NIS2 et sous-traitants marocains : ce qui change avec vos clients européens

La réponse courte : dans la plupart des cas, la directive européenne NIS2 ne s’applique pas directement à une entreprise marocaine. Ce qui change, c’est votre contrat. Vos clients européens concernés ont l’obligation de sécuriser leur chaîne d’approvisionnement, et ils le font en vous transmettant leurs exigences : questionnaires, clauses d’incident, preuves à fournir, parfois audits. Pour un sous-traitant, l’enjeu est donc très concret : pouvoir répondre sans bloquer le contrat. Un cas demande un examen à part, celui du prestataire IT, cloud ou de sécurité, de taille moyenne ou plus, qui offre lui-même ses services dans l’Union.

Cet article s’adresse aux dirigeants et responsables informatiques de centres d’appels, sociétés de développement, cabinets, industriels et prestataires qui travaillent pour l’Europe. Il s’appuie sur le texte de la directive (UE) 2022/2555 et sur les publications de la Commission européenne. Il ne remplace pas l’avis d’un juriste pour votre contrat, surtout que chaque État membre applique la directive par sa propre loi.

NIS2 en bref : qui est visé

NIS2 renforce la cybersécurité d’organisations jugées importantes pour l’économie et la société européennes. Elle s’applique (article 2) aux entités d’un type figurant dans ses annexes I et II, qui sont au moins de taille moyenne et qui fournissent leurs services dans l’Union. Certaines entités sont visées quelle que soit leur taille, par exemple les fournisseurs de réseaux ou services de communications électroniques publics et les fournisseurs de services DNS.

La taille moyenne renvoie à la recommandation européenne 2003/361/CE : est au moins moyenne une entreprise qui n’entre pas dans la catégorie « petite », soit à partir de 50 personnes, ou au-delà de 10 millions d’euros à la fois de chiffre d’affaires et de total de bilan. Les entreprises liées et partenaires entrent dans le calcul.

La directive distingue ensuite les entités essentielles et les entités importantes (article 3). Pour les manquements aux articles 21 et 23, les États doivent prévoir un plafond d’amende d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les premières, et d’au moins 7 millions d’euros ou 1,4 % pour les secondes, le montant le plus élevé étant retenu (article 34). Les organes de direction doivent approuver les mesures, en superviser l’application et peuvent être tenus responsables (article 20). C’est ce qui explique la fermeté récente de certains donneurs d’ordres.

Êtes-vous directement concerné ? Les cas fréquents

Votre situation	Soumis directement ?	Ce que vous devez faire
PME marocaine sans établissement dans l’Union, qui travaille pour un client européen (centre d’appels, développement, comptabilité, production)	En général non	Répondre aux exigences contractuelles du client
Infogérant, fournisseur de services de sécurité gérés, cloud ou centre de données non établi dans l’Union, de taille moyenne ou plus, qui offre ses services dans l’Union	Possible, à examiner	Faire analyser le cas, et désigner un représentant s’il est confirmé (article 26, paragraphe 3)
Entreprise marocaine avec un établissement dans un État membre	L’établissement peut l’être	Vérifier le secteur et la taille selon la loi de cet État
Filiale marocaine d’un groupe européen	Pas forcément en propre	Attendre la politique du groupe, souvent imposée à toutes ses filiales
PME en dessous du seuil, sans client européen concerné	Non	Appliquer les bonnes pratiques, utiles dans tous les cas

Le cas des prestataires informatiques mérite une précision. La directive définit le fournisseur de services gérés comme celui qui assure l’installation, la gestion, l’exploitation ou la maintenance de produits, réseaux, infrastructures ou applications, sur place ou à distance (article 6, point 39). Le fournisseur de services de sécurité gérés est celui qui assiste en plus la gestion des risques de cybersécurité (point 40). Si un tel prestataire n’est pas établi dans l’Union mais y offre ses services, il doit désigner un représentant dans l’un des États membres où il les offre. Sans représentant, tout État où il fournit ses services peut agir contre lui.

