¿Incidente en curso? Repórtelo de inmediato — atención en menos de 1 hora.Reportar un incidente
Marco legal marroquí de la ciberseguridad, que establece las obligaciones de seguridad aplicables a las infraestructuras de importancia vital y a los sistemas de información de la administración pública.
Dernière mise à jour — 22 de agosto de 2026
Las infraestructuras de importancia vital (IIV) designadas por la autoridad competente, así como las administraciones públicas y sus sistemas de información. Los proveedores y subcontratistas que intervienen en estos sistemas están concernidos indirectamente, por repercusión contractual.
La Ley 05-20 y su decreto de aplicación 2-21-406 exigen la implementación de medidas de seguridad, la realización de auditorías de seguridad, así como el cumplimiento de las reglas fijadas por la Directiva Nacional de Seguridad de los Sistemas de Información (DNSSI). La DGSSI garantiza la supervisión y el control de la aplicación de este marco entre las entidades concernidas.
Plazos
Los plazos de puesta en conformidad — frecuencia de las auditorías, plazos de remediación — son fijados por la autoridad competente según la naturaleza de la entidad y la criticidad del sistema de información en cuestión. No son uniformes para el conjunto de las infraestructuras de importancia vital y deben verificarse caso por caso.
Sanciones
El dispositivo legal y reglamentario prevé un régimen de sanciones en caso de incumplimiento de las obligaciones de seguridad. Su naturaleza y su monto se fijan mediante los textos vigentes y son evaluados por la autoridad competente según la gravedad del incumplimiento constatado.
Identificar el estatus de la entidad respecto a la Ley 05-20 (infraestructura de importancia vital, administración, proveedor)
Realizar un diagnóstico de brechas respecto a los requisitos de la DNSSI
Implementar las medidas de seguridad requeridas
Encargar una auditoría de seguridad a un proveedor calificado
Garantizar el seguimiento y la remediación de las brechas detectadas
| Marco | Cubierto |
|---|---|
| passi-maroc | ✓ |
| iso-27001 | ✓ |
Reciba la checklist por correo electrónico.
Principalmente las infraestructuras de importancia vital designadas y las administraciones públicas. Los proveedores que intervienen en los sistemas de estas entidades están concernidos indirectamente.
La Directiva Nacional de Seguridad de los Sistemas de Información fija las reglas de seguridad aplicables en el marco de la Ley 05-20 y su decreto de aplicación.
La Dirección General de Seguridad de los Sistemas de Información supervisa la aplicación del marco legal, controla su implementación y califica a los proveedores de auditoría de seguridad.
La aplicación directa de la ley se dirige a las entidades designadas y a las administraciones. Una empresa no designada puede, no obstante, estar concernida indirectamente si es proveedora o subcontratista de una entidad sujeta a la ley.
El recurso a un proveedor calificado PASSI es la referencia para las auditorías realizadas en este marco reglamentario; las condiciones precisas dependen del tipo de misión y de la entidad concernida.
