De la cybersécurité à la résilience numérique : changer de paradigme

# De la cybersécurité à la résilience numérique : changer de paradigme

LinkedIn sources :

• Publication du 28 avril 2025 — Gouvernance des données post-CNSS
• Publication du 30 avril 2025 — Cyber-résilience et gouvernance

---

La vraie question n'est plus si une cyberattaque peut toucher votre organisation. C'est quand — et surtout : êtes-vous prêts à y faire face ?

Ray A. Rothrock, dans son ouvrage Digital Resilience: Is Your Company Ready for the Next Cyber Threat?, le formule sans détour : ce n'est pas l'attaque qui met à terre une entreprise, mais sa capacité — ou non — à réagir intelligemment. L'incident CNSS d'avril 2025 l'a illustré à l'échelle d'une institution nationale.

Ce troisième volet de notre série ne revient pas sur les faits ni sur le cadre juridique. Il tire les conséquences stratégiques d'un changement de paradigme devenu inévitable : passer de la cybersécurité à la résilience numérique.

Deux notions distinctes, une nécessité commune

La cybersécurité cherche à prévenir et bloquer. La résilience numérique accepte qu'une attaque peut réussir, et construit la capacité à absorber, contenir, réagir vite — et repartir.

Ce glissement n'est pas un abandon de la prévention. C'est une maturité supplémentaire : celle qui reconnaît que le risque zéro n'existe pas, et que la vraie valeur d'une organisation se mesure à sa capacité de rebond.

Pour les dirigeants, les administrateurs et les directeurs juridiques, ce changement de paradigme a trois implications directes.

Trois leçons pour les décideurs

1. La cybersécurité est une gouvernance du risque, pas seulement une affaire technique

Tant que la cybersécurité reste dans le périmètre de la DSI, elle est sous-traitée. Le conseil d'administration, le COMEX et la direction juridique doivent s'en emparer comme d'un sujet de gouvernance à part entière.

Concrètement : le risque cyber doit figurer dans la cartographie des risques stratégiques, dans les travaux des comités d'audit, et dans les tableaux de bord de la direction générale. Ce n'est pas une case à cocher — c'est une posture de gouvernance.

2. Les entreprises résilientes préparent le chaos à froid

Tests de pénétration, plans de continuité d'activité, simulations d'incidents impliquant les métiers (pas seulement la DSI), exercices de crise incluant la direction juridique et la communication : la résilience se construit avant l'incident, pas pendant.

L'organisation qui découvre son plan de réponse aux incidents le jour où elle en a besoin n'a pas de plan de réponse aux incidents.

3. La résilience se mesure — et elle impacte la valeur

La résilience numérique n'est pas une dépense de conformité. Elle a un impact mesurable sur la valorisation de l'entreprise, sur sa réputation auprès des partenaires et investisseurs, et sur la confiance des parties prenantes. Un groupe coté ou en cours d'ouverture du capital qui ne peut pas démontrer une gouvernance cyber mature court un risque réputationnel et financier tangible.

Ce que l'affaire CNSS nous oblige à reposer

L'incident CNSS est-il un cas isolé, ou le symptôme d'un modèle à refonder ?

La réponse honnête est que les conditions qui ont permis cet incident — gouvernance fragmentée, cloisonnement entre fonctions, absence de plan de réponse impliquant les métiers, clauses contractuelles floues avec les tiers dépositaires de données — ne sont pas spécifiques à la CNSS. Elles caractérisent une large part du tissu économique et institutionnel marocain.

Ce qui est exceptionnel, c'est l'ampleur de l'exposition. Ce qui est banal, c'est la vulnérabilité sous-jacente.

Cet épisode nous oblige à reposer trois bases :

Une gouvernance numérique souveraine. La souveraineté numérique n'est pas un slogan. C'est la capacité concrète d'une organisation — et d'un État — à maîtriser ses données, ses systèmes et ses dépendances technologiques. Cela commence par cartographier ce qu'on externalise, à qui, sous quelles conditions, et avec quelles clauses de responsabilité.

Un droit agile, ancré dans la réalité opérationnelle. L'articulation entre la loi n° 09-08 sur la protection des données et la loi n° 05-20 sur la cybersécurité reste insuffisamment clarifiée dans la pratique. Les obligations de notification, la responsabilité des acteurs publics en cas de faille, les standards contractuels applicables aux tiers dépositaires de données : autant de zones grises qui appellent une clarification réglementaire urgente.

Une responsabilité collective, partagée et assumée. La résilience ne se décrète pas. Elle se construit par une culture commune du risque, une pédagogie adaptée à chaque niveau de l'organisation, et une responsabilisation effective — du conseil d'administration à l'opérationnel.

Le rôle des dirigeants et des administrateurs

Pour un administrateur indépendant ou un membre d'un comité d'audit, la question n'est pas technique. C'est : est-ce que notre organisation sait ce qu'elle ferait demain matin si elle découvrait une fuite de données à grande échelle ?

Si la réponse honnête est non — ou je ne sais pas — c'est le premier chantier à ouvrir. Avant les budgets IT, avant les contrats cloud, avant les labels de conformité.

La résilience numérique est une question de leadership, pas de technologie.

---

Cet article clôt une série de trois analyses consacrées à la cybersécurité au Maroc dans le sillage de l'incident CNSS d'avril 2025. Il s'appuie sur deux publications LinkedIn originales et sur les travaux de Ray A. Rothrock, Digital Resilience: Is Your Company Ready for the Next Cyber Threat? (2018).

→ Publication LinkedIn du 28 avril 2025 → Publication LinkedIn du 30 avril 2025