Pourquoi votre client vous transmet ses obligations

L’article 21 de NIS2 impose dix familles de mesures, dont la gestion des incidents, la continuité d’activité, la sauvegarde, le contrôle d’accès, le chiffrement et l’authentification multifacteur. Le point d) vise « la sécurité de la chaîne d’approvisionnement », y compris les relations avec les fournisseurs et prestataires directs.

Le paragraphe 3 de l’article précise ce que votre client doit regarder chez vous : vos vulnérabilités propres, la qualité globale de vos produits et de vos pratiques de cybersécurité, y compris vos procédures de développement sécurisé. Il doit aussi tenir compte des évaluations coordonnées des chaînes d’approvisionnement critiques menées au niveau européen (article 22).

Pour ce client, vous êtes donc un risque à évaluer, documenter et encadrer, que vous soyez à Casablanca ou à Lyon. La directive ne fait pas de distinction selon le pays du fournisseur dans cet article, et vise les relations directes. En pratique, le client vous demandera souvent d’imposer des exigences équivalentes à vos propres sous-traitants.

Les fournisseurs de services numériques (cloud, centres de données, services gérés, entre autres) sont soumis à un texte plus détaillé, le règlement d’exécution (UE) 2024/2690. Son annexe, en section 5, traite la politique de sécurité de la chaîne d’approvisionnement. Elle prévoit notamment, dans les contrats et lorsque c’est approprié, les exigences de sécurité, la notification des incidents, les règles sur la sous-traitance et le sort des informations en fin de contrat. Si votre client est de ce type, attendez-vous à des demandes particulièrement précises.

Ce que vous allez recevoir : questionnaires et clauses

Demande du client	Ce qu’il attend	Comment vous préparer
Questionnaire de sécurité	Description de vos mesures, souvent avec des pièces jointes	Tenir un dossier unique à jour, avec des réponses vraies et vérifiables
Clause d’incident	Vous engager à prévenir le client dans un délai donné	Désigner un contact, écrire la procédure, tester qu’elle marche hors des heures de bureau
Référence de sécurité	Respect d’une norme ou d’une politique annexée au contrat	Comparer ce référentiel à votre existant avant de signer
Transparence sur la sous-traitance	Liste de vos sous-traitants importants	Tenir cette liste, et informer le client de tout changement
Droit d’audit ou de preuve	Audit chez vous, ou rapport fourni, selon le risque	Négocier le périmètre et préparer les preuves à l’avance
Sortie de contrat	Restitution ou destruction des données et accès coupés	Écrire la procédure de fin de mission et la conserver
Résiliation pour motif de sécurité	Droit de rompre en cas de manquement grave	Faire relire le contrat, comprendre ce qui déclenche la rupture

Ces clauses ne sont pas une liste unique imposée par la directive : chaque client les rédige selon son secteur et son pays. Pour la forme générale d’un engagement de service, nos repères sont dans les clauses essentielles d’un contrat d’infogérance.

Le point le plus sensible : le délai d’alerte

L’article 23 impose à l’entité NIS2 une alerte précoce sous 24 heures après avoir eu connaissance d’un incident important, une notification sous 72 heures, puis un rapport final au plus tard un mois après cette notification.

Si l’incident part de chez vous, le client ne peut tenir ces délais que si vous le prévenez très vite. Une clause mal préparée vous expose donc à une faute contractuelle. Trois questions à vous poser avant de signer :

1. Qui détecte ? Sans journalisation ni supervision, un incident peut rester invisible longtemps. Voyez l’EDR managé et la supervision 24/7.
2. Qui décide et qui appelle le client ? Un nom, un remplaçant et un numéro, y compris la nuit et le week-end. Notre plan de réponse à incident donne la marche à suivre.
3. Le délai promis est-il réaliste ? Il est écrit dans votre contrat, pas dans la directive. Ne signez pas un engagement que votre organisation ne peut pas tenir.

Où en est la transposition en Europe

NIS2 devait être transposée au plus tard le 17 octobre 2024. Votre obligation dépend donc aussi du pays du client :

• Procédure contre quatre États : le 8 juillet 2026, la Commission européenne a annoncé saisir la Cour de justice de l’Union européenne contre l’Irlande, l’Espagne, la France et les Pays-Bas, faute de notification d’une transposition complète.
• France : le projet de loi dit « Résilience » a été adopté par le Sénat le 12 mars 2025. Début novembre 2026, il n’était pas encore voté par l’Assemblée nationale et aucune date ferme n’était connue.
• Belgique et Italie : la Commission les indique comme ayant transposé la directive sur ses pages par pays, datées de juillet 2025.

