DNSSI de la DGSSI : ce que demande la directive nationale de sécurité des SI (version 2023)

La réponse courte : la DNSSI (directive nationale de la sécurité des systèmes d’information) est le référentiel de règles minimales de sécurité fixé par la DGSSI. Sa version actuelle, datée du 12 janvier 2023, s’applique aux administrations de l’État, aux établissements et entreprises publics, aux collectivités territoriales et à toutes les infrastructures d’importance vitale (IIV), publiques ou privées. Elle concerne aussi les prestataires et sous-traitants qui interviennent sur leurs systèmes. Elle couvre 14 domaines, de la politique de sécurité à la continuité d’activité, et demande un calendrier de mise en conformité puis un bilan annuel.

Ce guide résume ce que le texte exige vraiment, règle par règle pour les plus structurantes, et propose une méthode de mise en conformité. Toutes les obligations citées proviennent du texte publié par la DGSSI sur dgssi.gov.ma ; nous n’ajoutons aucun chiffre qui n’y figure pas. Chez ALLSAFE SOLUTIONS, nous accompagnons cette démarche dans le cadre de notre offre de cybersécurité des entreprises au Maroc.

La DNSSI en bref : origine et place dans le cadre légal

Repère	Ce que dit la source officielle
Première version	Mise en application le 10 mars 2014 par la circulaire n° 3/2014 du Chef du Gouvernement
Version en vigueur	Mise à jour par la DGSSI, document daté du 12 janvier 2023 (circulaire n° 2/2023)
Base juridique	Loi n° 05-20 relative à la cybersécurité et article 9 du décret n° 2-21-406
Inspiration	La version 2014 s’appuyait sur la norme marocaine NM ISO/CEI 27002:2009
Structure	14 chapitres et 31 objectifs de sécurité, déclinés en règles codifiées
Outil de suivi	Outil d’évaluation de la conformité publié par la DGSSI (fichier tableur)

La DNSSI ne remplace pas la loi : elle la rend opérationnelle. La loi 05-20 sur la cybersécurité fixe les obligations générales (RSSI, déclaration d’incidents, classification, audits des systèmes sensibles) ; la DNSSI traduit ces obligations en règles concrètes, organisationnelles et techniques. Le préambule le dit sans détour : ce socle « ne devra pas être considéré comme suffisant », et chaque organisation doit aussi s’appuyer sur les guides et référentiels de la DGSSI.

Qui est concerné, y compris dans le privé

Le texte de 2023 vise deux catégories :

• les « entités » au sens de la loi 05-20 : administrations de l’État, collectivités territoriales, établissements et entreprises publics, autres personnes morales de droit public ;
• les infrastructures d’importance vitale, qu’elles soient publiques ou privées.

Le point qui intéresse directement les PME est ailleurs. La directive « concerne l’ensemble des personnes physiques ou morales intervenant dans les SI des entités et des IIV », agents comme tiers, prestataires ou sous-traitants, et leurs employés. Un éditeur de logiciel, un infogérant, un intégrateur réseau ou un fournisseur de téléphonie qui travaille pour un établissement public ou une IIV se retrouve donc tenu, par contrat, de respecter la politique de sécurité de son client. Le chapitre « Relations avec les fournisseurs » prévoit d’ailleurs des clauses de sécurité, de niveaux de service, d’auditabilité et de réversibilité.

Pour une entreprise privée qui n’entre dans aucune de ces catégories, la DNSSI reste un excellent référentiel gratuit, en français, adapté au contexte marocain. C’est souvent un meilleur point de départ qu’un catalogue de mesures étranger.

