DGSSI, loi 09-08 et conformité : ce que la réglementation cybersécurité impose aux entreprises marocaines

Introduction

De plus en plus d’entreprises marocaines découvrent leurs obligations réglementaires en matière de cybersécurité au pire moment possible : après un incident, lors d’un contrôle, ou parce qu’un client ou partenaire l’exige contractuellement. Cet article présente un panorama clair — non exhaustif et sans valeur de conseil juridique — du cadre réglementaire marocain, pour aider les dirigeants à situer leurs obligations.

Avertissement : cet article a une vocation informative et ne remplace pas l’avis d’un juriste spécialisé. Le cadre réglementaire évolue ; vérifiez toujours les textes officiels en vigueur.

La DGSSI : qui est-ce et que fait-elle

La Direction Générale de la Sécurité des Systèmes d’Information (DGSSI) est l’autorité marocaine chargée de la sécurité des systèmes d’information, notamment pour les infrastructures dites sensibles ou critiques. Elle a pour mission, entre autres :

• De définir des référentiels et directives de sécurité des systèmes d’information
• D’accompagner les administrations et certains opérateurs dans le renforcement de leur posture de sécurité
• De coordonner la réponse nationale en cas d’incidents majeurs de cybersécurité
• De superviser certaines obligations applicables aux Infrastructures d’Importance Vitale (IIV), dans les secteurs identifiés comme stratégiques (énergie, finance, télécommunications, santé, etc.)

Pour les entreprises identifiées comme opérateurs d’importance vitale ou souhaitant obtenir certaines certifications, des exigences spécifiques de sécurité s’appliquent, avec audits et mesures de conformité définies par la DGSSI.

La loi 09-08 : la protection des données personnelles

La loi 09-08 encadre au Maroc le traitement des données à caractère personnel, sous la supervision de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel). Elle s’applique à toute entreprise qui collecte, traite ou stocke des données personnelles — ce qui concerne, dans les faits, la quasi-totalité des entreprises disposant d’une base clients, d’un site web avec formulaire, ou d’un système RH.

Les grands principes de cette loi incluent :

• La déclaration ou autorisation préalable de certains traitements de données personnelles auprès de la CNDP
• Le consentement de la personne concernée pour la collecte et le traitement de ses données, sauf exceptions prévues par la loi
• La finalité déterminée : les données ne peuvent être collectées que pour un objectif précis et légitime
• La sécurisation des données : l’entreprise responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles pour protéger ces données contre l’accès non autorisé, la perte ou la divulgation
• Les droits des personnes concernées : accès, rectification, opposition à leurs données

Pourquoi la cybersécurité technique est indissociable de la conformité légale

Une entreprise peut avoir rempli toutes ses formalités déclaratives auprès de la CNDP et rester malgré tout en défaut de conformité si elle ne peut pas démontrer avoir mis en œuvre des mesures de sécurité effectives. C’est ici que la dimension technique rejoint la dimension réglementaire :

• Un SIEM ou une supervision de sécurité permet de démontrer une traçabilité des accès aux données personnelles
• Un firewall correctement configuré et des accès distants sécurisés participent directement à la protection exigée par la loi
• Une politique de gestion des mots de passe et d’authentification renforcée limite les risques d’accès non autorisé
• Un plan de réponse à incident documenté devient indispensable en cas de fuite de données, notamment si une notification est requise

Ce que cela signifie concrètement pour une PME marocaine

Même une petite entreprise qui n’est pas un opérateur d’importance vitale et n’est donc pas directement supervisée par la DGSSI reste, dans l’immense majorité des cas, concernée par la loi 09-08 dès lors qu’elle traite des données personnelles de clients, prospects ou employés. Les questions à se poser :

1. Avons-nous déclaré nos traitements de données personnelles auprès de la CNDP lorsque cela est requis ?
2. Savons-nous précisément où sont stockées les données personnelles que nous collectons ?
3. Pouvons-nous démontrer, en cas de contrôle ou d’incident, que des mesures de sécurité raisonnables ont été mises en place ?
4. Avons-nous un processus défini en cas de fuite ou de compromission de données ?

Conclusion

La conformité réglementaire et la cybersécurité technique ne sont pas deux sujets distincts : l’une repose sur l’autre. Pour une entreprise marocaine, se mettre en conformité avec la loi 09-08 et, le cas échéant, les exigences de la DGSSI, nécessite à la fois une démarche administrative et une réalité technique tangible sur le terrain.

AmanLik accompagne les entreprises marocaines dans l’alignement de leur infrastructure technique avec leurs obligations réglementaires. Contactez-nous pour un état des lieux de votre conformité.