Qu'est-ce que la loi 05-20 relative à la cybersécurité ?
La loi n° 05-20 relative à la cybersécurité a été promulguée en juillet 2020. Elle est le premier texte législatif marocain consacré spécifiquement à la sécurité des systèmes d'information. Avant elle, l'essentiel des règles reposait sur des textes réglementaires et sur des référentiels comme la DNSSI. La loi donne désormais une base légale à ces exigences, précise qui doit les appliquer et confie à une autorité nationale le pouvoir d'en contrôler le respect.
Elle a été complétée par un décret d'application (décret n° 2-21-406, adopté en 2021), qui détaille notamment les modalités de mise en œuvre pour les différentes catégories d'entités, ainsi que par des décisions et référentiels publiés par l'autorité nationale. En pratique, il faut donc lire la loi avec son décret et avec les documents techniques de la DGSSI : c'est cet ensemble qui définit ce qu'une organisation doit concrètement mettre en place.
L'esprit du texte est simple : la cybersécurité n'est plus un sujet purement technique laissé à la discrétion de chaque DSI, mais une obligation de gouvernance, avec des responsabilités identifiées, des mesures minimales, des contrôles et des sanctions en cas de manquement.
Le rôle de la DGSSI et du maCERT
La Direction Générale de la Sécurité des Systèmes d'Information (DGSSI), rattachée à l'Administration de la Défense nationale, est l'autorité nationale de la cybersécurité visée par la loi. Elle élabore les référentiels, accompagne les entités concernées, qualifie certains prestataires (par exemple les prestataires d'audit de sécurité) et contrôle l'application des obligations.
Le maCERT, centre de veille, de détection et de réponse aux attaques informatiques, est placé au sein de la DGSSI. C'est l'interlocuteur opérationnel en cas d'incident : il publie des bulletins d'alerte sur les vulnérabilités, reçoit les déclarations d'incidents et peut appuyer les organisations touchées. Pour une équipe sécurité marocaine, suivre ses bulletins fait partie de l'hygiène de base.
- Élaboration et diffusion des référentiels nationaux, dont la DNSSI
- Réception et traitement des déclarations d'incidents de sécurité
- Qualification de prestataires de services de cybersécurité
- Homologation de certains systèmes d'information sensibles
- Contrôle du respect des obligations et sensibilisation
Quelles entités sont concernées par la loi 05-20 ?
La loi ne s'applique pas uniformément à toutes les entreprises du pays. Elle vise d'abord la sphère publique et les acteurs dont la défaillance aurait un impact important sur la nation. Le niveau d'exigence varie selon la catégorie : les infrastructures d'importance vitale supportent les obligations les plus lourdes.
Les entreprises privées qui ne relèvent d'aucune de ces catégories ne sont pas directement assujetties. Elles sont toutefois souvent concernées indirectement, comme fournisseurs ou sous-traitants d'une entité soumise, qui leur répercute des exigences contractuelles de sécurité. Pour savoir précisément si votre organisation est visée, il faut se référer au texte de la loi, à son décret et, au besoin, interroger la DGSSI.
- Administrations de l'État et collectivités territoriales
- Établissements et entreprises publics, et autres personnes morales de droit public
- Infrastructures d'importance vitale (IIV) disposant de systèmes d'information sensibles, dans des secteurs comme l'énergie, la finance, la santé, les transports ou les télécommunications
- Exploitants de réseaux publics de télécommunications et fournisseurs d'accès à Internet
- Prestataires de services de cybersécurité et certains prestataires de services numériques ou éditeurs de plateformes
Les principales obligations à respecter
Les obligations se répartissent en trois familles : la gouvernance (qui est responsable et selon quelle politique), la gestion des risques et des mesures techniques, et la relation avec l'autorité nationale (déclarations, audits, contrôles). Pour les infrastructures d'importance vitale, s'y ajoutent des exigences renforcées, comme l'homologation des systèmes sensibles avant leur mise en service et des règles sur l'hébergement de leurs données sensibles.
Le texte prévoit des sanctions en cas de manquement. Leur montant et leurs conditions dépendant de la nature de l'infraction et de la catégorie d'entité, référez-vous directement à la loi plutôt qu'à des chiffres repris sans source.
- Adopter une politique de sécurité des systèmes d'information (PSSI) conforme aux référentiels de la DGSSI
- Désigner un responsable de la sécurité des systèmes d'information, doté de l'indépendance et des moyens nécessaires
- Inventorier et classifier les actifs informationnels selon leur sensibilité
- Conduire une analyse des risques et mettre en place des mesures de protection proportionnées
- Déclarer à la DGSSI (maCERT) les incidents de sécurité dès qu'ils sont détectés
- Faire réaliser des audits de sécurité, selon le cas par des prestataires qualifiés
- Pour les IIV : faire homologuer les systèmes d'information sensibles et respecter les règles d'hébergement des données sensibles
DNSSI, loi 09-08 et CNDP : comment s'articulent les textes ?
La Directive Nationale de la Sécurité des Systèmes d'Information (DNSSI), publiée par la DGSSI en 2013, est le référentiel de mesures de sécurité de référence pour les administrations et les infrastructures d'importance vitale. Elle s'inspire largement de la norme ISO/IEC 27002 et couvre l'organisation de la sécurité, la gestion des actifs, la sécurité physique, le contrôle d'accès, l'exploitation, la gestion des incidents et la continuité d'activité. Une organisation qui a déjà construit un SMSI selon l'ISO 27001 dispose donc d'une base solide pour démontrer sa conformité à la DNSSI.
La loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel poursuit un autre objectif : protéger les droits des personnes. Elle est contrôlée par la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel) et s'applique à toute organisation, publique ou privée, qui traite des données personnelles. Elle impose notamment des formalités auprès de la CNDP et une obligation de sécuriser les données traitées.
Les deux régimes se complètent : une même fuite de données peut constituer un incident à déclarer au titre de la loi 05-20 et un manquement à la sécurité des données personnelles au regard de la loi 09-08. D'où l'intérêt d'une gouvernance unique, où le RSSI et le responsable de la conformité données personnelles travaillent avec les mêmes registres, la même analyse de risques et la même procédure de gestion des incidents.
Quelles compétences et certifications pour se mettre en conformité ?
La conformité à la loi 05-20 est avant tout un chantier d'organisation, mais elle exige aussi des compétences techniques pour détecter et traiter les incidents. Peu d'organisations disposent de tous ces profils en interne ; la montée en compétences des équipes existantes est souvent la voie la plus réaliste.
- ISO/IEC 27001 Lead Implementer (PECB) : construire un SMSI, conduire l'analyse de risques, rédiger la PSSI et la déclaration d'applicabilité, préparer les audits. C'est la compétence la plus directement liée à la DNSSI.
- CISM (ISACA) : piloter le programme de sécurité, rendre compte à la direction et gérer les incidents ; adapté au futur RSSI.
- CISSP (ISC2) : vision large couvrant architecture, gestion des risques, sécurité des réseaux et opérations, pour les responsables sécurité expérimentés.
- CND v3 (EC-Council) : protéger, détecter et répondre au niveau réseau, pour les administrateurs systèmes et réseaux.
- CompTIA CySA+ : analyse des journaux, gestion des vulnérabilités et réponse aux incidents, pour les analystes SOC qui alimentent les déclarations au maCERT.
Par où commencer, et comment GATech peut vous aider
Une démarche pragmatique consiste à vérifier d'abord si votre organisation relève de la loi et à quelle catégorie, puis à réaliser un état des lieux par rapport à la DNSSI, à désigner un responsable de la sécurité, à formaliser la procédure de déclaration d'incidents et enfin à planifier les audits. Chacune de ces étapes repose sur des personnes formées.
GATech propose au Maroc des formations préparant aux certifications citées, examen officiel inclus : ISO 27001 Lead Implementer dès 17 900 MAD (5 jours), CISM dès 19 900 MAD (4 jours), CISSP dès 23 900 MAD (5 jours), CND v3 dès 15 900 MAD (5 jours) et CySA+ dès 12 900 MAD (5 jours), en présentiel ou en ligne.
Ce guide est fourni à titre d'information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, consultez les textes officiels, la DGSSI ou un juriste spécialisé.
Questions fréquentes
Mon entreprise privée est-elle soumise à la loi 05-20 ?
Pas nécessairement. La loi vise surtout les administrations, les établissements et entreprises publics, les infrastructures d'importance vitale et certains opérateurs (télécoms, fournisseurs d'accès, prestataires de cybersécurité et de services numériques). Une entreprise privée hors de ces catégories n'est pas directement assujettie, mais ses clients soumis à la loi peuvent lui imposer des exigences contractuelles. En cas de doute, consultez le texte et son décret ou interrogez la DGSSI.
À qui déclarer un incident de cybersécurité au Maroc ?
Les entités soumises à la loi 05-20 déclarent leurs incidents de sécurité à l'autorité nationale, la DGSSI, via son centre opérationnel maCERT. Si l'incident touche des données personnelles, il faut aussi évaluer ses obligations au regard de la loi 09-08 et de la CNDP.
Quelle différence entre la loi 05-20 et la DNSSI ?
La loi 05-20 est un texte législatif qui fixe les obligations, les acteurs concernés et les sanctions. La DNSSI, publiée par la DGSSI en 2013, est un référentiel technique de mesures de sécurité, inspiré de l'ISO/IEC 27002, qui sert de base pour mettre en œuvre ces obligations dans les administrations et les infrastructures d'importance vitale.
La certification ISO 27001 suffit-elle pour être conforme à la loi 05-20 ?
Non, pas automatiquement. Un SMSI certifié ISO 27001 couvre une grande partie des mesures attendues par la DNSSI et facilite fortement la conformité, mais la loi impose aussi des obligations propres : déclaration d'incidents à la DGSSI, homologation de certains systèmes, recours à des prestataires qualifiés pour certains audits. Il faut donc compléter le SMSI par ces exigences spécifiques.
Quelle certification choisir pour piloter la conformité à la loi 05-20 ?
Pour construire le dispositif de gouvernance et la PSSI, l'ISO 27001 Lead Implementer est la plus directement utile. Pour un RSSI qui pilote le programme et rend compte à la direction, le CISM ou le CISSP sont des choix solides. Pour les équipes techniques chargées de détecter et traiter les incidents, le CND v3 et la CySA+ sont plus adaptés.
Équipe pédagogique GATech
Formateurs et consultants en cybersécurité qui préparent aux certifications CEH, OSCP+, CISSP, CompTIA et ISO 27001 au Maroc.
Publié le
