La loi 05-20 opère un déplacement notable : la sécurité des systèmes d'information cesse d'être une question exclusivement technique pour devenir une question de gouvernance. Ce déplacement n'est pas symbolique, puisque le texte assortit les obligations qu'il crée d'un régime de sanctions dont les dirigeants relèvent personnellement.

Ce qui est nouveau : pour la première fois dans la législation marocaine, la responsabilité en matière de cybersécurité est explicitement située au niveau de la direction, avec des sanctions à la clé.

Les sanctions en perspective

Sanctions visant les dirigeants

100 000 à 200 000 MAD

d'amende en cas de manquement aux obligations de sécurité

Sanctions visant les organisations

500 000 à 1 000 000 MAD

selon la nature du manquement constaté

À ces amendes s'ajoutent des peines d'emprisonnement pour certaines infractions, notamment celles portant sur la modification ou la suppression de données et sur l'altération du fonctionnement d'un système d'information. Les montants et les peines varient selon la qualification retenue, ce qui rend nécessaire de se reporter au texte pour apprécier une situation déterminée. Retenons l'essentiel pour la direction : le dispositif distingue explicitement ce qui incombe à l'organisation de ce qui incombe à ses dirigeants.

Que risquez-vous personnellement ?

La loi et ses textes d'application prévoient que les dirigeants :

  • s'assurent de la mise en œuvre effective des mesures de sécurité requises
  • désignent un responsable de la sécurité des systèmes d'information qualifié
  • veillent à la classification des systèmes d'information
  • répondent personnellement des manquements graves
  • coopèrent avec l'autorité lors des audits et des contrôles

Où ça déraille en pratique

La plupart des dirigeants confient la cybersécurité au service informatique ou à un prestataire. Ce mode d'organisation ne suffit plus, la loi exigeant une implication démontrable de la direction. Quatre manquements reviennent systématiquement :

  1. Aucune politique de sécurité formellement approuvée. Des pratiques existent, mais l'acte d'approbation par la direction fait défaut.
  2. La direction ne reçoit aucun rapport. Si le sujet ne figure pas à l'ordre du jour, la supervision n'est pas démontrable.
  3. Aucun responsable désigné. La loi exige une fonction identifiée, assortie de compétences définies.
  4. Budget non formalisé. La direction doit pouvoir établir qu'elle a mis à disposition des moyens proportionnés au profil de risque.

Que devez-vous faire en tant que dirigeant ?

  1. Inscrivez la cybersécurité à l'ordre du jour du comité de direction, au moins chaque trimestre.
  2. Approuvez formellement la politique de sécurité et procédez à sa revue annuelle.
  3. Désignez un responsable de la sécurité, interne ou externe, mais nommé par un acte formel.
  4. Exigez des rapports périodiques de ce responsable ou de votre partenaire.
  5. Allouez un budget documenté et proportionné au profil de risque de l'organisation.
  6. Faites réaliser un diagnostic de conformité afin d'établir votre situation réelle plutôt que supposée.

À retenir : si vous pouvez établir votre implication effective, l'approbation d'une politique et l'affectation de moyens suffisants, l'essentiel de l'obligation est satisfait. Le dispositif sanctionne la négligence, non l'absence de perfection.

Gouverner la cybersécurité en toute connaissance

Resotech propose des briefings de direction et des diagnostics de conformité loi 05-20. En une demi-journée, nous exposons ce que la loi attend personnellement des dirigeants et la manière d'en rendre compte.

Planifier un briefing