace. Parallèlement, le Centre for Cybersecurity Belgium (CCB) assure la coordination de la cybersécurité civile au niveau national. Il agit notamment comme équipe de réponse aux incidents (CSIRT), en fournissant expertise et soutien technique, sans exercer de missions de renseignement ni de fonctions policières.
Au niveau de l’OTAN, le cyberespace est reconnu comme un domaine opérationnel à part entière depuis le sommet de Varsovie de 2016. L’Alliance s’appuie notamment sur le Cooperative Cyber Defence Centre of Excellence (CCDCOE), basé à Tallinn, qui développe doctrine, formation et capacités de recherche en matière de cyberdéfense.
Ces exemples montrent que la cyberdéfense constitue avant tout une fonction militaire et opérationnelle, tandis que les structures civiles se limitent à des rôles de coordination, de supervision et d’expertise.
En République démocratique du Congo, la cyberdéfense devrait s’inscrire comme une composante de la défense nationale et relever, à ce titre, d’un domaine de compétence partagé entre le Président de la République et le gouvernement, conformément aux principes constitutionnels. Dans cette logique, une structure chargée de missions de cyberdéfense ne saurait (peut), en principe, échapper ni à la tutelle du ministre chargé de la Défense, ni à l’autorité hiérarchique du chef d’état-major général des Forces armées.
Confusion conceptuelle entre cybersécurité et cyberdéfense
En RDC, le Conseil national de cyberdéfense (CNC) ne semble pas conduire, en pratique, de véritables activités de cyberdéfense au sens strict. Ses actions paraissent davantage relever de pratiques de surveillance numérique et, dans certains cas, de cyber-harcèlement et de (police) contrôle politique, loin des standards opérationnels observés dans les structures modernes de cyberdéfense.
Cette situation découle d’une confusion conceptuelle fondamentale entre cybercriminalité, cybersécurité et cyberdéfense, trois notions pourtant distinctes par leur finalité et leurs modalités d’action.
La cybercriminalité relève du champ pénal et désigne l’ensemble des infractions commises au moyen ou à l’encontre des systèmes informatiques et des réseaux, piratage, escroqueries numériques, etc.).
La cybersécurité concerne, quant à elle, la protection des systèmes d’information, des réseaux et des données. Elle regroupe les mesures techniques, organisationnelles et juridiques visant à prévenir les intrusions, à réduire les vulnérabilités et à gérer les incidents, quelle qu’en soit l’origine (criminelle, accidentelle ou malveillante).
La cyberdéfense s’inscrit dans une logique stratégique et étatique, relevant du domaine de la défense nationale. Elle désigne l’ensemble des moyens techniques, humains et opérationnels mobilisés pour protéger les systèmes d’information, les infrastructures numériques, les réseaux et les données d’un État contre les cyberattaques, l’espionnage et les opérations de sabotage, souvent d’origine étatique ou assimilée.
Elle comprend notamment la protection des infrastructures critiques (énergie, télécommunications, institutions, défense), la détection et la neutralisation d’attaques complexes, ainsi que la collecte de renseignements cybernétiques. Elle comporte également une dimension offensive (cyberattaque militaire ou cyberwarfare) consistant à prendre l’initiative contre un adversaire dans le cyberespace. Cette dimension dépasse la simple protection des systèmes et vise à neutraliser, perturber ou dégrader les capacités adverses.
Par ailleurs, le profil professionnel et académique des agents appelés à animer une telle structure apparaît, dans certains cas, largement insuffisant au regard des exigences en matière de cybernétique, de formation militaire et de techniques de renseignement. Lors de mon procès, j’ai publiquement mis en évidence de graves lacunes chez certains « pseudo-experts », notamment leur incapacité à maîtriser ou même à comprendre les notions fondamentales et la terminologie de base propres à la cybersécurité et à la cyberdéfense.
À cela s’ajoutent des insuffisances dans la rédaction des rapports techniques de renseignement, ainsi qu’une compréhension parfois lacunaire des enjeux et des principes fondamentaux de la défense nationale.
Il convient de rappeler que le renseignement militaire constitue le système nerveux de la sécurité d’un État. Lorsque les services de renseignement sont défaillants, les unités opérationnelles sur le terrain le deviennent également. Les revers enregistrés par les FARDC dans l’est du pays s’expliquent, en grande partie, par l’inefficacité des structures de renseignement, notamment la DÉMIAP et le CNC, incapables de fournir les informations stratégiques, tactiques et opérationnelles fiables à la planification des actions offensives ou défensives.
À titre d’illustration, dans le cadre du conflit contre le M23, ni le CNC ni la DEMIAP n’apparaissent comme des acteurs déterminants dans la conduite d’opérations de cyberdéfense, visant, par exemple, à neutraliser certaines attaques de drones, à perturber leurs trajectoires ou intercepter les communications militaires des unités ennemies. Ces capacités relèvent plutôt des mercenaires employés par des sociétés militaires privées opérant en appui aux FARDC[6].
