La loi 05-20 relative à la cybersécurité, promulguée en 2020 et complétée par son décret d'application en 2021, a modifié les obligations qui pèsent sur les entreprises marocaines. Elle impose des exigences précises aux opérateurs d'infrastructures d'importance vitale et confie à la DGSSI le rôle d'autorité nationale. Reste la question de la mise en œuvre, sur laquelle beaucoup d'organisations demeurent sans point de départ. Voici une démarche structurée.

Important : l'absence de conformité expose l'organisation à des sanctions administratives, et ses dirigeants à une responsabilité qui leur est propre. Cette distinction entre l'entité et ses dirigeants constitue l'une des nouveautés du texte.

Qui est concerné ?

La loi vise en premier lieu les opérateurs d'infrastructures d'importance vitale dans les secteurs stratégiques :

  • énergie : électricité, hydrocarbures, énergies renouvelables
  • eau : production, distribution, assainissement
  • télécommunications et technologies de l'information
  • transport aérien, maritime, ferroviaire et routier
  • finance et système bancaire
  • santé
  • industrie, notamment les phosphates, l'agroalimentaire et l'automobile
  • administration publique

À noter : même sans désignation formelle, l'alignement sur les bonnes pratiques publiées par la DGSSI présente un intérêt direct. Les donneurs d'ordre et partenaires internationaux le demandent de plus en plus fréquemment, et cette demande arrive généralement avant l'obligation réglementaire.

Les obligations clés de la loi 05-20

  • Classification des systèmes d'information : identifier et classer les systèmes selon leur criticité
  • Mesures de sécurité : mettre en œuvre les dispositions techniques et organisationnelles prévues par les référentiels
  • Audit de sécurité : faire réaliser des audits périodiques par des prestataires accrédités
  • Déclaration d'incidents : notifier tout incident significatif par l'intermédiaire du maCERT
  • Continuité d'activité : disposer de plans de continuité et de reprise
  • Responsable de la sécurité : désigner formellement un responsable des systèmes d'information

Démarche de mise en conformité en 6 étapes

  • Étape 1, diagnostic initial : évaluez votre niveau de maturité au regard des référentiels applicables et identifiez les écarts.
  • Étape 2, classification des actifs : inventoriez et classez vos systèmes d'information et vos actifs industriels selon leur criticité.
  • Étape 3, analyse de risques : conduisez une analyse formelle couvrant aussi bien l'informatique de gestion que les environnements de production.
  • Étape 4, plan de traitement : définissez les mesures prioritaires et planifiez leur mise en œuvre selon le risque et non selon la facilité.
  • Étape 5, mise en œuvre : déployez les mesures techniques, telles que segmentation, détection et contrôle d'accès, ainsi que les mesures organisationnelles.
  • Étape 6, audit et amélioration continue : faites auditer le dispositif et inscrivez-le dans un cycle d'amélioration.

Le rôle des normes internationales

Les référentiels nationaux s'inspirent des normes internationales. Une démarche alignée sur ISO 27001 pour le système de management et sur IEC 62443 pour les environnements industriels permet de :

  • répondre aux exigences de la loi 05-20
  • aborder les audits dans de bonnes conditions
  • obtenir des certifications reconnues à l'international
  • satisfaire les demandes des donneurs d'ordre étrangers

L'intérêt de cette convergence est pratique : les mesures communes ne sont mises en place qu'une seule fois.

Erreurs à éviter

  1. Attendre une désignation pour agir. La préparation demande plusieurs mois, ce qui rend l'attente coûteuse au moment précis où elle cesse d'être tenable.
  2. S'en tenir à la documentation. Les contrôles portent sur la mise en œuvre effective, et un écart entre les deux se constate rapidement.
  3. Laisser les environnements industriels de côté. Ils entrent dans le périmètre de la loi au même titre que les systèmes de gestion.
  4. Ne pas associer la direction. Le texte lui attribue une responsabilité propre, qui ne peut être déléguée au service informatique.

Accompagnement loi 05-20 et conformité DGSSI

Resotech vous accompagne à chaque étape de la mise en conformité, du diagnostic initial à la préparation des audits DGSSI.

Nous contacter   Scan OT gratuit