Vous êtes prestataire informatique, éditeur, intégrateur ou société de maintenance industrielle au Maroc, et votre entreprise n'est pas désignée comme opérateur d'infrastructure d'importance vitale. Un message de votre principal client vient pourtant d'arriver : un questionnaire sur vos mesures de sécurité, une demande de déclaration de conformité et de nouvelles clauses contractuelles. L'explication ne se trouve pas dans votre situation, mais dans les obligations qui pèsent sur votre client.

Le mécanisme : la loi 05-20 impose aux opérateurs d'évaluer la sécurité de l'ensemble de leur chaîne d'approvisionnement. Votre client doit être en mesure d'établir que vous travaillez dans des conditions maîtrisées. À défaut, vous devenez un risque qu'il lui appartient de traiter ou d'écarter.

Pourquoi la loi 05-20 devient votre problème

La loi impose aux opérateurs de sécuriser leur écosystème, sous-traitants compris. Pour votre client, cela signifie concrètement :

  • évaluer les risques associés à chaque fournisseur
  • intégrer des exigences de sécurité dans les contrats
  • vérifier périodiquement le respect de ces exigences
  • pouvoir démontrer, lors d'un contrôle, que la chaîne a été évaluée

S'il ne peut l'établir, il s'expose à des sanctions. C'est ce qui explique que ces questions vous parviennent, et pourquoi il n'existe généralement pas de marge pour les laisser sans réponse.

Ce que votre client OIV va vous demander

Les questions qui reviennent dans la quasi-totalité des évaluations fournisseurs :

  • Disposez-vous d'une politique formelle de sécurité de l'information ?
  • Comment gérez-vous l'accès aux systèmes et aux données de vos clients ?
  • Existe-t-il une procédure de gestion des incidents, et sous quel délai notifiez-vous ?
  • Comment sécurisez-vous les accès distants ?
  • Réalisez-vous des analyses de vulnérabilités ou des tests d'intrusion ?
  • Votre stratégie de sauvegarde comporte-t-elle des restaurations éprouvées ?
  • Comment vérifiez-vous les antécédents de vos collaborateurs et sous-traitants ?
  • Acceptez-vous un audit conduit par votre client ou par un tiers ?

Trois scénarios : lequel vous concerne ?

Scénario 1 : vous ne pouvez répondre à aucune de ces questions.
C'est la situation la plus défavorable. Votre client vous classera parmi les fournisseurs à risque élevé, ce qui se traduira à court terme par des exigences supplémentaires et, à défaut de progrès, par la perte du contrat.

Scénario 2 : vous faites bien les choses, sans les documenter.
C'est le cas le plus répandu parmi les PME. La compétence technique est présente, la documentation manque. Comme l'évaluation porte sur la démonstrabilité, une journée de mise en forme peut suffire à changer l'issue.

Scénario 3 : vous êtes certifié ou en bonne voie.
Votre position est solide. Facilitez le travail de votre client en transmettant spontanément votre certificat, votre déclaration d'applicabilité et les procédures pertinentes. Vous raccourcissez son évaluation, ce qui vous distingue des concurrents qui doivent d'abord chercher l'information en interne.

Comment vous préparer en tant que fournisseur

  1. Identifiez vos clients concernés par la loi : énergie, eau, télécommunications, transport, finance, santé et industrie.
  2. Rédigez une déclaration de sécurité présentant vos mesures dans un format directement exploitable par votre client.
  3. Mettez en place le socle : contrôle d'accès, gestion des correctifs, sauvegardes, procédure d'incident et sensibilisation.
  4. Envisagez la certification. Elle constitue la preuve la plus complète et vous dispense de renseigner indéfiniment des questionnaires différents.
  5. Prenez les devants en transmettant votre documentation avant qu'elle ne soit réclamée. La nature de l'échange s'en trouve modifiée.

Avantage concurrentiel : à niveau technique équivalent, le marché revient au fournisseur capable d'établir sa maîtrise des risques. L'investissement se traduit donc directement en contrats conservés et en marchés gagnés.

Se préparer en tant que fournisseur d'OIV ?

Resotech accompagne les fournisseurs et les PME marocaines dans la mise en conformité avec les exigences de la chaîne d'approvisionnement, du diagnostic rapide à la certification ISO 27001.

Nous contacter