Il y a encore deux ans, la conformité réglementaire figurait quelque part en bas de la liste des priorités d'une DSI marocaine, loin derrière la disponibilité des serveurs ou le dernier projet de digitalisation. Un hôtel qui n'avait jamais déclaré son fichier client à la CNDP ne risquait pas grand-chose de plus qu'un rappel à l'ordre. Une PME qui hébergeait ses données sur un cloud américain sans trop se poser de questions ne se sentait pas concernée par la loi. Cette époque touche à sa fin, et beaucoup de responsables informatiques ne s'en sont pas encore rendu compte.
Deux lois, deux logiques, un même signal d'alarme
Le cadre qui encadre aujourd'hui le travail des DSI marocaines tient en deux textes. Leur logique n'est pas la même, mais elles convergent de plus en plus dans la pratique.
La loi 09-08 concerne la protection des données personnelles. Elle s'applique dès qu'une organisation traite des données identifiables : un fichier client dans un CRM, un dossier RH, une caméra de vidéosurveillance, une liste de prospects récupérée sur un salon. Beaucoup pensent encore qu'elle ne vise que les grands groupes ou les secteurs sensibles. Ce n'est pas ce que dit le texte. Toute entreprise qui opère au Maroc et traite des données de personnes physiques entre dans son champ, peu importe sa taille.
La loi 05-20, elle, s'adresse en priorité à un cercle plus restreint : administrations, établissements publics, infrastructures dites d'importance vitale, autrement dit l'énergie, l'eau, les transports, les banques, les télécoms. Une PME classique n'y est pas soumise directement. Mais si elle travaille comme prestataire pour l'une de ces entités, la contrainte finit souvent par redescendre par contrat.
La CNDP ne se contente plus de sensibiliser
C'est sans doute le changement le plus tangible de ces derniers mois. La CNDP existe depuis 2009 et impose depuis cette date une déclaration préalable pour tout traitement de données personnelles. Pendant longtemps, l'écrasante majorité des entreprises marocaines n'a jamais fait cette démarche, et l'autorité a joué la carte de la pédagogie plutôt que celle de la sanction.
Depuis 2025, le ton a changé. Des campagnes de contrôle sectoriel ont visé des hôtels, des universités, des entreprises pharmaceutiques, avec des mises en demeure à la clé. Les montants ne sont pas anecdotiques : entre 10 000 et 300 000 dirhams par infraction, ces amendes pouvant se cumuler, sans compter des peines de prison prévues pour les manquements les plus graves. Un détail que beaucoup de DSI ignorent encore : héberger des données sur AWS, Azure ou tout autre service situé hors du Maroc est en principe interdit par défaut, sauf autorisation spécifique de la CNDP ou destination vers un pays jugé adéquat.
Concrètement, cela veut dire qu'un responsable informatique ne peut plus se contenter de savoir où sont ses serveurs. Il doit pouvoir répondre, à tout moment, à des questions simples : quels traitements de données existent dans l'entreprise, où sont-ils hébergés, ont-ils été déclarés, et quelles mesures de sécurité les protègent.
La cybersécurité a désormais son manuel d'instructions
Du côté de la cybersécurité, c'est la DGSSI (Direction Générale de la Sécurité des Systèmes d'Information) qui pilote l'application de la loi 05-20. Son texte de référence technique, la DNSSI, a été mis à jour début 2023 et couvre onze domaines de sécurité différents, de la gestion des accès à la réponse aux incidents.
Pour les organismes qui y sont soumis, les règles sont précises : classer les systèmes selon leur sensibilité, obtenir une homologation avant de déployer les plus critiques, notifier tout incident au maCERT, et faire appel à des auditeurs qualifiés par la DGSSI elle-même, les fameux PASSI. Ignorer ces obligations peut coûter cher, jusqu'à l'emprisonnement dans les cas les plus graves d'atteinte à un système d'information.
Là encore, l'effet de ruissellement joue à plein. Les banques, les opérateurs télécoms et les administrations demandent de plus en plus à leurs prestataires de prouver un niveau de sécurité conforme à ce référentiel, même quand ces prestataires ne sont pas eux-mêmes des infrastructures d'importance vitale.
Un troisième front s'ouvre : la facturation électronique
À ces deux textes s'ajoute un chantier qui n'a rien de théorique : la généralisation progressive de la facturation électronique obligatoire. Ce n'est pas qu'une affaire de comptabilité. Adapter un ERP, sécuriser les flux de facturation, garantir la traçabilité des documents : tout cela retombe directement sur les épaules des équipes IT, qui découvrent souvent le sujet au dernier moment.
Ce que ça change pour une DSI qui veut avancer plutôt que subir
Les entreprises qui prennent ces sujets au sérieux avant d'y être forcées ont un temps d'avance. La conformité ne peut plus être un dossier qu'on sort une fois par an pour un audit ponctuel : elle doit vivre au même rythme que les projets IT eux-mêmes, avec une cartographie des traitements et des systèmes mise à jour en continu.
Cela suppose aussi de faire évoluer les compétences en interne. Un bon administrateur système ne suffit plus s'il ne comprend pas ce qu'implique juridiquement le choix d'un hébergeur ou d'une politique d'accès. Et pour les entreprises qui répondent à des appels d'offres publics ou travaillent avec des acteurs stratégiques, une conformité documentée à la loi 09-08 ou un audit signé par un PASSI qualifié devient un argument commercial à part entière, pas seulement une case à cocher.
La réglementation ne va pas ralentir. Elle va continuer à structurer, de plus en plus fermement, la façon dont les DSI marocaines conçoivent, hébergent et sécurisent leurs systèmes d'information. Les entreprises qui l'anticipent aujourd'hui n'auront pas à la subir demain.
Sources officielles
- CNDP, Commission Nationale de contrôle de la protection des Données à caractère Personnel : www.cndp.ma
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, dahir n° 1-09-15 du 18 février 2009 : www.cndp.ma
- DGSSI, Direction Générale de la Sécurité des Systèmes d'Information : www.dgssi.gov.ma
- Loi n° 05-20 relative à la cybersécurité et décret d'application n° 2-21-406 du 15 juillet 2021 : www.dgssi.gov.ma
- Directive Nationale de la Sécurité des Systèmes d'Information (DNSSI), mise à jour par la Circulaire du Chef du Gouvernement n° 2/2023 du 12 janvier 2023 : www.dgssi.gov.ma
