Cybersécurité au Maroc : architecture juridique, intégration régionale et positionnement international
Le Maroc dispose d'un cadre juridique avancé en matière de cybersécurité. Mais l'écart entre l'existence d'une architecture normative et sa mise en œuvre effective reste le défi central — comme l'a révélé l'incident CNSS.
# Cybersécurité au Maroc : architecture juridique, intégration régionale et positionnement international
LinkedIn source : https://www.linkedin.com/posts/mustapha-el-maach_cybers%C3%A9curit%C3%A9-au-maroc-activity-7318377684558901248-y0Y0
---
Dans le contexte du GITEX Africa 2025 tenu à Marrakech, le Maroc réaffirme ses ambitions numériques africaines. Mais à mesure que les technologies progressent — cloud computing, intelligence artificielle, blockchain — les vulnérabilités informatiques se multiplient. Une question s'impose : le dispositif juridique marocain de cybersécurité est-il suffisamment robuste pour soutenir cette transformation digitale accélérée ?
L'attaque ayant visé la CNSS en avril 2025 a fourni une réponse partielle — et inquiétante. Elle a révélé la vulnérabilité critique des infrastructures marocaines face aux cybermenaces, et l'écart entre l'existence d'un cadre juridique et sa mise en œuvre effective.
La loi n° 05-20 : pierre angulaire du dispositif national
La loi n° 05-20 relative à la cybersécurité, promulguée par le Dahir n° 1-20-69 du 25 juillet 2020, constitue la colonne vertébrale de la gouvernance nationale. Elle est renforcée par la Directive Nationale de la Sécurité des Systèmes d'Information (DNSSI, version n°2-2023) et le décret n° 2-21-406 du 15 juillet 2021.
Conformément à son article 2, la cybersécurité se définit comme « l'ensemble de mesures, procédures, concepts de sécurité, méthodes de gestion des risques, actions, formations, bonnes pratiques, et technologies permettant à un système d'information de résister à des événements issus du cyberespace, susceptibles de compromettre la disponibilité, l'intégrité ou la confidentialité des données ».
Ce cadre repose sur une architecture à deux niveaux :
Les secteurs d'activités d'importance vitale (article 15) — dont la liste est publiée en annexe du décret n° 2-21-406, permettant une coordination interinstitutionnelle transparente.
Les infrastructures d'importance vitale (IIV) (article 16) — désignées par les autorités sectorielles, dont la liste est tenue confidentielle et actualisée au moins tous les deux ans. Cette confidentialité opérationnelle vise à limiter les risques de ciblage et d'ingérence.
Les apports essentiels du dispositif :
- Création de l'Autorité nationale de cybersécurité (ANC) dotée de missions de contrôle, d'audit, d'assistance et de coordination stratégique (article 38)
- Mise en place d'un Comité stratégique de la cybersécurité et d'un Comité de gestion des crises cyber (articles 35 et 36)
- Encadrement des prestataires de services numériques, opérateurs critiques et exploitants de réseaux publics (articles 26 à 34)
Le cloud souverain : un tournant réglementaire structurant
Le décret n° 2-24-921 du 22 octobre 2024 marque un jalon clé dans l'édification d'une souveraineté numérique effective. Il encadre strictement le recours aux prestataires cloud pour les données et systèmes sensibles des entités publiques et des IIV.
Ce décret institue deux niveaux de qualification pour les prestataires :
- Niveau 1 : hébergement de systèmes d'information sensibles
- Niveau 2 : traitement de données sensibles, avec des exigences renforcées de nationalité et de localisation — hébergement exclusivement sur le territoire national, structures juridiques de droit marocain avec majorité de capital national, personnel opérationnel marocain pour la gestion technique
L'article 17 autorise, à titre transitoire, le recours à un prestataire non qualifié sous réserve d'une étude de risques approfondie — une disposition pragmatique qui s'inscrit dans la logique de gestion du risque posée par la DNSSI.
Ce décret cloud est particulièrement significatif pour les entreprises marocaines qui externalisent tout ou partie de leurs systèmes : il clarifie les conditions de conformité et introduit un niveau d'exigence que beaucoup n'avaient pas encore anticipé.
Conventions de Malabo et de Budapest : l'ancrage international du Maroc
La Convention de Malabo (Union africaine)
Ratifiée par le Maroc via la loi n° 52-21 (Dahir n° 1-22-12 du 17 février 2022), la Convention de Malabo engage les États signataires à adopter des lois nationales en matière de protection des données (articles 8 à 24) et contre la cybercriminalité (article 25), et à mettre en place des autorités de contrôle et des centres de réponse aux incidents.
