Entre cyberattaques, protection des données personnelles et exigences réglementaires, la cybersécurité devient un enjeu majeur pour les organisations marocaines. Mais toutes les entreprises sont-elles soumises aux mêmes obligations ? Décryptage du cadre juridique, des responsabilités et des mesures à anticiper.
La cybersécurité, un enjeu qui dépasse les grandes entreprises
La transformation numérique des entreprises marocaines s'accompagne d'une dépendance croissante aux systèmes d'information. Messagerie professionnelle, logiciels de gestion, plateformes cloud, applications métiers et bases de données sont devenus indispensables au fonctionnement quotidien de nombreuses organisations.
Cette dépendance expose les entreprises à des risques multiples : rançongiciels, usurpation d'identité, compromission de comptes, fuite de données ou interruption des services.
Mais au-delà des conséquences opérationnelles et financières, ces incidents soulèvent une question réglementaire : quelles sont les obligations des entreprises marocaines en matière de cybersécurité ?
Deux textes constituent des références essentielles : la loi n° 05-20 relative à la cybersécurité et la loi n° 09-08 relative à la protection des données à caractère personnel.
Leurs champs d'application et leurs exigences sont toutefois différents.
Loi 05-20 : un cadre spécifique pour les systèmes d'information stratégiques
Promulguée en 2020, la loi n° 05-20 établit un dispositif national de cybersécurité.
Elle vise notamment les administrations de l'État, les établissements et entreprises publics ainsi que les infrastructures d'importance vitale. Certaines de ses dispositions concernent également des opérateurs privés et des prestataires de services numériques.
Le texte prévoit, pour les entités relevant des dispositions concernées, des exigences relatives à la sécurité des systèmes d'information, à l'analyse des risques, aux audits et à la gestion des incidents.
Son décret d'application n° 2-21-406 du 15 juillet 2021 précise plusieurs modalités de mise en œuvre.
Un point mérite d'être souligné : la loi 05-20 ne soumet pas automatiquement toutes les PME marocaines à l'ensemble des obligations prévues pour les entités publiques ou les infrastructures d'importance vitale.
Une entreprise privée doit donc déterminer quelles dispositions lui sont applicables, en fonction de son activité, de son statut et des systèmes qu'elle exploite.
Loi 09-08 : des obligations qui concernent un périmètre beaucoup plus large
La loi n° 09-08 concerne la protection des personnes physiques à l'égard du traitement des données à caractère personnel.
Elle touche potentiellement une grande diversité d'organisations : entreprises commerciales, établissements de santé, organismes de formation, sociétés de services ou plateformes numériques.
Une entreprise qui collecte et traite des informations relatives à ses clients, collaborateurs ou prospects doit respecter les obligations applicables à ces traitements.
Parmi les principales exigences figurent la définition d'une finalité légitime, la limitation des données collectées, leur conservation pendant une durée appropriée et la mise en œuvre de mesures de sécurité adaptées.
La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) rappelle notamment la responsabilité des organismes dans la protection des données contre la perte, la destruction, l'altération et les accès non autorisés.
Cela signifie que la cybersécurité ne se limite pas à l'installation d'un antivirus.
Elle implique également une organisation interne, des règles d'accès, des mesures de confidentialité et un contrôle des prestataires intervenant sur les données.
Quelles entreprises sont réellement concernées ?
Les obligations de cybersécurité ne sont pas identiques pour toutes les organisations marocaines. Leur portée dépend notamment de la nature de l'activité, du statut juridique de l'entité et de l'importance des systèmes d'information concernés.
Les administrations publiques et les organismes entrant dans le champ de la loi 05-20 sont soumis à des exigences spécifiques de sécurité, de gestion des risques et, selon les dispositions applicables, d'audit et de déclaration des incidents.
Les infrastructures d'importance vitale font l'objet d'une attention particulière en raison des conséquences qu'une interruption ou une compromission de leurs systèmes pourrait avoir sur le fonctionnement du pays.
Certains opérateurs de services numériques et prestataires intervenant dans des environnements sensibles peuvent également être concernés par des obligations particulières.
Pour les entreprises privées classiques, la situation est différente. Une PME commerciale, un cabinet de conseil ou une société de services n'est pas nécessairement soumis à l'ensemble des exigences de la loi 05-20.
En revanche, dès lors qu'une entreprise traite des données personnelles, elle doit examiner les obligations découlant de la loi 09-08.
Des exigences supplémentaires peuvent également résulter de réglementations sectorielles ou d'engagements contractuels, notamment dans les secteurs bancaire, financier ou des télécommunications.
Il est donc essentiel de distinguer les obligations légales des bonnes pratiques de cybersécurité recommandées à l'ensemble des organisations.
Que faire en cas de cyberattaque ?
Une cyberattaque peut compromettre les données d'une entreprise, interrompre sa production ou perturber les services fournis à ses clients.
La loi 05-20 prévoit une obligation de déclaration des incidents affectant la sécurité ou le fonctionnement des systèmes d'information pour les entités relevant de son article 8.
Cette exigence ne doit toutefois pas être interprétée comme une obligation générale et identique pour toutes les entreprises marocaines.
Les obligations de signalement doivent être examinées selon le statut de l'organisation, la nature de l'incident et les réglementations applicables à son secteur.
Sur le plan opérationnel, une entreprise confrontée à un incident devrait être en mesure d'identifier rapidement les systèmes affectés, de limiter la propagation de l'attaque et de préserver les éléments nécessaires aux investigations.
