Une phrase revient régulièrement dans les directions générales, de Casablanca à Tanger : « La loi 05-20 ? Nous verrons lorsque les contrôles commenceront réellement. » Cette formulation repose sur une lecture erronée du calendrier, et c'est cette lecture qui expose aujourd'hui les organisations concernées.
Une précision s'impose d'emblée : la loi 05-20 relative à la cybersécurité est en vigueur. Elle a été promulguée par dahir en juillet 2020 et son décret d'application, le décret n° 2-21-406, a été publié en juillet 2021. La DGSSI exerce ses attributions d'autorité nationale et le maCERT traite quotidiennement des incidents. Ce qui progresse graduellement, c'est l'intensité des contrôles, non l'existence de l'obligation.
Ce que dit réellement la loi 05-20
La loi établit un cadre juridique complet pour la cybersécurité au Maroc. Elle impose aux opérateurs d'infrastructures d'importance vitale, dans les secteurs de l'énergie, des télécommunications, de la finance, de la santé, du transport et de l'eau, un ensemble d'obligations précises :
- La classification des actifs informationnels selon leur criticité
- La mise en œuvre de mesures de sécurité conformes aux référentiels de la DGSSI
- La notification des incidents au maCERT dans les délais fixés
- Des audits de conformité réalisés par des prestataires agréés
- Un régime de sanctions comportant des amendes et, pour certaines infractions, des peines privatives de liberté
Les sanctions prévues : le dispositif distingue les personnes des organisations. Les dirigeants et responsables encourent des amendes de l'ordre de 100 000 à 200 000 dirhams, tandis que les amendes applicables aux organisations se situent dans une fourchette de 500 000 à 1 000 000 de dirhams selon la nature du manquement. Les atteintes portant sur la modification ou la suppression de données, ou sur l'altération du fonctionnement d'un système d'information, relèvent quant à elles de peines d'emprisonnement. Les montants varient selon la qualification retenue : il convient donc de se reporter au texte pour la situation qui vous concerne.
L'argument « ils ne contrôlent pas encore » est un piège
Cet argument repose sur une confusion entre montée en charge progressive du contrôle et absence d'obligation. Trois mécanismes rendent cette confusion coûteuse.
Les OIV exigent déjà la conformité de leurs fournisseurs. Si vous fournissez des prestations à une banque, à un opérateur télécom ou à une entreprise du secteur énergétique, votre client est légalement tenu de maîtriser la sécurité de sa chaîne d'approvisionnement. Il transfère cette obligation par voie contractuelle. Ne pas pouvoir y répondre revient à être écarté des appels d'offres, indépendamment de tout contrôle administratif.
Les multinationales appliquent déjà des exigences plus strictes. Les groupes internationaux implantés au Maroc, dans l'automobile, l'aéronautique ou l'agroalimentaire, n'attendent pas l'échéance réglementaire. Ils imposent ISO 27001, IEC 62443 ou leurs propres référentiels internes. Se trouver dans leur chaîne de valeur sans pouvoir démontrer un niveau équivalent, c'est constituer un risque que le donneur d'ordre finira par écarter.
Les alertes du maCERT créent une attente de réaction. Chaque alerte concernant votre secteur établit une présomption de connaissance. En cas d'incident, l'absence de réaction documentée à une alerte publiée devient un élément défavorable dans l'analyse des responsabilités.
La chronologie que personne ne veut voir
La chronologie ci-dessous combine des faits établis et une projection de la montée en charge des contrôles. Les deux premières étapes sont documentées ; les suivantes constituent une anticipation fondée sur la trajectoire observée.
Chronologie de la loi 05-20
La position que vous occupez dans cette chronologie détermine votre marge de manœuvre. Tant que les exigences arrivent par vos clients, vous disposez encore d'un délai de négociation. Lorsqu'elles arriveront par la voie du contrôle, ce délai aura disparu, et la mise en conformité d'un système de management de la sécurité demande de toute façon plusieurs mois.
Ce que vos concurrents font pendant que vous attendez
Pendant que la question se discute en interne, voici ce qu'ont mis en place les PME marocaines qui ont pris les devants :
- Elles ont désigné un responsable de la sécurité, à temps partiel ou en externe, chargé de piloter la mise en conformité
- Elles ont établi un inventaire de leurs actifs IT et OT, classés par criticité
- Elles ont déployé les mesures de base : segmentation des réseaux, gestion des accès, sauvegardes dont la restauration a été testée
- Elles font état de leur conformité dans leurs réponses aux appels d'offres, sans attendre qu'on la leur demande
- Elles disposent d'un plan de réponse aux incidents documenté et éprouvé
L'écart qui en résulte ne tient pas à la taille ni aux moyens, mais à l'antériorité. Un dossier constitué se présente en quelques jours ; un dossier à constituer demande plusieurs mois, et l'appel d'offres n'attend pas.
