C'est l'une des affirmations les plus fréquentes dans les comités de direction marocains : « Nous sommes certifiés ISO 27001, la loi 05-20 ne nous pose donc aucun problème. » Le raisonnement se tient : un investissement a été consenti dans une norme internationale reconnue, des audits ont été passés, le certificat est obtenu. La réalité est plus nuancée, et cette nuance a un coût.
La réponse courte : non, l'ISO 27001 ne rend pas automatiquement conforme à la loi 05-20. La norme constitue un socle solide, mais la loi impose des obligations qu'un système de management ne couvre pas.
Pourquoi cette croyance est si répandue
Les deux cadres partagent un terrain commun étendu : gestion des risques, contrôle d'accès, traitement des incidents et amélioration continue. La confusion se comprend donc aisément. La différence tient à leur nature : la loi 05-20 est une législation nationale, et une législation crée des obligations que la conformité à une norme volontaire ne satisfait pas nécessairement.
Les 6 écarts que votre certificat ISO 27001 ne couvre pas
1 Déclaration obligatoire des incidents au maCERT
La loi 05-20 impose la déclaration des incidents significatifs à la DGSSI par l'intermédiaire du maCERT, dans les délais fixés. L'ISO 27001 exige une procédure de gestion des incidents mais ne fixe aucun délai de notification aux autorités nationales.
2 Classification des systèmes d'information
La loi impose une classification formelle des systèmes selon des critères définis par la DGSSI. L'ISO 27001 conduit à classer les actifs informationnels, mais pas nécessairement selon ce référentiel national.
3 Responsabilité des dirigeants
La loi prévoit des sanctions à l'encontre des dirigeants en cas de manquement. L'ISO 27001 requiert un engagement de la direction, sans y attacher de responsabilité juridique personnelle.
4 Environnements OT dans le périmètre
Beaucoup de certifications se limitent à l'environnement informatique de gestion. La loi ne fait pas cette distinction : si vos systèmes industriels sont critiques pour l'activité, ils relèvent du périmètre à protéger.
5 Audit par des prestataires accrédités
La loi impose des audits périodiques réalisés par des prestataires accrédités à cet effet. Un audit de certification conduit par un organisme certificateur ne se substitue pas à cette obligation.
6 Désignation d'un responsable de la sécurité
La loi impose la désignation d'un responsable de la sécurité des systèmes d'information doté de compétences définies. L'ISO 27001 exige une gouvernance de la sécurité sans imposer cette fonction telle qu'elle est caractérisée au niveau national.
Ce que l'ISO 27001 vous apporte réellement
La norme conserve toute sa valeur comme point de départ. Une organisation disposant d'un système de management éprouvé aborde la mise en conformité avec une avance considérable, puisqu'elle dispose déjà :
- d'une approche méthodique du risque
- de procédures et de politiques documentées
- d'un cycle d'amélioration continue effectivement pratiqué
- de mesures portant sur le contrôle d'accès, le chiffrement et la journalisation
L'objectif n'est donc pas de remplacer l'existant, mais de compléter ce que la loi exige en propre.
Que devez-vous faire maintenant ?
- Conduisez une analyse d'écarts en confrontant votre système de management aux exigences de la loi et aux référentiels de la DGSSI.
- Élargissez le périmètre aux environnements industriels, à la chaîne d'approvisionnement et à la continuité d'activité.
- Mettez en place la procédure de déclaration permettant de notifier le maCERT dans les délais requis, y compris en dehors des heures ouvrées.
- Formalisez le rôle des dirigeants dans la gouvernance de la sécurité.
- Documentez et éprouvez. Les contrôles portent sur la mise en œuvre effective, et non sur les seules politiques.
Conseil : engagez l'analyse d'écarts à partir de votre documentation existante. L'effort complémentaire apparaît rapidement, et il se révèle généralement moindre qu'anticipé lorsque le système de management est déjà en place.
Voulez-vous connaître vos écarts ?
Resotech réalise des analyses d'écarts loi 05-20 pour les organisations déjà certifiées ISO 27001, et précise pour chaque mesure ce que la loi exige en complément.
Nous contacter