Cyberattaque contre la CNSS : un signal d'alarme pour la gouvernance des données personnelles au Maroc

# Cyberattaque contre la CNSS : un signal d'alarme pour la gouvernance des données personnelles au Maroc

LinkedIn source : https://www.linkedin.com/posts/mustapha-el-maach_cyberattaque-contre-la-cnsslecture-crois%C3%A9e-activity-7316931301465350144-EdfT

---

La cyberattaque subie par la Caisse Nationale de Sécurité Sociale (CNSS) en avril 2025 n'est pas un incident technique isolé. C'est un révélateur systémique — de nos failles de gouvernance, de notre dépendance numérique, et de notre capacité réelle à y faire face collectivement.

En ma qualité de Directeur Support Groupe supervisant les fonctions juridiques et IT d'une holding industrielle, j'observe au quotidien comment les problématiques juridiques, opérationnelles et technologiques s'entrelacent. Cette hybridation des enjeux impose une co-responsabilité entre directions juridiques, DSI, direction des risques et comité exécutif. C'est précisément ce que l'incident CNSS a mis à nu.

Ce qui s'est passé : bien plus qu'une faille technique

La CNSS a subi une attaque ayant conduit à la fuite massive de données personnelles de salariés marocains sur le dark web. Les données concernées — bien qu'originellement issues d'entreprises privées — ont été exposées via un acteur public dépositaire, chargé de leur conservation et de leur traitement légal.

Ce déplacement est fondamental : la faille n'est pas survenue chez les entreprises qui ont transmis les données, mais chez l'organisme public qui les détenait. Cela soulève des questions précises sur la chaîne de traitement, la co-responsabilité dans la gestion du risque, et les droits des personnes concernées.

La donnée n'est plus un actif secondaire. Elle est devenue un levier stratégique, un risque majeur et une source potentielle de contentieux à grande échelle.

Le cadre juridique applicable : ce que la loi dit, et ce qu'elle impose

Sur la protection des données personnelles

L'article 23 de la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel impose à tout responsable de traitement — public ou privé — de mettre en œuvre « toutes les mesures techniques et organisationnelles appropriées pour préserver la sécurité des données ». Cette obligation s'applique pleinement à la CNSS en tant que responsable autonome du traitement.

La loi n° 09-08 ne prévoit aucune exonération de responsabilité en cas de cyberattaque. Les articles 57 à 61 prévoient des sanctions pouvant aller jusqu'à 300 000 dirhams d'amende et des peines d'emprisonnement dans les cas les plus graves, notamment en cas de négligence grave ou de non-coopération avec la CNDP.

Sur les obligations spécifiques de cybersécurité

La loi n° 05-20 relative à la cybersécurité renforce ces exigences pour les entités publiques comme la CNSS :

• Article 4 : obligation d'adopter une politique de sécurité des systèmes d'information
• Article 5 : classification des actifs numériques selon leur criticité
• Article 6 : désignation d'un responsable de la sécurité des SI (RSSI)
• Article 7 : obligation de déclarer les incidents majeurs à la DGSSI

L'articulation entre ces deux lois — 09-08 et 05-20 — reste insuffisamment clarifiée dans la pratique. C'est l'un des angles morts de notre dispositif normatif actuel.

Les angles morts de la gouvernance des risques

L'incident CNSS révèle plusieurs failles structurelles récurrentes dans les organisations marocaines :

La cybersécurité reste cloisonnée. Elle est traitée entre la DSI et, parfois, la direction juridique — sans coordination avec les fonctions RH, finance, communication et direction générale. Ce cloisonnement est précisément ce qui ralentit la réponse en cas d'incident.

Les clauses contractuelles sont floues ou absentes. Les relations avec les tiers dépositaires de données — organismes publics, sous-traitants, prestataires cloud — sont rarement encadrées par des clauses précises de sécurité, de notification d'incident et de responsabilité en cascade.

Il n'existe pas de plan de réponse aux incidents impliquant les métiers. La réponse juridique arrive après la bataille. Elle doit faire partie du plan de continuité, pas d'une réaction à chaud.

Le risque cyber est absent des cartographies stratégiques d'entreprise. Très peu d'entreprises marocaines font de la cybersécurité un axe de leur cartographie des risques, alors que ses implications sont transversales : juridique, RH, IT, finance, relations sociales.

Ce que les décideurs doivent retenir

Dix jours après l'onde de choc, cinq enseignements s'imposent :

1. La donnée est un actif stratégique, pas un sujet technique. La gouvernance des données doit sortir des silos IT. Elle relève du conseil d'administration et des organes de pilotage stratégiques.

2. L'externalisation ne protège pas — elle engage. Confier des données à un tiers, public ou privé, n'est pas un transfert de responsabilité. La co-responsabilité doit être juridiquement encadrée et contractuellement maîtrisée.

3. Le droit n'est plus un remède, c'est un réflexe de crise. Gestion des preuves, alertes aux autorités compétentes (CNDP, DGSSI), communication maîtrisée : la réponse juridique doit faire partie du plan de continuité d'activité.

4. L'audit indépendant post-crise doit devenir une norme de transparence. Sans regard extérieur, les mêmes causes produiront les mêmes vulnérabilités.

5. Le risque cyber doit être porté par tous — du COMEX à l'opérationnel. La résilience ne se décrète pas. Elle se construit par une culture commune, une pédagogie adaptée et une responsabilisation à chaque niveau.

Cinq recommandations opérationnelles

Sans prétention d'exhaustivité, et en tant que praticien du droit des affaires impliqué dans la gestion des risques :

1. Cartographier les flux de données confiés à des tiers, publics ou privés
2. Mettre à jour les clauses contractuelles relatives à la sécurité, à la sous-traitance et à la notification d'incident
3. Mettre en place un plan de réponse aux cyberincidents mêlant juridique, IT, RH et communication
4. Former les instances dirigeantes à la gouvernance des données personnelles et aux risques cyber
5. Intégrer le risque cyber dans les comités d'audit et les cartographies stratégiques d'entreprise

Vers un débat national structuré

La CNSS centralise, pour le compte de l'État, les données personnelles de millions de salariés. Lorsqu'un incident se produit, les entreprises et leurs collaborateurs se trouvent démunis face à une faille qu'ils n'ont ni générée ni contrôlée.

Il revient aux organisations représentatives du secteur privé — CGEM, fédérations professionnelles, associations sectorielles — d'exiger transparence et audits indépendants, de promouvoir un plan national de sécurisation des données sensibles, et d'instaurer un dialogue structuré avec la CNDP et la DGSSI.

Ce débat doit rassembler juristes, RSSI, DSI, directions générales, acteurs institutionnels et partenaires sociaux — dans un esprit constructif, souverain et préventif. Non pas pour désigner des coupables, mais pour poser des bases solides.

La conformité formelle ne protège pas contre une exposition réelle et systémique. La gouvernance des données doit être traitée comme un pilier stratégique, au cœur de la souveraineté opérationnelle et de la confiance économique.

---

Cet article est la version enrichie d'une publication LinkedIn originale (avril 2025). Il s'inscrit dans une série de trois analyses consacrées à la cybersécurité au Maroc dans le sillage de l'incident CNSS.

→ Voir la publication LinkedIn originale