S’agissant du CNC, ses interventions apparaissent parfois limitées et éloignées des standards professionnels attendus dans le domaine. Des critiques ont ainsi été formulées quant au recours à des méthodes peu rigoureuses, notamment dans la production d’éléments présentés comme preuves dans certains contextes judiciaires. Tel en a été le cas lors de mon procès.
Dérive fonctionnelle et expansion informelle des compétences du CNC
Comme nous l’avons évoqué plus haut, juridiquement, le CNC ne dispose d’aucune base légale lui permettant de procéder à des arrestations, interpellations ou détentions. Tout au plus peut-il apporter une expertise technique ponctuelle lorsqu’il est requis par des autorités judiciaires compétentes, sans jamais se substituer à celles-ci.
Cependant, la pratique observée sur le terrain semble s’écarter de ce cadre juridique. Son coordonnateur, Jean-Claude Bukasa, et sa directrice de cabinet Lisette Kabanga, se sont progressivement imposés comme des acteurs centraux du renseignement numérique en RDC, voire du renseignement au sens large, empiétant sur les prérogatives d’autres services, notamment celles de l’ANR, du renseignement militaire (ex-DÉMIAP) et, dans une certaine mesure, du Conseil national de sécurité (CNS).
Cependant, la pratique observée sur le terrain s’écarte sensiblement de son cadre légal. Le CNC s’est progressivement transformé en un super-service de renseignements de facto, excédant largement les attributions légales, se dotant de ses propres réseaux d’enquêteurs informels et de lieux de détention clandestins disséminés à Kinshasa et dans plusieurs provinces, selon plusieurs rapports des organisations des droits de l’homme.
Plusieurs exemples documentés témoignent de ces pratiques préoccupantes. De nombreux cas d’arrestations et de détentions arbitraires ont été signalés, souvent en dehors de tout cadre judiciaire clair et en violation des garanties prévues par la Constitution congolaise ainsi que les instruments internationaux relatifs aux droits humains.
Dans plusieurs situations, des interpellations ont pris la forme de rafles nocturnes ou d’arrestations spectaculaires visant des opposants politiques, des acteurs de la société civile ou des figures publiques. Certaines personnes arrêtées auraient été conduites vers des lieux de détention non officiels avant d’être présentées au parquet plusieurs jours plus tard, en violation des délais légaux de garde à vue.
Dans ce contexte, Maître Timothée Mbuya de l’organisation Justicia Asbl, a publiquement appelé à la suppression de ce qu’il qualifie de « service oppresseur des droits des citoyens »[7].
A titre d’illustration, dans son rapport[8] publié le 10 mars 2026, Human Rights Watch (HRW) a signalé une vague de disparitions forcées à Kinshasa, attribuées aux pratiques du CNC. Selon HRW, le gouvernement congolais utilise le CNC pour procéder à des arrestations et détentions d’opposants politiques, souvent pour des motifs discutables. , souvent en violation du droit national et international.
Cette évolution traduit une dérive institutionnelle inquiétante pour les droits humains. (:) Elle illustre la transformation progressive d’un organe de coordination en structure opérationnelle à vocation répressive, sans base juridique ni mécanismes de contrôle effectifs.
Chevauchement des services et fragmentation du renseignement
Un système de renseignement inefficace affaiblit mécaniquement les capacités opérationnelles de l’État. Le renseignement constitue, en effet, le centre névralgique et stratégique de la sécurité nationale : il est difficile de contrer des menaces, et plus encore de remporter un conflit sans un dispositif de renseignements robuste et performant.
Aujourd’hui, les missions de la DÉMIAP, de l’ANR et du CNC, voire du CNS, se chevauchent, se confondent et se télescopent, tous étant devenus des instruments de police politique au service de la survie d’un régime. Cette superposition des compétences engendre une fragmentation du système de renseignement et une dilution des responsabilités, au détriment de l’efficacité globale de l’appareil sécuritaire de l’État.
Dans le conflit qui secoue l’Est de la RDC, par exemple, les autorités congolaises s’appuient sur les rapports du Groupe d’experts des Nations Unies pour documenter la présence de l’armée rwandaise, faute de données tactiques ou numériques suffisamment fiables issues de leurs propres services de renseignement.
Conclusion et recommandations : restructurer et revoir les missions du CNC et entreprendre une réforme structurelle du dispositif de renseignements
Dans les systèmes institutionnels comparés, la cyberdéfense constitue une prérogative régalienne des forces armées et s’exerce en coordination étroite avec le renseignement militaire.
La création du CNC répondait initialement à la nécessité d’adapter l’État aux nouvelles menaces numériques. Toutefois, une conceptualisation imprécise, une confusion doctrinale et des dérives fonctionnelles l’ont progressivement dérouté de son cadre légal, compromettant son utilité et son efficacité en matière de cyberdéfense.
