Lorsqu'il est question de risque cyber, la première interrogation d'un dirigeant porte presque toujours sur le montant de l'amende encourue. La réponse, de l'ordre de plusieurs centaines de milliers de dirhams pour l'organisation selon la nature du manquement, suscite généralement une réaction mesurée.

C'est pourtant le mauvais chiffre. Le risque déterminant n'est pas la sanction administrative, mais le contrat qui ne sera pas renouvelé, l'appel d'offres dont vous serez écarté, le client qui vous remplacera par un concurrent en mesure de démontrer sa conformité. Ce risque-là ne se compare pas à une amende : il se compare à votre chiffre d'affaires.

Les chiffres que personne ne compare

0,5-1 M MAD, amende encourue par l'organisation selon le manquement
100-200 K MAD, amende encourue personnellement par le dirigeant

Ces deux montants proviennent du régime de sanctions de la loi 05-20. Ce sont les seuls chiffres de ce dossier qui soient fixés par un texte. Le troisième, celui qui décide réellement de l'avenir de l'entreprise, ne figure dans aucune étude : c'est la valeur annuelle de vos deux plus gros contrats OIV. Vous êtes seul à le connaître. Posez-le à côté des deux premiers, et le rapport apparaît de lui-même.

Comment les OIV éliminent leurs fournisseurs non conformes

La loi impose aux opérateurs d'infrastructures vitales de sécuriser leur chaîne d'approvisionnement. Trois mécanismes traduisent cette obligation, et ils sont déjà à l'œuvre.

1. Les questionnaires de sécurité dans les appels d'offres

Les grands donneurs d'ordre marocains, dans les phosphates, l'énergie, les télécommunications et le secteur bancaire, intègrent désormais des questionnaires de cybersécurité à leurs processus d'achat. Ces questionnaires ne relèvent pas de la formalité : ils sont éliminatoires. Faute de pouvoir établir une gestion structurée de la sécurité, l'offre technique est écartée avant même l'examen du prix.

2. Les clauses contractuelles de sécurité

Les contrats récents comportent des obligations précises : droit d'audit, notification d'incident sous vingt-quatre heures, alignement sur les référentiels de la DGSSI, engagement de certification dans un délai de douze à vingt-quatre mois. Signer sans être en mesure de tenir ces engagements expose à des pénalités contractuelles qui dépassent largement la sanction réglementaire.

3. Les audits de fournisseurs

Les opérateurs ont commencé à auditer leurs fournisseurs critiques, y compris sans préavis. La conséquence usuelle d'un audit défavorable n'est pas la rupture immédiate mais un plan de remédiation assorti d'un délai, à l'issue duquel la relation est réexaminée. Le délai accordé est rarement compatible avec la mise en place d'un dispositif à partir de rien.

Point de vigilance : l'absence de questions de la part de votre principal client ne signifie pas que le sujet ne se posera pas. Dans la plupart des cas, elle signifie seulement que son propre programme de conformité n'a pas encore atteint votre catégorie de fournisseurs.

Trois scénarios concrets

Les trois situations ci-dessous sont des illustrations construites à partir des mécanismes décrits plus haut. Elles ne rapportent aucun cas réel et ne contiennent aucun montant mesuré.

Scénario 1 : le sous-traitant automobile

Une PME d'environ 120 salariés fournit des pièces à un équipementier de rang 1. Le donneur d'ordre exige une certification dans le cadre de son propre programme sectoriel. La PME sollicite un délai de dix-huit mois ; le donneur d'ordre transfère une part significative du volume à un concurrent déjà certifié. L'entreprise perd une part de son chiffre d'affaires annuel sans qu'aucun incident de sécurité ne se soit produit.

Scénario 2 : le prestataire informatique d'un établissement financier

Une société de services gère l'infrastructure de plusieurs agences. Les exigences de cybersécurité applicables au secteur financier se renforcent, et l'établissement demande à son prestataire un audit de conformité sous soixante jours. Celui-ci ne dispose ni d'une politique formalisée ni d'un plan de réponse aux incidents. Le contrat n'est pas renouvelé, et l'effet se propage aux autres relations du même secteur, où les références comptent autant que les prix.

Scénario 3 : le fournisseur d'équipements industriels

Un distributeur fournit des composants à un opérateur du secteur énergétique. Un contrôle établit que la chaîne d'approvisionnement de cet opérateur n'a pas été évaluée. L'opérateur impose alors à l'ensemble de ses fournisseurs un programme de conformité en six mois. Une partie d'entre eux n'y parvient pas et se voit remplacée. La contrainte réglementaire pesait sur l'opérateur ; ce sont ses fournisseurs qui en supportent l'effet.

L'effet domino de la non-conformité

La perte d'un contrat de cette nature ne se limite pas au contrat lui-même :

  • Réputation : dans un marché aussi concentré, l'information circule rapidement entre donneurs d'ordre d'un même secteur.
  • Références : vous perdez le contrat et, avec lui, la référence commerciale. Or les références pèsent lourdement dans les appels d'offres suivants.
  • Compétences : les collaborateurs les plus qualifiés interprètent la perte de contrats structurants comme un signal, et se positionnent ailleurs.
  • Financement : banquiers, investisseurs et partenaires évaluent la solidité de votre portefeuille clients. La disparition d'un client majeur y occupe une place visible.

Ce que font les PME qui gagnent des contrats

Les entreprises qui remportent ces marchés ont en commun d'avoir traité la conformité comme un argument commercial plutôt que comme une contrainte :

  1. Elles investissent en amont plutôt que sous contrainte. Une mise en conformité préparée coûte plusieurs fois moins qu'une mise en conformité conduite dans l'urgence, l'écart tenant au recours à des ressources externes et à l'absence de marge de négociation.
  2. Elles font état de leur niveau de sécurité dans chaque proposition commerciale, certificats, politiques et résultats d'audit à l'appui.
  3. Elles proposent la transparence : droit d'audit, indicateurs partagés, notification spontanée des incidents.
  4. Elles forment au-delà de la technique. Les équipes commerciales doivent pouvoir répondre aux questions de sécurité en réunion, sans renvoyer systématiquement à un spécialiste.

Le coût de ne rien faire

Si vous fournissez un opérateur d'importance vitale sans avoir engagé de démarche, votre situation relève de l'un de ces trois cas :

  • vous ignorez que votre client relève de ce régime, ce qui pose une question de veille ;
  • vous le savez mais estimez que la question ne vous atteindra pas ;
  • vous le savez, vous souhaitez agir, mais l'ordre des étapes ne vous apparaît pas.

Les deux premières situations se résolvent par l'information. La troisième se résout par un diagnostic, qui consiste avant tout à déterminer ce qui existe déjà.

Une sanction administrative se règle et l'activité se poursuit. La perte d'un client structurant modifie durablement la trajectoire de l'entreprise. C'est cette asymétrie, et non le montant des amendes, qui devrait guider la décision.