Les 14 chapitres de la directive

Chapitre	Exemples de règles (codes du texte)
Politique de sécurité des SI	Analyse de risques (POL-RISQUE), politique validée par la direction (POL-FORMEL), plan d’actions, tableau de bord
Organisation de la sécurité	Gouvernance, désignation du RSSI, rôles et séparation des tâches, télétravail sécurisé
Sécurité des ressources humaines	Vérifications à l’embauche pour les postes sensibles, formation régulière, gestion des départs
Gestion des actifs informationnels	Inventaire, propriétaires, charte d’utilisation, cartographie, classification, supports amovibles, postes nomades
Contrôle d’accès	Comptes nominatifs, matrice d’habilitations, revue annuelle des droits, comptes à privilège, mots de passe
Cryptographie	Politique d’usage, gestion des clés sur tout leur cycle de vie
Sécurité physique et environnementale	Zones, contrôle d’accès, vidéoprotection, incendie, câblage, onduleurs, climatisation
Sécurité liée à l’exploitation	Changements, antivirus, sauvegardes, journalisation, durcissement, vulnérabilités, correctifs
Sécurité des communications	Cloisonnement, filtrage, accès distants chiffrés, Wi-Fi, messagerie
Acquisition, développement et maintenance	Sécurité dans les projets, développement sécurisé, tests, protection des données de test
Relations avec les fournisseurs	Risques, politique, exigences contractuelles, surveillance des prestations
Gestion des incidents de cybersécurité	Procédures, catégorisation, signalement, réponse, alertes maCERT, preuves
Continuité de l’activité	Analyse d’impact, PCA/PRA, tests annuels, exercices de crise
Conformité	Législation applicable, loi 05-20, licences, loi 09-08, cryptographie, audits réguliers

Les règles qui demandent le plus de travail

Sur le terrain, ce ne sont pas les politiques écrites qui posent problème, mais les règles techniques qui supposent des outils et une exploitation suivie. Voici celles que nous voyons le plus souvent en écart.

Journalisation centralisée et conservée

La règle EXP-JOURN/SURV-JOURNAL demande d’identifier les journaux à collecter (serveurs, équipements de sécurité et réseau, applications, postes), de les centraliser, de les protéger contre la falsification et de les conserver au moins six mois. Les interventions de maintenance doivent être tracées et conservées au moins trois mois. Les horloges doivent être synchronisées sur un service NTP de confiance, et la règle de centralisation renvoie aux moyens de supervision et de détection prévus par la loi 05-20. Concrètement, cela suppose un collecteur ou un SIEM adapté à une PME, et quelqu’un qui lit les alertes.

Comptes nominatifs, habilitations et privilèges

Chaque utilisateur doit avoir un identifiant unique, les comptes des partants doivent être supprimés ou bloqués immédiatement, et une matrice d’habilitations doit décrire les droits de chacun. Les droits sont revus au moins une fois par an. Les comptes génériques ne sont tolérés que s’ils sont approuvés, documentés et inventoriés. Les actions des administrateurs doivent être tracées, ce qui exclut le compte « admin » partagé. Pour les accès sensibles, le texte cite l’authentification forte parmi les mécanismes attendus : voir notre guide de déploiement de la MFA.

Vulnérabilités et correctifs

La DNSSI demande une procédure de gestion des vulnérabilités fondée sur l’inventaire, avec rôles, délais d’intervention et modalités de correction, et précise que les vulnérabilités jugées critiques doivent être portées à la connaissance de la DGSSI. Une politique de correctifs adaptée à chaque système complète le dispositif, ainsi que le durcissement des configurations (mots de passe et certificats par défaut changés, services inutiles fermés). Notre méthode est détaillée dans le guide sur la gestion des correctifs en entreprise.

Sauvegardes chiffrées, testées et éloignées

Pour chaque système, la procédure de sauvegarde précise la nature, la fréquence et le support, et les données sensibles sont sauvegardées chiffrées. Les restaurations sont testées régulièrement selon une procédure documentée, et les supports sont placés dans une armoire ignifuge ou externalisés sur un site suffisamment distant. C’est exactement la logique de la sauvegarde 3-2-1 immuable.

Réseau cloisonné et accès distants maîtrisés

Le réseau doit être découpé en zones (publique, utilisateurs, serveurs…) avec un filtrage strict et documenté entre elles. Seuls les équipements autorisés peuvent se connecter au réseau interne. Les accès distants passent par des tunnels chiffrés et une authentification adaptée, et le Wi-Fi est cloisonné derrière une passerelle qui trace les accès. C’est le travail d’un pare-feu bien configuré, comme ceux de notre activité d’intégrateur Fortinet au Maroc.

