MINTEL oblige les entités publiques à désigner un Responsable de la Sécurité des Systèmes d'Information

Le Ministère des Télécommunications et de la Société de l’Information (MINTEL) a réformé le Schéma Gouvernemental de Sécurité de l’Information (EGSI) et a redéfini la figure du Responsable de la Sécurité de l’Information (OSI), dont la désignation est obligatoire dans chaque entité publique et chez les concessionnaires de services publics. La décision figure dans l’Accord Ministériel Nro. MINTEL-MINTEL-2026-0008, publié dans le Registre Officiel, Septième Supplément Nº 399 du mercredi 28 octobre 2026, et est entrée en vigueur le jour même, conformément à sa disposition finale.

L’accord substitue l’article 8 de l’Accord Ministériel Nro. MINTEL-MINTEL-2024-0003, du 8 février 2024, qui avait promulgué l’EGSI, et remplace en outre ses annexes A, B et C par la version 3.0 du schéma. L’instrument a été signé le 31 juillet 2026 par M. Mgs. Ricardo Xavier Gutiérrez Cevallos, Ministre des Télécommunications et de la Société de l’Information (E), nommé par Décret Exécutif Nro. 438 du 1er juillet 2026.

L’EGSI est d’implémentation obligatoire pour les institutions du secteur public comprises à l’article 225 de la Constitution et pour les tiers qui prestent des services publics par voie de concession ou d’autres figures légalement reconnues. La réforme s’appuie sur les articles 19 et 20 de la Loi Organique pour la Transformation Digitale et Audiovisuelle et sur l’article 38 de la Loi Organique de Protection des Données Personnelles. La procédure a été initiée par le Mémorandum Nro. MINTEL-SGERC-2026-0106-M, du 31 juillet 2026, du Sous-secrétariat au Gouvernement Électronique et à l’État Civil, qui a transmis le rapport technique SGERC-DIISIRC-0004-2026.

Exigences et incompatibilités du nouveau profil

L’article 8 réformé établit que l’autorité maximale de chaque institution désignera un OSI possédant une formation et une expérience d’au moins deux ans dans les domaines de la sécurité de l’information et de la cybersécurité. Le texte précédent exigeait d’être fonctionnaire de carrière, preferably de niveau hiérarchique supérieur ; cette condition ne figure plus dans la norme en vigueur.

Les conditions centrales sont :

• L’OSI pourra être le responsable du domaine de la Sécurité de l’Information, si cette unité existe.
• Il ne doit pas appartenir aux domaines des processus, des risques, administratif, financier ou des technologies de l’information.
• La désignation devra être communiquée immédiatement au Sous-secrétariat au Gouvernement Électronique et à l’État Civil du MINTEL, via les outils prévus à cet effet.
• L’OSI agit comme point de contact de l’institution auprès du MINTEL.

Comité de Sécurité et architecture institutionnelle

L’annexe A de la version 3.0 détaille la structure que chaque entité doit constituer. L’autorité maximale désigne le Comité de Sécurité de l’Information (CSI) ainsi que l’OSI, et doit allouer les ressources nécessaires.

Le CSI est présidé par la Planification et comprend les responsables des Ressources Humaines, de l’Administration, de la Communication Sociale, des Technologies de l’Information, du Juridique et le Délégué à la Protection des Données ; l’OSI et le délégué assistent avec voix consultative mais sans droit de vote. Les institutions qui ne s’inscrivent pas dans ce modèle doivent constituer un comité d’au moins trois membres. Le comité se réunit ordinairement tous les deux mois et informe semestriellement la plus haute autorité sur les progrès de l’EGSI.

Guides techniques et fonctions de l’officier

L’EGSI v3.0 est structuré en trois guides : la mise en œuvre du schéma, basée sur la NTE INEN ISO/IEC 27001:2022 ; la gestion des risques, basée sur la NTE INEN ISO/IEC 27005:2022 et la méthodologie MAGERIT ; et la mise en œuvre des contrôles, basée sur la NTE INEN ISO/IEC 27002:2023.

Parmi les responsabilités assignées à l’OSI figurent la mise en œuvre et la mise à jour de l’EGSI, l’élaboration de la documentation essentielle du système, la coordination de l’évaluation des risques et de la sélection des contrôles, l’exécution du plan de sensibilisation, l’élaboration du plan de reprise après sinistre et de la procédure de réponse aux incidents, ainsi que la coordination avec le Centre de Réponse aux Incidents Informatiques (CSIRT) sectoriel ou national pour les incidents à impact élevé qui ne peuvent être résolus en interne. Il doit également effectuer la passation de la documentation à son successeur avant de quitter ses fonctions.

La réforme concrétise une obligation déjà existante et la rend exigible en termes vérifiables : chaque entité devra accréditer un responsable doté d’une formation technique prouvée et séparé des domaines qui exploitent et financent la technologie, afin que la supervision de la sécurité ne repose plus sur ceux qui administrent les systèmes. Le délai court à partir de la publication, sans régime de transition dans le texte officiel.

Source : Registro Oficial, Septième Supplément Nº 399, 28 octobre 2026, section I (Ministère des Télécommunications et de la Société de l’Information), pág. 1 (référence officielle : Accord Nro. MINTEL-MINTEL-2026-0008).