(2026) Technical Instruction 001/IHSI/2026: Procedure for Assessing and Approving Technical Specifications

IHSI — Institut Haïtien de Statistique et d'Informatique IT. N° 001/IHSI/2026 RÉPUBLIQUE D'HAÏTI LIBERTÉ – ÉGALITÉ – FRATERNITÉ Institut Haïtien de Statistique et d'Informatique (IHSI) IT. N° 001/IHSI/2026 | INSTRUCTION TECHNIQUE PROCÉDURE D'ÉVALUATION ET D'APPROBATION DES CAHIERS DES CHARGES TECHNIQUES (CDC) Conformément à l'Article 24.13(c) du Décret du 1er Juillet 2020 mandatant l'IHSI pour évaluer et approuver les cahiers des charges techniques pour tout développement d'application au sein des entités du SyNSIP, et en application de la Résolution N° XX/2026 du CNSI rendue applicable par la Circulaire N° XX/2026 du MEF, l'IHSI émet la présente Instruction Technique. Tout CDC prévoyant un hébergement sans BYOK/HSM dédié, sans Confidential Computing pour données de Niveau 1, ou sans redondance multi-fournisseurs est rejeté automatiquement. Article 1 : Objet La présente Instruction Technique définit les modalités d'évaluation et d'approbation par l'IHSI des cahiers des charges techniques pour tout développement d'application au sein des entités du SyNSIP, conformément à l'Article 24.13(c) du Décret du 1er Juillet 2020. Elle garantit que toutes les applications gouvernementales respectent la classification à 4 niveaux des données et l'architecture tricouche de protection définie dans les Directives N° 002 et 004/IHSI/2026. Article 2 : Champ d'application • Tout développement logiciel (interne ou externalisé) par une entité du SyNSIP • Toute évolution majeure d'un système existant (plus de 30 % de changements) • Toute acquisition impliquant du code personnalisé ou des intégrations sur mesure • Tout projet impliquant l'hébergement de données gouvernementales dans le cloud • Toute application traitant des données personnelles de citoyens (Directive N° 003/IHSI/2026) • Tout système d'échange de données inter-institutionnel (Art. 24.9 du Décret) Article 3 : Documents à soumettre à l'IHSI L'entité soumet à l'IHSI (portail www.ihsi.gouv.ht ou email dnt@ihsi.gouv.ht) un dossier complet : Page 1 / 3 | Confidentiel — IHSI/2026 IHSI — Institut Haïtien de Statistique et d'Informatique IT. N° 001/IHSI/2026 Document requis Description Obligatoire CDC technique Spécifications fonctionnelles et techniques complètes Oui Classification des données Identification du niveau (1/2/3/4) pour chaque catégorie de données traitées Oui Architecture de sécurité Chiffrement (BYOK/HSM), Confidential Computing (si Niveau 1), MFA, RBAC Oui Stack technologique Langages, frameworks, bases de données, middlewares Oui Plan d'hébergement cloud Profil du prestataire (A/B/C/D), gestion des clés HSM, redondance Oui Plan de redondance Deux fournisseurs identifiés, RTO par niveau de données Oui Estimation budgetaire Coût total de possession (TCO) sur 5 ans Oui Plan de protection des données Conformité classification 4 niveaux — Dir. N° 003 et 004/IHSI/2026 Oui si données citoyens Plan de continuité (PCA) RTO/RPO définis par niveau — test de basculement planifié Recommandé Article 4 : Critères d'évaluation Critère Pondération Description Conformité aux normes techniques (Dir. N° 002/IHSI/2026) 30 % Respect des normes matérielles, logicielles et cloud souverain Souveraineté des données (Dir. N° 004/IHSI/2026) 25 % BYOK/HSM haïtien, Confidential Computing Niveau 1, profil prestataire A/B/C Interopérabilité 20 % APIs ouvertes, formats standard, compatibilité SyNSIP (Art. 24.9) Sécurité et protection des données (Dir. N° 003/IHSI/2026) 15 % AES-256/TLS 1.3, MFA, journalisation, classification 4 niveaux respectée Coût total de possession 10 % TCO sur 5 ans justifié — solutions open source privilégiées Article 5 : Processus d'approbation Étape Responsable Dépôt du dossier Entité requérante J Soumission portail IHSI ou email Accusé de réception IHSI J + 2 jours ouvrables Confirmation ou pièces manquantes Page 2 / 3 | Délai Confidentiel — IHSI/2026 Action IHSI — Institut Haïtien de Statistique et d'Informatique IT. N° 001/IHSI/2026 Évaluation technique Expert IHSI J + 17 jours ouvrables Analyse selon les 5 critères Décision finale Direction IHSI J + 22 jours ouvrables Approbation, réserves ou rejet Notification IHSI J + 23 jours ouvrables Décision motivée par écrit Article 6 : Décisions possibles Décision Signification Action suivante Approuvé CDC conforme à toutes les normes IHSI L'entité peut procéder immédiatement Approuvé avec réserves Conforme sous conditions — corrections mineures L'entité lève les réserves avant exécution Rejeté Non conforme — violations des normes Nouveau CDC révisé avec corrections documentées Article 7 : Critères automatiques de rejet L'IHSI rejette sans examen approfondi tout CDC présentant : • Hébergement prévu sans BYOK/HSM dédié indépendant du fournisseur (violation Dir. N° 004/IHSI/2026) • Données de Niveau 1 sans Confidential Computing / TEE (violation Dir. N° 004/IHSI/2026) • Fournisseur unique sans plan de redondance (violation exigence multi-fournisseurs) • Serveur de messagerie auto-hébergé en Haïti ou services email grand public (violation Dir. N° 005/IHSI/2026) • Absence de chiffrement AES-256 au repos ou TLS 1.3 en transit (violation Dir. N° 002/IHSI/2026) • Absence de MFA pour les accès aux données sensibles • Clés de chiffrement exclusivement chez le prestataire, sans option BYOK (violation Dir. N° 004/IHSI/2026) Article 8 : Voie de recours L'entité peut contester un rejet devant le Directeur Général de l'IHSI dans les 15 jours. En cas de désaccord persistant, l'entité peut saisir le CNSI (Article 12 du Décret) pour arbitrage. Résolution CNSI N° XX/2026 Circulaire MEF N° XX/2026 Port-au-Prince, le [JJ/MM/AAAA] ________________________________ ________________________________ [Prénom NOM] [Prénom NOM] Directeur Général de l'IHSI Page 3 / 3 Me Brunache — Conseiller juridique | Confidentiel — IHSI/2026