Le coût réel de l'attente
Un seul de ces quatre postes est chiffré par un texte ; les trois autres, vous êtes seul à pouvoir les remplir. C'est précisément ce qui rend le calcul convaincant lorsque vous le faites vous-même.
- Sanctions prévues par la loi : amendes de 100 000 à 200 000 MAD pour les dirigeants et de 500 000 à 1 000 000 MAD pour les organisations, auxquelles s'ajoutent des peines d'emprisonnement pour certaines infractions. C'est le seul montant fixé d'avance.
- Mise en conformité anticipée : demandez deux devis, sur un calendrier que vous choisissez vous-même.
- Mise en conformité dans l'urgence, lorsqu'un client OIV l'exige sous trois mois : demandez les mêmes devis en imposant ce délai. L'écart entre les deux séries est la partie du coût que le report ajoute, et il tient à la mobilisation de ressources externes et à l'absence de marge de négociation.
- Perte d'un contrat avec un OIV : reprenez le chiffre d'affaires annuel de votre principal client soumis à la loi. Ce montant figure dans vos propres comptes.
Ce que ce calcul met en évidence : la dépense de mise en conformité se compare rarement à la sanction, qui reste hypothétique et différée. Elle se compare au chiffre d'affaires que représente votre principal client OIV, lequel est immédiat et connu. C'est ce rapport qui rend la décision évidente, bien avant toute considération réglementaire.
Les cinq excuses les plus courantes (et pourquoi elles ne tiennent pas)
« Nous ne sommes pas un OIV. » Il n'est pas nécessaire d'être désigné comme tel pour être concerné. Si vos clients le sont, vous entrez dans leur périmètre de maîtrise des risques. La loi produit un effet de cascade sur l'ensemble de la chaîne de valeur, et cet effet transite par le contrat plutôt que par le texte.
« Nous sommes trop petits pour être ciblés. » Les attaquants ne sélectionnent pas selon la taille mais selon la facilité d'accès. Une PME peu protégée constitue une porte d'entrée vers son client OIV, ce qui en fait une cible d'autant plus intéressante qu'elle se croit hors de portée.
« Notre informaticien s'en occupe. » La compétence technique n'est pas en cause. La conformité suppose des compétences distinctes en gouvernance de la sécurité, en analyse de risques et en préparation aux audits. Il ne s'agit pas d'administrer des serveurs mais de documenter des décisions.
« Cela coûte trop cher. » Cette objection ne résiste pas à la comparaison faite plus haut, à condition de placer en regard le bon montant : non pas la sanction, mais le chiffre d'affaires exposé.
« Nous nous y mettrons quand ce sera obligatoire. » L'obligation existe déjà. Ce qui est attendu, c'est la sanction. Or une mise en conformité demande plusieurs mois, ce qui rend cette stratégie d'attente inopérante au moment précis où elle deviendrait nécessaire.
Par où commencer concrètement
L'ensemble ne se traite pas en une fois. Une feuille de route en trois phases permet de progresser sans immobiliser l'organisation :
Phase 1 (mois 1-2) : diagnostic
- Inventaire complet des actifs IT et OT
- Analyse d'écart par rapport aux exigences de la DGSSI
- Cartographie des risques prioritaires
Phase 2 (mois 3-6) : fondations
- Politique de sécurité de l'information validée par la direction
- Segmentation des réseaux IT et OT
- Gestion des accès et des identités
- Plan de réponse aux incidents
Phase 3 (mois 6-12) : maturité
- Surveillance continue, en interne ou externalisée
- Tests d'intrusion réguliers
- Formation et sensibilisation des équipes
- Préparation à la certification ISO 27001
Le verdict
La conformité à la loi 05-20 ne se décide plus sur le terrain réglementaire mais sur le terrain commercial. Chaque mois d'attente est un mois pendant lequel vos concurrents constituent un dossier que vous ne pouvez pas présenter, et pendant lequel vos clients réévaluent votre fiabilité sur la base de ce que vous êtes en mesure de leur remettre.
Il reste exact que l'application de la loi n'a pas encore atteint son plein régime. Cette réalité constitue un délai, non une dispense, et ce délai se réduit à mesure que les donneurs d'ordre transfèrent leurs propres obligations vers leurs fournisseurs.