Cette ratification a été approuvée sous réserve d'une déclaration interprétative formulée par le Maroc, dont le contenu exact ne figure pas explicitement dans le Dahir d'approbation — une pratique permettant généralement de préserver la souveraineté nationale dans l'application de certaines obligations conventionnelles.
La Convention de Budapest (Conseil de l'Europe)
Approuvée dès 2014 via la loi n° 136-12 (Dahir n° 1-14-85) et publiée en 2020, elle impose la criminalisation de l'accès illégal, de l'interception illégale, de l'atteinte à l'intégrité des données et des systèmes, de la fraude informatique et de la diffusion de contenus illicites. Elle prévoit également des mesures procédurales d'investigation numérique et une coopération judiciaire renforcée.
En 2024, le Maroc a signé le deuxième protocole additionnel à cette convention, facilitant l'échange transfrontalier d'informations avec les fournisseurs de services — un signal fort d'alignement sur les standards internationaux.
Ces deux conventions sont directement applicables au Maroc après publication au Bulletin officiel. Certaines dispositions peuvent néanmoins nécessiter une intégration législative complémentaire pour assurer leur effectivité concrète.
Le paradoxe marocain : des fondements solides, une déclinaison inégale
La Stratégie nationale de cybersécurité 2030, qui fait de la résilience numérique un pilier de la souveraineté technologique, est en vigueur. Mais sa diffusion reste discrète et son appropriation sectorielle inégale.
Les fondements existent. Le défi réside dans la déclinaison opérationnelle et la coordination intersectorielle.
Recommandations pour une gouvernance numérique crédible
Sur le plan juridique et institutionnel :
- Accélérer l'appropriation de la stratégie nationale par chaque secteur d'activité
- Renforcer les prérogatives de l'ANC en matière de contrôle et de sanction, à l'image de l'ANSSI française
- Mettre en place un CERT intersectoriel en lien avec la DNSSI, inspiré des dispositifs américain (CISA) et français
- Instaurer un cadre d'échange permanent entre autorités de contrôle, opérateurs critiques et organes judiciaires
Sur le plan normatif et contractuel :
- Intégrer dans les référentiels publics les normes ISO/IEC 27001, 27005, 27017 et le cadre NIST
- Créer un label national « CyberSécurité Confiance Maroc », attribué sur audit technique — sur le modèle du label SecNumCloud français
Sur le capital humain et la culture du risque :
- Mettre en place une Académie nationale de cybersécurité, adossée à l'administration publique et en partenariat avec les universités et établissements spécialisés
- Prévoir des formations certifiantes obligatoires pour les cadres techniques, juridiques et décisionnels des secteurs régulés
- Lancer des campagnes de sensibilisation sur tout le territoire
Gouverner la cybersécurité, c'est gouverner l'avenir
Le Maroc dispose d'un cadre juridique avancé, d'une stratégie nationale claire et d'un ancrage normatif international solide. La priorité réside désormais dans la mise en œuvre effective, l'appropriation sectorielle et la formation d'un capital humain qualifié.
La cybersécurité n'est pas qu'une question technique. C'est un enjeu stratégique de souveraineté, de compétitivité et de confiance. Elle exige une gouvernance proactive, une coordination interinstitutionnelle, et une culture du risque partagée à tous les niveaux de l'organisation.
---
Cet article est la version enrichie d'une publication LinkedIn originale (avril 2025). Il constitue le second volet d'une série de trois analyses consacrées à la cybersécurité au Maroc dans le sillage de l'incident CNSS.
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Articles liés
Convention de Malabo, DSA et régulation des plateformes : l'angle mort africain et européen des groupes marocains
Les groupes marocains se structurent sur les standards européens. Mais deux angles morts persistent : la Convention de Malabo côté africain, le DSA côté européen. Les deux produisent des effets directs — et la sanction de 120M€ infligée à X ne laisse aucun doute.
NIS2 et supply chain : pourquoi la cybersécurité est devenue un sujet de conseil d'administration
NIS2 transforme la cybersécurité en obligation juridique de gouvernance. Pour les fournisseurs marocains des donneurs d'ordre européens, c'est désormais un critère d'accès aux marchés — et une responsabilité personnelle des dirigeants.
Maroc Digital 2030 : test de maturité de gouvernance pour le secteur privé
Maroc Digital 2030 n'est pas une feuille de route technologique réservée à l'État. C'est un test de maturité de gouvernance pour le secteur privé marocain — avec des effets juridiques immédiats via les lois 05-20 et 09-08, ChatControl et la protection des mineurs en ligne.