Loi 05-20 sur la cybersécurité au Maroc : obligations des entreprises et rôle de la DGSSI

La réponse courte : la loi n° 05-20 relative à la cybersécurité, promulguée le 25 juillet 2020 et complétée par le décret n° 2-21-406 du 15 juillet 2021, s’applique à trois catégories : les entités publiques (administrations, collectivités, établissements et entreprises publics), les infrastructures d’importance vitale désignées dans des secteurs comme la banque, l’énergie, les télécoms, la santé ou le transport, et les opérateurs (opérateurs télécoms, fournisseurs d’accès à internet, prestataires de services de cybersécurité, hébergeurs, fournisseurs cloud, plateformes internet). Une PME privée hors de ces catégories n’a pas d’obligation directe, sauf une : appliquer les directives de la DGSSI si son système sert, à son insu, à une attaque. Dans les faits, ses clients publics ou ses grands comptes lui imposent souvent les mêmes exigences par contrat.

Ce guide résume les textes publiés ; ce n’est pas un avis juridique.

Les textes de référence

Texte	Objet
Loi n° 05-20 relative à la cybersécurité (dahir n° 1-20-69 du 25 juillet 2020, Bulletin officiel n° 6906)	Règles de sécurité des systèmes d’information, gouvernance nationale, obligations et sanctions
Décret n° 2-21-406 du 15 juillet 2021	Désignation de la DGSSI, classification des systèmes, missions du RSSI, secteurs d’importance vitale, qualification des prestataires
Directive nationale de la sécurité des systèmes d’information (DNSSI)	Règles organisationnelles et techniques fixées par la DGSSI, publiées sur son site
Décret n° 2-24-921	Recours aux prestataires de services cloud par les entités et infrastructures d’importance vitale disposant de systèmes sensibles
Loi n° 09-08	Protection des données personnelles, sous l’autorité de la CNDP (texte distinct)

La loi est entrée en vigueur avec la publication de ses textes d’application. Ne la confondez pas avec la loi 09-08 : l’une protège les systèmes d’information, l’autre les données des personnes. Nous détaillons la seconde dans loi 09-08 et CNDP : les obligations des entreprises.

Qui est concerné par la loi 05-20 ?

Les entités publiques

La loi appelle « entité » les administrations de l’État, les collectivités territoriales, les établissements et entreprises publics et toute autre personne morale de droit public. Ce sont elles qui portent le socle d’obligations le plus large.

Les infrastructures d’importance vitale

Ce sont les installations et systèmes indispensables aux fonctions vitales de la société, de la santé, de la sécurité ou de l’économie. L’annexe du décret liste les secteurs concernés : sécurité publique, affaires étrangères, finances, législation, agriculture, santé, industrie, commerce et économie numérique, communication audiovisuelle, énergie, mines, transports, eau, secteur bancaire, télécommunications, assurances et prévoyance sociale.

Les infrastructures elles-mêmes sont désignées par l’autorité qui coordonne chaque secteur (par exemple Bank Al-Maghrib pour la banque, l’ANRT pour les télécoms), après avis de la DGSSI. Cette liste est tenue secrète : une entreprise sait qu’elle est concernée parce qu’elle est notifiée, pas en consultant une liste publique. Une infrastructure vitale peut être une société privée.

Les opérateurs

Le troisième groupe rassemble les exploitants de réseaux publics de télécommunications, les fournisseurs d’accès à internet, les prestataires de services de cybersécurité, les prestataires de services numériques et les éditeurs de plateformes internet. La loi range explicitement parmi les prestataires de services numériques les hébergeurs (datacenters) et les fournisseurs de cloud, ainsi que les places de marché et les moteurs de recherche.

Et une PME classique ?

Un cabinet, un distributeur, une agence ou une PME industrielle qui n’entre dans aucune de ces catégories n’est pas soumis aux obligations des chapitres consacrés aux entités ou aux infrastructures vitales. Trois situations changent cependant la donne :

1. Vous êtes sous-traitant d’une administration, d’une banque, d’un assureur ou d’un opérateur : le contrat reprend souvent la politique de sécurité, les audits, la déclaration d’incidents et l’hébergement au Maroc.
2. Vous hébergez ou exploitez un service numérique pour des tiers : vous pouvez entrer dans la catégorie des prestataires de services numériques.
3. Votre système est compromis et sert de relais à une attaque : l’article 50 prévoit une amende si vous n’appliquez pas les directives de la DGSSI après en avoir été informé.

