Loi 05-20 sur la cybersécurité au Maroc : qui est concerné et quelles obligations ?

Une loi pour les systèmes qui font fonctionner le pays

La loi n° 05-20 relative à la cybersécurité, promulguée en juillet 2020 et précisée par un décret d'application en 2021, fixe le cadre de protection des systèmes d'information au Maroc. Elle confie à l'autorité nationale de la cybersécurité, la DGSSI (Direction générale de la sécurité des systèmes d'information), un rôle de pilotage, de contrôle et d'appui.

Cet article en présente les grandes lignes pour un responsable informatique ou un dirigeant. Il ne remplace pas une lecture des textes ni l'avis d'un juriste.

Qui est concerné ?

La loi vise d'abord des catégories précises :

• Les entités publiques : administrations de l'État, collectivités territoriales, établissements et entreprises publics.
• Les infrastructures d'importance vitale, publiques ou privées, dont l'arrêt affecterait gravement le fonctionnement du pays : énergie, eau, transport, santé, finance, télécommunications…
• Les opérateurs de télécommunications et les fournisseurs d'accès à Internet.
• Les prestataires de services de cybersécurité et de services numériques, ainsi que les éditeurs de plateformes Internet.

Les grandes obligations

Une gouvernance de la sécurité

Les entités concernées doivent disposer d'une politique de sécurité de leurs systèmes d'information et désigner un responsable de la sécurité. La sécurité devient une fonction identifiée, avec un interlocuteur, plutôt qu'une tâche diffuse au sein du service informatique.

La connaissance de ses actifs

Les systèmes et les informations doivent être inventoriés et classés selon leur sensibilité, pour appliquer des mesures proportionnées : on ne protège pas une base de données clients comme un site vitrine.

La déclaration des incidents

Les incidents de sécurité doivent être signalés à l'autorité nationale. Le but n'est pas de sanctionner, mais de permettre une réaction coordonnée, car une attaque qui touche une organisation en vise souvent d'autres.

Des contrôles renforcés pour les infrastructures vitales

Les infrastructures d'importance vitale sont soumises à des exigences supplémentaires, notamment des audits de leurs systèmes sensibles.

Pourquoi une PME privée est aussi concernée

Une PME qui n'entre dans aucune de ces catégories peut se croire hors champ. Mais si elle fournit une administration, un établissement public ou un opérateur, ses clients lui répercutent leurs propres obligations par contrat : questionnaires de sécurité, exigences dans les cahiers des charges, clauses de notification d'incident. Dans les marchés publics, ces exigences deviennent fréquentes.

Par où commencer

1. Désignez un responsable de la sécurité, même à temps partiel.
2. Dressez l'inventaire de vos systèmes et classez les données qu'ils contiennent.
3. Écrivez une procédure simple de gestion des incidents : qui prévenir, dans quel ordre.
4. Mettez en place les mesures de base qui couvrent la majorité des risques : double authentification, sauvegardes hors ligne, protection des postes avec détection des incidents.

Pour la protection des données personnelles, qui relève d'un autre texte, voir notre article sur la loi 09-08. Nous accompagnons les entreprises marocaines dans le choix des solutions de sécurité adaptées à ces exigences : parlons-en.