Le Maroc s'est doté ces dernières années d'un cadre juridique et réglementaire structuré en matière de cybersécurité. Avec la loi 05-20 et le rôle confié à la DGSSI, les entreprises marocaines, en particulier celles opérant dans des secteurs stratégiques, sont soumises à de nouvelles obligations. Dans le même temps, les cadres européens comme la NIS2 et les normes internationales telles que l'IEC 62443 s'imposent auprès des donneurs d'ordre. Voici comment ces textes s'articulent.
À retenir : la loi 05-20 et les directives de la DGSSI s'appliquent aux opérateurs d'infrastructures d'importance vitale. L'alignement sur l'IEC 62443 et l'ISO 27001 constitue la voie la plus efficace pour y répondre, car elle traite simultanément les attentes nationales et celles des partenaires étrangers.
La loi 05-20 sur la cybersécurité
Promulguée en 2020 et complétée par son décret d'application en 2021, la loi 05-20 constitue le cadre légal de référence. Elle définit :
- les infrastructures d'importance vitale et leurs opérateurs
- les obligations de sécurité et de déclaration des incidents
- le rôle et les pouvoirs de la DGSSI en tant qu'autorité nationale
- les exigences d'audit applicables aux systèmes critiques
Le rôle de la DGSSI
La Direction générale de la sécurité des systèmes d'information, rattachée à l'Administration de la Défense nationale, est l'autorité nationale compétente. Ses missions comprennent :
- l'élaboration et la mise en œuvre de la stratégie nationale de cybersécurité
- la publication de référentiels et de directives techniques destinés aux opérateurs
- la coordination de la réponse aux incidents par l'intermédiaire du maCERT
- l'accréditation des prestataires de services de cybersécurité
Secteurs concernés au Maroc
Les opérateurs concernés relèvent principalement des secteurs suivants :
- énergie : électricité, hydrocarbures et énergies renouvelables
- eau : production, distribution et traitement des eaux usées
- télécommunications et technologies de l'information
- transport aérien, maritime, ferroviaire et routier
- finance et banque
- santé
- alimentation et industrie agroalimentaire
Le rattachement à l'un de ces secteurs ne suffit pas à lui seul : la désignation dépend du caractère vital de l'activité exercée, ce qui rend la vérification préalable indispensable.
Comparatif : DGSSI / NIS2 / IEC 62443
| Aspect | DGSSI / Loi 05-20 | NIS2 (Europe) | IEC 62443 |
|---|---|---|---|
| Portée | Maroc, opérateurs désignés | Union européenne | International |
| Nature | Texte légal et réglementaire | Directive transposée en droit national | Norme technique |
| Cible principale | Systèmes d'information critiques | Entités essentielles et importantes | Systèmes industriels |
| Moyen de conformité | Référentiels de la DGSSI | ISO 27001 et IEC 62443 | Zones, conduits et niveaux de sécurité |
Pourquoi s'aligner sur IEC 62443 et ISO 27001 ?
Les référentiels nationaux s'inspirent largement des normes internationales. En s'alignant sur l'IEC 62443 pour les environnements industriels et sur l'ISO 27001 pour la sécurité de l'information dans son ensemble, une entreprise marocaine répond simultanément :
- aux obligations de la loi 05-20 et aux directives de la DGSSI
- aux exigences des donneurs d'ordre européens soumis à la NIS2
- aux conditions posées dans les appels d'offres internationaux
Cette convergence présente un intérêt direct pour les entreprises exportatrices : les mesures communes ne sont mises en place qu'une fois et servent plusieurs exigences.
Par où commencer ?
Pour une entreprise souhaitant s'aligner sur le cadre national tout en adoptant les pratiques internationales :
- Étape 1 : évaluation du niveau de maturité actuel, sous forme d'analyse d'écarts
- Étape 2 : identification des obligations applicables, en établissant d'abord si vous relevez du régime des opérateurs désignés
- Étape 3 : mise en conformité hiérarchisée selon les risques
- Étape 4 : constitution de la documentation et préparation aux audits
Besoin d'un accompagnement sur la conformité réglementaire ?
Resotech vous aide à situer votre organisation dans le cadre réglementaire marocain et international, avec une expertise certifiée ISO 27001 et IEC 62443.
Nous contacter Scan OT gratuit