Les obligations des entités publiques

Les articles 3 à 13 de la loi fixent un socle qui ressemble beaucoup à une démarche de sécurité classique :

Obligation	Article
Se conformer aux directives et référentiels de la DGSSI	3
Adopter une politique de sécurité des systèmes d’information, analyser les risques, auditer régulièrement	4
Auditer la sécurité de tout système offrant des services numériques à des tiers avant sa mise en service	4
Classifier les actifs informationnels et les systèmes, définir des habilitations	5
Désigner un responsable de la sécurité des systèmes d’information (RSSI) indépendant	6
Mettre en place des moyens de supervision et de détection	7
Déclarer les incidents à la DGSSI dès qu’ils sont connus	8
Préparer et tester régulièrement un plan de continuité ou de reprise d’activité	9
Faire respecter les règles de la DGSSI par le prestataire en cas d’externalisation d’un système sensible	10
Héberger les données sensibles exclusivement au Maroc	11
Encadrer l’externalisation d’un système sensible par un contrat de droit marocain (protection, auditabilité, réversibilité, niveaux de service)	12

Le plan de continuité est souvent le point le plus faible : nous expliquons la différence entre les deux plans dans PCA et PRA : quelle différence.

Les obligations supplémentaires des infrastructures d’importance vitale

Les infrastructures vitales appliquent tout le socle ci-dessus, et en plus :

• Établir la liste de leurs systèmes d’information sensibles à partir d’une analyse de risques et la transmettre à la DGSSI, qui peut demander des corrections (articles 17 et 18).
• Homologuer chaque système sensible avant sa mise en exploitation, selon le guide de la DGSSI : le responsable atteste connaître les mesures en place et accepte les risques résiduels (article 19).
• Se soumettre aux audits demandés par la DGSSI, réalisés par elle ou par des prestataires d’audit qualifiés, puis transmettre un plan d’actions de correction (articles 20 à 24).
• Recourir à des prestataires qualifiés par la DGSSI quand elles externalisent leurs services de cybersécurité, et utiliser les produits ou solutions définis par l’autorité (article 25).

Le décret ajoute que le rapport d’audit et ses pièces sont conservés au moins trois ans par l’organisme audité.

Les obligations des opérateurs, hébergeurs et fournisseurs cloud

Les opérateurs visés par la loi doivent notamment :

• Conserver les données techniques utiles à l’analyse d’un incident (journaux de connexion, traces des systèmes et des produits de sécurité) ; la loi fixe cette durée à un an, modifiable par voie réglementaire (article 26).
• Informer leurs clients des vulnérabilités ou atteintes qui pourraient les toucher (article 27).
• Prévenir la DGSSI sans délai lorsqu’ils détectent un événement menaçant leurs clients (article 30).
• Pour les prestataires de services numériques, gérer leurs risques pour garantir la continuité de service et déclarer les incidents ayant un impact significatif (articles 32 et 33). La DGSSI peut les contrôler (article 34).

Pour une entreprise cliente, votre hébergeur, votre opérateur et votre fournisseur cloud ont donc des devoirs d’information envers vous : demandez où sont hébergées vos données. Nous comparons les options locales dans héberger ses serveurs et sauvegardes en datacenter au Maroc.

La classification des systèmes selon le décret 2-21-406

Le décret donne une méthode précise, utile même hors obligation. On analyse l’impact qu’aurait un incident touchant la confidentialité, l’intégrité ou la disponibilité de chaque actif, sur une échelle à quatre niveaux : très grave, grave, modéré, limité.

Classe du système	Règle	Sensible ?
Classe A	Au moins un incident possible à impact très grave	Oui
Classe B	Impact au maximum grave	Oui
Classe C	Impact au maximum modéré	Non
Classe D	Impact au maximum limité	Non

Les données sont classées de leur côté selon la confidentialité : « Très secret », « Secret », « Confidentiel », « Diffusion restreinte ». Les deux premiers niveaux constituent les données sensibles, qui doivent rester au Maroc. La classification doit être revue au moins tous les trois ans et à chaque changement important.

Le décret détaille aussi les missions du RSSI : analyse des risques, politique de sécurité et plan d’actions, suivi des incidents, compte rendu à la direction, sensibilisation du personnel.

Le rôle de la DGSSI

La Direction générale de la sécurité des systèmes d’information est l’autorité nationale désignée par le décret. Ses missions, fixées par l’article 38 de la loi, comprennent :

• publier la directive nationale de la sécurité des systèmes d’information et les référentiels (classification, homologation, gestion des incidents, externalisation) ;
• qualifier les prestataires d’audit et les prestataires de services de cybersécurité, et publier leur liste ;
• mener ou faire mener les audits des systèmes sensibles ;
• assurer la veille, la détection et l’alerte, notamment au travers de maCERT, son centre de réponse aux incidents ;
• publier des conseils d’hygiène numérique pour le secteur privé et les particuliers.

