Le décret n° 2-24-921 impose aux entités et aux infrastructures d'importance vitale de recourir à des prestataires cloud qualifiés pour leurs systèmes et données sensibles. Pour celles déjà dans le cloud, la mise en conformité doit intervenir au plus tard le 21 août 2027.
Référence du texte
- Décret n° 2-24-921 du 18 rabii II 1446 (22 octobre 2024) relatif au recours aux prestataires de services Cloud par les entités et les infrastructures d'importance vitale disposant de systèmes d'information ou de données sensibles.
- Publication : Bulletin officiel n° 7380 du 20 février 2025, page 301.
- Texte d'application : arrêté du Chef du gouvernement n° 3-17-25 du 7 safar 1447 (1er août 2025) fixant le référentiel des exigences de qualification des prestataires de services Cloud, publié au Bulletin officiel n° 7432 du 21 août 2025.
Ce que prévoit le décret cloud 2-24-921
Le texte s'inscrit dans le cadre de la loi n° 05-20 relative à la cybersécurité. Il vise les entités et les infrastructures d'importance vitale (IIV) qui disposent de systèmes d'information sensibles ou de données sensibles.
Son article 2 pose le principe : lorsqu'elles recourent au cloud pour ces systèmes ou ces données, elles doivent passer par un prestataire de services cloud qualifié. La qualification est délivrée par l'autorité nationale de la cybersécurité, la Direction générale de la sécurité des systèmes d'information (DGSSI), pour une durée maximale de cinq ans. Le renouvellement doit être demandé au moins six mois avant l'expiration.
Deux niveaux de qualification
Niveau 1, pour les systèmes d'information sensibles (article 4). Le prestataire doit notamment :
- être une société anonyme ou une société à responsabilité limitée de droit marocain ;
- disposer de l'expertise, des ressources et des moyens nécessaires ;
- exploiter une plateforme technique automatisée ;
- héberger son infrastructure sur le territoire national ;
- respecter le référentiel fixé par l'arrêté n° 3-17-25.
Niveau 2, pour les données sensibles (article 5). Aux exigences du niveau 1 s'ajoutent notamment :
- un capital majoritairement détenu par des associés marocains ;
- un traitement et un stockage des données exclusivement au Maroc ;
- une gestion et une supervision assurées exclusivement depuis le Maroc ;
- des garanties empêchant d'autres sociétés d'accéder aux données ;
- un personnel marocain répondant à des conditions de moralité et d'intégrité.
Le décret prévoit aussi la mise en demeure, la suspension et le retrait de la qualification. En cas de retrait, le prestataire doit restituer les données et certifier leur suppression.
Entrée en vigueur et échéance du 21 août 2027
Selon son article 19, le décret entre en vigueur à la date de publication au Bulletin officiel de l'arrêté prévu à son article 4. Cet arrêté, le n° 3-17-25, a été publié au Bulletin officiel n° 7432 du 21 août 2025. Le décret est donc en vigueur depuis cette date.
L'article 18 accorde un délai maximum de 24 mois aux entités et IIV qui utilisaient déjà des services cloud pour des systèmes ou des données sensibles à cette date. Selon le calcul de LADSI, ce délai expire le 21 août 2027, soit dans un peu plus de dix mois.
Ce que les DSI concernés doivent vérifier maintenant
Pour les directions des systèmes d'information (DSI) des organismes concernés, plusieurs chantiers découlent du texte :
- Le périmètre. Confirmer si l'organisme relève des entités ou des IIV au sens de la loi n° 05-20, et lesquels de ses systèmes et données sont classés sensibles.
- L'inventaire. Recenser chaque service cloud qui héberge ces systèmes ou ces données, et le niveau de qualification requis pour chacun.
- Le prestataire. Demander à chaque fournisseur s'il est qualifié, à quel niveau et jusqu'à quelle date.
- Les contrats. Prévoir la restitution des données et l'attestation de suppression en cas de suspension ou de retrait de la qualification.
- Le calendrier. Planifier les éventuelles migrations pour qu'elles soient achevées avant le 21 août 2027.
Cet article présente le contenu du texte et ne constitue pas un avis juridique. Les organismes concernés peuvent se rapprocher de la DGSSI pour toute question d'interprétation.
Sources
- Décret n° 2-24-921 du 22 octobre 2024, Bulletin officiel n° 7380 du 20 février 2025 (texte diffusé par l'ANRT).
- Arrêté du Chef du gouvernement n° 3-17-25 du 1er août 2025, Bulletin officiel n° 7432 du 21 août 2025 (Secrétariat général du gouvernement).
- DGSSI, communiqués sur l'adoption du décret et la publication de l'arrêté.