Une réforme institutionnelle fondée sur la clarification des missions, l’intégration de la cyberdéfense aux forces armées et la spécialisation des services apparaît indispensable pour renforcer la cohérence stratégique et l’efficacité du système de renseignement congolais face aux menaces hybrides contemporaines.
Dans le contexte actuel de guerre dans l’est de la RDC, marqué par la nécessité impérieuse de renforcer les capacités de renseignements stratégiques pour contrer les multiples menaces (conventionnelles, cybernétiques et informationnelles), il apparaît urgent de recentrer le CNC et la DÉMIAP sur leurs missions respectives. Il convient également renforcer les capacités des services de renseignement, notamment par un haut niveau de spécialisation, une formation avancée et une intégration étroite aux structures militaires et de sécurité.
La réforme du dispositif cyber en RDC suppose, en outre, une clarification des compétences. Une première étape pourrait consister à revoir en profondeur le cadre juridique encadrant le CNC, afin d’en assurer la conformité aux exigences légales et de l’aligner sur des missions clairement définies en matière de cybersécurité et de cyberdéfense.
Ensuite, il est indispensable d’intégrer les questions liées aux menaces cybernétiques dans une vision plus large et holistique du renseignement, afin d’éviter les chevauchements de compétences et les rivalités entre services, en opérant une distinction claire entre les différents domaines :
- La cybersécurité devrait relever de l’ANR, en tant que service de renseignement civil. Dans le cadre du projet de réforme de l’ANR auquel j’ai activement participé, nous avions envisagé, dans un premier temps, la création d’une Direction de l’Intelligence numérique, appelée à évoluer ultérieurement vers un Département complet. Malheureusement, ces initiatives de réforme ont été sciemment sabotées.
- La cyberdéfense devrait être intégrée au sein de l’état-major général des FARDC, conformément à sa nature militaire et stratégique.
- La cybercriminalité devrait être traitée par les autorités judiciaires compétentes, dans le respect du cadre pénal et des procédures en vigueur.
Parallèlement, dans le cadre d’une réforme du dispositif cyber en RDC, il serait pertinent de créer, au sein du Conseil National de Sécurité, une cellule ou une agence dédiée à la coordination du cyber‑renseignement. Le CNS demeurant l’organe central de coordination par excellence de l’ensemble des services de renseignement, une telle structure pourrait jouer un rôle d’interface stratégique. Cette structure aurait uniquement une mission consultative et technique, se limitant à coordonner et à soutenir les services spécialisés de l’armée, de l’ANR et de la justice, sans exercer de fonctions opérationnelles ni de missions de police judiciaire.
Une telle approche permettrait de renforcer la cohésion et l’efficacité des services, tout en évitant la superposition actuelle de services garantirait un fonctionnement rigoureux, conforme aux principes de distinction entre cybersécurité, cyberdéfense et cybercriminalité.
Jean-Jacques Wondo Omanyundu
Analyste des questions de défense et de sécurité
Références
[1] Article 2 de l’Ordonnance N°86-306 portant organisation et fonctionnement du Conseil National de sécurité, Journal Officiel de la République du Zaïre, n°23 du 1er décembre 1986.
[2] Cf. www.leganet.cd/Legislation/Droit%20Public/Ordre/DL.11.01.2003.htm.
[3] Art. 1er. — Est créée la Direction générale de la détection militaire des activités anti-patrie, «DGDEMIAP» en sigle. Art. 2. — Sont abrogées toutes les dispositions antérieures et contraires au présent décret. Art. 3. —Le présent décret entre en vigueur à la date de sa signature. Art. 4. — Le ministre délégué à la Défense est chargé de l’exécution du présent décret qui entre en vigueur à la date de sa signature.
[4] Depuis 1997, la Démiap a été dirigée successivement par : Général Sikatenda Shabani (1997-1998) ; Colonel Damas Kabulo Mydia Vita (1998-2001) ; Général Dieudonné Kayembe Mbandakulu (2002-2003) ; Général Didier Etumba Longila (2003-2007) ; Général Kitenge Tundwa (2007-2013) ; Général Jean Claude Yav Kabej (2013-2014) ; Général Tage Tage (2014-2015) ; Général Delphin Kahimbi (depuis 2015-2020) ; Général Michel Mandiangu (février 2020juillet 2022) ; Général Christian Ndaywel (Juillet 2022-Décembre 2024) et Général Makombo (Depuis Décembre 2025).
[5] Ordonnance-Loi n°23/170 du 15 aout 2023 portant création, organisation et fonctionnement d’un service spécialisé dénommé Conseil National de Cyberdéfense, en sigle « CNC ».
[6] Africa Intelligence, L’entrepreneur turc Turhan Mildon construit une base de lancement de drones à Kisangani, 24 mars 2026.
[7] – https://www.dw.com/fr/rdc-multiplication-des-arrestations-arbitraires-dans-un-climat-sous-tension/a-75615941.
[8] https://www.hrw.org/fr/news/2026/03/10/rd-congo-vague-de-disparitions-forcees-a-kinshasa.