Pour une PME, le site de la DGSSI est surtout une source gratuite d’alertes et de bonnes pratiques, et maCERT un interlocuteur à connaître, comme le rappelle phishing en PME au Maroc : les arnaques à connaître.

Prestataires qualifiés : ce qu’il faut vérifier

Pour les infrastructures vitales, les audits réglementaires et les services de cybersécurité externalisés (détection, analyse et traitement des incidents) doivent être confiés à des prestataires qualifiés par la DGSSI. Le décret fixe les critères : société de droit marocain, structure dédiée, personnel qualifié, hébergement et exploitation des services de détection exclusivement au Maroc, et des conditions renforcées pour les systèmes de classe A. La qualification vaut trois ans au plus.

Si vous êtes une infrastructure vitale, vérifiez donc que votre prestataire figure sur la liste publiée par la DGSSI pour le domaine et la classe concernés. Si vous ne l’êtes pas, rien ne vous impose ce choix, mais les mêmes critères (hébergement au Maroc, méthode, contrat clair) restent une bonne grille. Notre guide audit de sécurité et test d’intrusion pour PME détaille le déroulé d’un audit.

Les sanctions prévues

Les articles 49 et 50 prévoient des amendes, doublées en cas de récidive, notamment pour :

• l’hébergement de données sensibles hors du territoire national ;
• la mise en exploitation d’un système sensible sans homologation ;
• le recours à un prestataire d’audit ou de cybersécurité non qualifié, et la fourniture de ces prestations sans qualification ;
• le défaut de déclaration des incidents ;
• l’obstruction aux audits ou aux contrôles ;
• le refus d’appliquer les directives de la DGSSI lorsqu’un système a servi, à l’insu de son propriétaire, à propager des programmes malveillants.

Ce dernier point est celui qui concerne le plus largement les entreprises privées : un poste infecté ou un serveur mal protégé qui sert de relais à une attaque engage votre responsabilité si vous ne réagissez pas une fois prévenu.

Ce qu’une PME a intérêt à faire, même sans obligation

La loi 05-20 décrit en réalité une démarche de sécurité raisonnable. Voici comment la transposer à une PME, avec des moyens proportionnés :

Exigence de la loi	Équivalent pragmatique en PME
Politique de sécurité et RSSI	Un responsable désigné en interne et une politique courte, validée par la direction
Classification	Inventaire des données et systèmes critiques, avec leur impact en cas d’arrêt ou de fuite
Supervision et détection	Pare-feu à jour, EDR sur les postes et serveurs, supervision 24/7
Déclaration d’incidents	Procédure écrite : qui prévenir, en interne, chez les clients, à maCERT
Continuité d’activité	Sauvegardes 3-2-1 avec copie immuable, restaurations testées, PRA écrit
Hébergement au Maroc	Choix éclairé de l’emplacement des données, surtout pour les clients publics
Contrat d’externalisation	Contrat avec niveaux de service, réversibilité et droit d’audit
Audits réguliers	Audit à intervalle fixé par la direction, et à chaque changement majeur

Pour la détection, voyez EDR managé et supervision 24/7 ; pour la sauvegarde, la règle 3-2-1 avec copie immuable ; pour l’identité, déployer la MFA en entreprise. Côté contrat, nos repères sont dans les clauses essentielles d’un contrat d’infogérance.

Comment nous accompagnons les entreprises

Chez ALLSAFE SOLUTIONS, nous aidons les PME et les organisations marocaines à bâtir ce socle : audit de l’existant, inventaire et classification pragmatique, rédaction de la politique de sécurité et des procédures d’incident, mise en place des protections et de la supervision. Nous travaillons avec des solutions dont nous sommes partenaires, comme Fortinet pour les pare-feu et Kaspersky pour la protection des postes, et avec Veeam pour la sauvegarde. Nos équipes supervisent les systèmes 24/7 et prennent en charge un incident critique en moins de 15 minutes. Pour un audit réglementaire d’un système sensible d’infrastructure vitale, nous vous orientons vers un prestataire figurant sur la liste de la DGSSI et préparons votre système en amont.

Retrouvez notre offre de cybersécurité au Maroc et notre service d’infogérance au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées avec un état des lieux et les priorités à traiter.