Elle doit également disposer de procédures permettant de restaurer ses services essentiels.
L'existence de sauvegardes ne garantit pas, à elle seule, la continuité d'activité. Leur intégrité, leur disponibilité et leur capacité de restauration doivent être régulièrement vérifiées.
Cloud et sous-traitance : qui porte la responsabilité ?
Le recours croissant aux services cloud et aux prestataires informatiques soulève une question importante : une entreprise peut-elle transférer l'ensemble de ses responsabilités en matière de sécurité à son fournisseur ?
La réponse dépend notamment des obligations légales applicables et des engagements contractuels.
En matière de protection des données personnelles, le responsable du traitement doit veiller à ce que des mesures de sécurité appropriées soient mises en œuvre, y compris lorsque certaines opérations sont confiées à des sous-traitants.
Le recours à un fournisseur cloud ne dispense donc pas automatiquement une entreprise de ses responsabilités.
La localisation des données constitue également un point d'attention. Certains transferts de données personnelles à l'étranger sont soumis aux conditions et formalités prévues par la loi 09-08.
Les entreprises doivent ainsi examiner plusieurs éléments avant de confier leurs données ou leurs applications à un prestataire : les lieux d'hébergement, les conditions d'accès, les mécanismes de sauvegarde, les engagements de confidentialité et les modalités de restitution des informations.
Les contrats de services informatiques devraient également préciser les responsabilités respectives du client et du fournisseur en matière de sécurité et de gestion des incidents.
2027 : cinq chantiers à anticiper pour les entreprises marocaines
À l'approche de 2027, les entreprises marocaines peuvent engager une démarche progressive pour renforcer leur sécurité numérique, indépendamment des obligations particulières qui leur sont applicables.
1. Identifier les systèmes et les données critiques
La première étape consiste à établir une cartographie des applications, infrastructures et informations indispensables au fonctionnement de l'entreprise.
Cette démarche permet de déterminer les systèmes dont l'indisponibilité aurait les conséquences les plus importantes sur l'activité.
2. Renforcer la sécurité des identités
Les comptes utilisateurs constituent une porte d'entrée fréquente pour les cyberattaques.
L'authentification multifacteur, le contrôle des comptes disposant de privilèges élevés et la suppression des accès inutilisés permettent de réduire certains risques de compromission.
3. Protéger les postes de travail et les serveurs
La protection des équipements nécessite une combinaison de mesures techniques et organisationnelles.
Celles-ci peuvent comprendre les mises à jour de sécurité, les solutions de protection des terminaux, les mécanismes de détection des comportements suspects et la supervision des événements de sécurité.
4. Préparer la continuité d'activité
Une entreprise doit être capable de poursuivre ou de reprendre ses opérations essentielles après un incident majeur.
Cela implique de définir les priorités de reprise, d'organiser les sauvegardes et de tester régulièrement les procédures de restauration.
5. Clarifier les responsabilités internes
La gestion des risques numériques ne peut reposer exclusivement sur le service informatique.
La direction générale, les responsables métiers, les équipes techniques et les prestataires externes doivent connaître leurs rôles respectifs.
Ces cinq chantiers constituent des recommandations de gestion des risques. Ils ne doivent pas être présentés comme des obligations légales universelles applicables à toutes les entreprises.
Une stratégie nationale à l'horizon 2030
La cybersécurité s'inscrit dans une vision nationale plus large.
La Stratégie nationale de cybersécurité 2030, portée par la Direction générale de la sécurité des systèmes d'information (DGSSI), repose sur quatre piliers : la gouvernance, la sécurité et la résilience, le développement des capacités et la sensibilisation, ainsi que la coopération régionale et internationale.
Elle accorde une place importante à la protection des systèmes critiques, au développement des compétences et au renforcement des capacités nationales de réponse aux incidents.
Pour les entreprises marocaines, cette orientation confirme que la cybersécurité ne peut plus être considérée uniquement comme une question d'équipements informatiques.
Elle concerne également la gouvernance, les compétences, les processus métiers et la continuité des opérations.
La multiplication des services numériques, le développement du cloud et l'intégration croissante de l'intelligence artificielle dans les organisations renforcent l'importance de cette approche globale.
La cybersécurité devient une responsabilité de direction
La cybersécurité ne relève plus exclusivement des équipes informatiques.
Une interruption du système d'information peut affecter les ventes, la production, les relations clients ou les engagements contractuels d'une entreprise.
Les dirigeants ont donc intérêt à intégrer les risques numériques dans leurs décisions, au même titre que les risques financiers, opérationnels et juridiques.
À l'horizon 2027, l'enjeu pour les entreprises marocaines ne sera pas seulement de se protéger contre les cyberattaques, mais également de savoir identifier leurs obligations, mesurer leurs risques et démontrer leur capacité à maintenir leurs activités.
La question n'est plus uniquement de savoir si une entreprise dispose d'outils de sécurité, mais si elle est réellement préparée à faire face à un incident majeur.
Sources et références officielles
- Loi n° 05-20 relative à la cybersécurité - Bulletin officiel du Royaume du Maroc.
- Décret n° 2-21-406 du 15 juillet 2021, pris pour l'application de la loi 05-20
- Loi n° 09-08 relative à la protection des données à caractère personnel - Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).
- Stratégie nationale de cybersécurité 2030 - Direction générale de la sécurité des systèmes d'information (DGSSI).