Ce retard ne vous met pas à l’abri. Beaucoup de groupes européens préparent déjà leurs fournisseurs, et un contrat peut prévoir ces exigences avant même le vote d’une loi nationale. Demandez à votre client quel texte national il applique : la réponse change le vocabulaire et les délais du contrat.

NIS2, RGPD, loi 05-20 : ne confondez pas

Texte	Ce qu’il protège	Ce qu’il change pour vous
NIS2	Sécurité des réseaux et systèmes d’information	Exigences transmises par contrat, sauf cas d’application directe
RGPD	Données personnelles	Contrat de sous-traitance et clauses de transfert, voir le RGPD pour une entreprise marocaine
Loi 09-08 et CNDP	Données personnelles au Maroc	Déclarations et transferts, voir le transfert de données hors du Maroc
Loi 05-20 et DGSSI	Cybersécurité au Maroc	Obligations selon votre statut, voir notre guide de la loi 05-20

Si votre client est une banque ou un assureur européen, vérifiez aussi le règlement DORA, un texte distinct propre au secteur financier, qui lui impose ses propres exigences envers ses prestataires informatiques.

Le plan de préparation pour une PME marocaine

1. Listez vos clients européens et leur secteur, puis demandez-leur s’ils sont concernés par NIS2 et selon quel droit national.
2. Faites analyser votre cas si vous êtes prestataire informatique, cloud ou de sécurité et de taille moyenne ou plus.
3. Relisez vos contrats : délais d’alerte, audits, sous-traitance, sortie, résiliation.
4. Mesurez vos écarts avec un audit de sécurité et un test d’intrusion, pour répondre sur des faits.
5. Corrigez d’abord les fondamentaux cités par l’article 21 : MFA sur tous les comptes, comptes d’administration séparés, correctifs, chiffrement, sauvegarde 3-2-1 avec copie immuable, restauration testée.
6. Écrivez le minimum : politique de sécurité, gestion des incidents, inventaire, liste des sous-traitants, procédure de fin de contrat.
7. Constituez un dossier de preuves réutilisable : rapports d’audit, résultats de tests, procédures, formations.
8. Envisagez ISO 27001 si plusieurs clients vous la demandent, sur un périmètre réaliste : lisez ISO 27001 pour une PME au Maroc.

Les erreurs à éviter

• Répondre « oui » à tout dans le questionnaire : vos réponses peuvent devenir des engagements, et une fausse déclaration se paie au premier incident.
• Signer une clause d’alerte sans personne de garde pour l’appliquer.
• Oublier vos propres sous-traitants : hébergeur, éditeur, freelance avec un accès.
• Laisser le sujet au seul service informatique, alors que contrats, direction et ressources humaines sont concernés.
• Tout attendre d’un outil : un logiciel ne remplace ni la procédure ni la preuve.

Sources consultées

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 20 à 23, 26, 34 et 41.
• Règlement d’exécution (UE) 2024/2690, annexe, section 5.
• Commission européenne, saisine de la Cour de justice du 8 juillet 2026.
• Commission européenne, état de la transposition de NIS2.

Comment nous vous accompagnons

Chez ALLSAFE SOLUTIONS, nous aidons les entreprises marocaines qui travaillent pour l’Europe à répondre aux exigences de leurs clients : état des lieux technique, réponses factuelles aux questionnaires, mise en place de la MFA, de la sauvegarde et de la détection, procédures d’incident. Nos équipes supervisent les systèmes 24/7 et prennent en charge un incident critique en moins de 15 minutes, ce qui aide à tenir un engagement d’alerte. Pour la lecture juridique du contrat, nous travaillons aux côtés de votre conseil.

Retrouvez notre offre de cybersécurité des entreprises au Maroc et notre service d’infogérance au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées avec un état des lieux et les priorités à traiter avant votre prochain questionnaire client.