Incidents et alertes maCERT

Les procédures doivent couvrir tous les types d’incidents, les classer selon leur impact, garantir le signalement aux autorités compétentes et organiser la réponse. Quand une alerte vient du maCERT de la DGSSI, l’entité concernée accuse réception puis, si elle est impactée, transmet un compte rendu d’exécution. Un répertoire d’incidents et une procédure de recueil des preuves complètent le chapitre. Notre plan de réponse à incident pour la première heure en donne une trame.

Continuité d’activité

La DNSSI demande une analyse d’impact sur l’activité (BIA), un PCA/PRA qui décrit les rôles de chacun, un plan de test technique annuel et des exercices de crise réguliers. La différence entre les deux plans est expliquée dans notre article PCA ou PRA.

Calendrier et bilan : comment se mettre en conformité

Le texte fixe la méthode : un calendrier de mise en conformité, établi au plus tard six mois après la publication, qui distingue mesures immédiates, à court terme et à moyen terme ; puis un bilan annuel dressé avec l’outil d’évaluation de la DGSSI, transmis à sa demande. La conformité est aussi vérifiée lors des audits menés par la DGSSI ou par des auditeurs qu’elle a qualifiés.

Voici l’ordre que nous suivons avec une organisation qui démarre :

Étape	Livrable	Règles DNSSI couvertes
1. Cadrage	Périmètre, RSSI désigné, gouvernance	ORG-INTER-GOUV, ORG-INTER-RSSI
2. Inventaire et cartographie	Liste des actifs (numéros de série, licences, versions), schéma réseau	ACTIF-RESP-INV, ACTIF-RESP-CARTO
3. Classification et risques	Classement des actifs, analyse de risques	ACTIF-CLASSIF-INFO, POL-RISQUE
4. Auto-évaluation	Outil d’évaluation DGSSI rempli, écarts listés	Ensemble de la directive
5. Mesures immédiates	Comptes nominatifs, MFA, sauvegardes testées, correctifs critiques	Contrôle d’accès, exploitation
6. Mesures à court et moyen terme	Journalisation centralisée, cloisonnement, PCA/PRA, contrats fournisseurs	Exploitation, communications, continuité, fournisseurs
7. Suivi	Tableau de bord, bilan annuel, audits réguliers	POL-TDB, CONF-REVU-SSI

Deux conseils issus du texte lui-même. D’abord, les écarts sont admis s’ils sont « dûment motivés et justifiés » : documentez chaque exception plutôt que de la taire. Ensuite, la DNSSI renvoie vers d’autres textes que vous devez traiter en parallèle, notamment la loi 09-08 et la CNDP pour les données personnelles, et une charte informatique signée par les utilisateurs, que la règle ACTIF-RESP-CHARTE rend obligatoire.

DNSSI, ISO 27001 et audit : comment les articuler

Les trois démarches se complètent :

• la DNSSI fixe les règles minimales attendues au Maroc pour son champ d’application ;
• l’ISO 27001 apporte un système de management et une certification reconnue par les clients et partenaires étrangers (voir ISO 27001 pour PME au Maroc) ;
• l’audit mesure l’écart réel, techniquement, et alimente le plan d’actions (voir audit de sécurité et test d’intrusion).

Une organisation qui sert le secteur public ou une IIV a intérêt à cartographier ses mesures une seule fois et à les rattacher aux deux référentiels, plutôt que de mener deux projets séparés.

Ce qu’ALLSAFE SOLUTIONS peut prendre en charge

En tant qu’infogérant basé à Casablanca, nous intervenons surtout sur la partie technique et l’exploitation, celle qui demande un suivi continu : inventaire et cartographie, durcissement, comptes et MFA, pare-feu et cloisonnement, sauvegardes testées, journalisation et supervision 24/7, gestion des correctifs, traitement des alertes. Nous préparons aussi les éléments que vous fournirez à vos clients publics ou IIV lorsqu’ils vous demandent de prouver votre conformité en tant que prestataire. Avec un contrat d’infogérance au Maroc, les incidents critiques sont pris en charge en moins de 15 minutes.

Pour savoir où vous en êtes par rapport à la DNSSI, commencez par un état des lieux : nous vous proposons un audit initial offert, avec une réponse sous 24 h ouvrées. Contactez-nous.