La DGSSI, autorité nationale de la cybersécurité au Maroc
La Direction Générale de la Sécurité des Systèmes d'Information (DGSSI) est l'autorité marocaine chargée de la sécurité des systèmes d'information, rattachée à l'administration de la défense nationale. Son rôle historique a d'abord concerné les administrations publiques et les infrastructures dites sensibles, avant de s'étendre progressivement à un rôle de référence pour l'ensemble de l'écosystème marocain, y compris les entreprises privées qui souhaitent structurer leur sécurité selon un cadre reconnu. La DGSSI publie des directives, des référentiels et des recommandations techniques qui servent de base à de nombreux audits de sécurité menés au Maroc, qu'il s'agisse d'audits organisationnels, de tests d'intrusion ou de revues de configuration. Pour une entreprise, comprendre le rôle de la DGSSI, c'est comprendre qu'il existe une autorité de référence nationale en cybersécurité, dont les principes structurent une grande partie des attentes réglementaires et des bonnes pratiques attendues au Maroc, même en dehors des secteurs strictement réglementés. De nombreux prestataires de sécurité marocains s'appuient d'ailleurs sur ces référentiels pour construire leurs méthodologies d'audit, ce qui en fait un langage commun entre entreprises, cabinets de conseil et autorités de contrôle. Une entreprise qui prépare un dossier de conformité ou qui répond à un appel d'offres exigeant a donc tout intérêt à se familiariser avec ce cadre, même sommairement, plutôt que de le découvrir au moment où un client ou un partenaire le demande explicitement.
La loi 09-08 et la protection des données personnelles
La loi 09-08 est le texte marocain qui encadre le traitement des données à caractère personnel. Elle impose des principes désormais classiques en matière de protection des données : informer les personnes concernées de la collecte de leurs données, limiter la collecte à ce qui est nécessaire, sécuriser les données contre les accès non autorisés, et permettre certains droits aux personnes concernées sur leurs propres informations. Le contrôle de l'application de cette loi relève de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel), qui reçoit notamment les déclarations de traitement de données. Pour une entreprise marocaine qui collecte des données clients, salariés ou prospects — ce qui concerne pratiquement toutes les organisations — la loi 09-08 n'est pas un texte théorique : c'est un cadre qui doit se traduire concrètement dans la manière dont les données sont stockées, sécurisées et partagées. Cela vaut aussi bien pour des données stockées sur des serveurs internes que pour des données confiées à des prestataires externes ou hébergées dans le cloud : la responsabilité de la protection des données ne disparaît pas simplement parce que leur traitement est sous-traité à un tiers. Une entreprise reste comptable de la façon dont les données qu'elle collecte sont effectivement protégées, quel que soit l'endroit où elles transitent ou sont conservées.
Ce qu'une entreprise doit concrètement mettre en place
Au-delà des textes, la conformité DGSSI/CNDP se traduit par des mesures très concrètes. Cartographier les données personnelles traitées (RH, clients, prospects) et savoir précisément où elles sont stockées, sur quels systèmes et par quels prestataires éventuels. Mettre en place des mesures de sécurité proportionnées : contrôle des accès, sauvegardes régulières, chiffrement des données les plus sensibles, journalisation des accès aux systèmes qui hébergent ces données. Documenter les traitements et, selon les cas, procéder aux déclarations attendues auprès de la CNDP. Sensibiliser les équipes qui manipulent des données personnelles ou des systèmes sensibles, car une bonne partie des incidents de sécurité liés aux données proviennent d'erreurs humaines plutôt que d'attaques sophistiquées. Ces éléments ne relèvent pas uniquement du service juridique : ils touchent directement l'IT, la sécurité et l'organisation interne dans son ensemble, ce qui explique pourquoi une démarche de conformité efficace implique généralement une coordination entre plusieurs fonctions de l'entreprise plutôt qu'un travail isolé.
Par où commencer quand on n'a pas d'équipe sécurité dédiée
De nombreuses PME marocaines n'ont pas de RSSI ni d'équipe conformité interne. Cela ne dispense pas des obligations, mais cela signifie qu'il faut prioriser intelligemment plutôt que de chercher l'exhaustivité immédiate. Un bon point de départ consiste à réaliser un état des lieux (gap analysis) pour identifier les écarts entre la situation actuelle et les attentes réglementaires, puis à construire une feuille de route réaliste plutôt que de vouloir tout corriger en même temps. Cette feuille de route doit distinguer ce qui relève de l'urgent (par exemple des accès non sécurisés à des données sensibles) de ce qui peut être traité sur plusieurs mois (par exemple la formalisation complète de politiques internes). Un accompagnement externe — audit, conseil en conformité — permet souvent d'avancer plus vite qu'en tentant de tout gérer en interne sans expertise dédiée disponible au quotidien, notamment parce qu'un regard extérieur identifie plus facilement les angles morts qu'une équipe interne, absorbée par l'exploitation courante, ne voit pas toujours.
Les erreurs les plus fréquentes
Trois erreurs reviennent régulièrement dans les entreprises marocaines qui abordent ce sujet pour la première fois. Considérer que la conformité ne concerne que les grandes entreprises ou les secteurs réglementés (banque, santé) — alors que les principes de la loi 09-08 s'appliquent dès qu'il y a traitement de données personnelles, quelle que soit la taille de l'organisation ou son secteur d'activité. Traiter la conformité comme un projet ponctuel plutôt qu'un processus continu : les référentiels évoluent, l'organisation aussi, que ce soit par la croissance de ses effectifs, l'ajout de nouveaux outils ou l'évolution de son activité. Se concentrer uniquement sur l'aspect documentaire (politiques, chartes) sans mettre en œuvre les mesures techniques correspondantes, ce qui laisse un écart entre ce qui est écrit sur le papier et ce qui est réellement appliqué au quotidien — un écart qui devient particulièrement visible lors d'un incident de sécurité ou d'un audit externe.