مرسوم رقم 2.24.921 يتعلق بلجوء الهيئات والبنيات التحتية ذات الأهمية الحيوية المتوفرة على نظم معلومات حساسة أو معطيات حساسة إلى مقدمي الخدمات الرقمية السحابية

لأجل تطبيق أحكام الفقرة الأولى من المادة 25 من القانون المشار إليه أعلاه رقم 05.20 ، يتعين على مسؤولي الهيئات والبنيات التحتية ذات الأهمية الحيوية، عند لجوئهم إلى الخدمات الرقمية السحابية في ما يخص نظم المعلومات الحساسة والمعطيات الحساسة، وخاصة لتعزيز الوظائف الأمنية، أن يستعينوا بمقدم خدمات رقمية سحابية مؤهل وفق مقتضيات هذا المرسوم.

تستعين الهيئات والبنيات التحتية ذات الأهمية الحيوية المشار إليها في المادة الأولى أعلاه بمقدم خدمات رقمية سحابية مؤهل:

1. –من المستوى الأول، المنصوص عليه في المادة 4 أدناه، قصد إيواء نظم المعلومات الحساسة أو إدارتها أو استغلالها، بشكل جزئي أو كلي؛
2. –من المستوى الثاني، المنصوص عليه في المادة 5 من هذا المرسوم، قصد معالجة المعطيات الحساسة أو استغلالها أو تخزينها، بشكل جزئي أو كلي.

يؤهل مقدمو الخدمات الرقمية السحابية لتوفير خدمة أو أكثر تنتمي، على الخصوص، إلى صنف من الأصناف التالية:

» البنية التحتية كخدمة )laaS( «: يوفر هذا الصنف البنية التحتية المعلوماتية الأساسية، وتشمل الخوادم الافتراضية والشبكات والتخزين ونظم الاستغلال عند الطلب؛

»المنصة كخدمة )PaaS( « : يوفر هذا الصنف الولوج إلى منصة لإيواء التطبيقات، وتشمل أدوات التطوير وبيئات التنفيذ وخدمات النشر؛

»البرمجيات كخدمة )SaaS( «: يمكن هذا الصنف من استخدام تطبيقات يتم إيواؤها على منصة سحابية.

يخضع تأهيل مقدم الخدمات الرقمية السحابية من المستوى الأول للمتطلبات التالية:

1. –أن يؤسس في شكل شركة مساهمة أو شركة ذات مسؤولية محدودة خاضعة للقانون المغربي؛
2. –أن يتوفر على الخبرة الكافية والموارد والوسائل اللازمة لتوفير الخدمات الرقمية السحابية؛
3. –أن يتوفر على منصة تقنية تمكن بطريقة آلية من إدارة الخدمات موضوع التأهيل المنصوص عليها في المادة 3 أعلاه؛
4. –أن تكون جميع بنيات الإيواء وأنظمة المعلومات الخاصة به المستخدمة في تشغيل وإدارة الخدمات متواجدة داخل التراب الوطني؛
5. –أن يستوفي الشروط الواردة في مرجع متطلبات تأهيل مقدمي الخدمات الرقمية السحابية، المحدد بقرار للسلطة الحكومية المكلفة بإدارة الدفاع الوطني.

علاوة على المتطلبات المنصوص عليها في المادة 4 أعلاه، يخضع تأهيل مقدم الخدمات الرقمية السحابية من المستوى الثاني للمتطلبات التالية:

1. 1-أن يكون أغلبية الشركاء في الشركة مغاربة ويمتلكون أغلبية رأسمالها بالنسبة للشركة ذات المسؤولية المحدودة، وأن يكون أغلبية رأسمالها مملوكا من لدن مغاربة بالنسبة لشركة المساهمة؛
2. 2-ألا يتضمن النظام الأساسي للشركة أو أي عقد آخر بين الشركاء أو المساهمين بندا يمنح سلطات أو صلاحيات لباقي الشركاء أو المساهمين من غير المنصوص عليهم في البند 1 أعلاه لاتخاذ قرارات قد تتعارض مع المتطلبات والالتزامات الواردة في هذا المرسوم، ولا سيما المواد 4 و 5 و 13 منه؛
3. 3-أن تتم معالجة المعطيات واستغلالها وتخزينها، حصريا، داخل التراب الوطني؛
4. 4-أن تتم إدارة الخدمات موضوع التأهيل ومراقبتها، حصريا، انطلاقا من التراب الوطني وداخله؛
5. 5-ألا يسمح للشركات المشار إليها في البند الثامن من المادة 6 من هذا المرسوم، بالولوج إلى معطيات الهيئة أو البنية التحتية ذات الأهمية الحيوية أو الاطلاع عليها؛
6. 6-أن يكون المستخدمون المكلفون باستغلال وإدارة الخدمة مغاربة وأن يتحلوا بالنزاهة والاستقامة.

يجوز، بكيفية استثنائية، وبالنظر إلى ضرورة تطوير قطاع الخدمات الرقمية السحابية وتحقيقا للمصلحة الوطنية، تأهيل مقدم خدمات رقمية سحابية دون التقيد بالبندين الأول والثاني من الفقرة الأولى أعلاه، وذلك بعد حصول السلطة الوطنية المنصوص عليها في القانون السالف الذكر رقم 05.20 على الموافقة المسبقة لرئيس الحكومة.

يودع طلب التأهيل من لدن مقدم الخدمات الرقمية السحابية لدى السلطة الوطنية أو يوجه إليها بطريقة إلكترونية، مشفوعا بملف يتضمن الوثائق التالية:

1. –نسخة من النظام الأساسي للشركة؛
2. –شهادة تقييد الشركة بالسجل التجاري؛
3. –الوثائق التي تبين توزيع رأسمال الشركة؛
4. –نسخ من الوثائق المثبتة لهوية مسيري الشركة وأعضاء أجهزة إدارتها؛
5. –مذكرة توضح الموارد البشرية والتقنية المتوفرة لدى الشركة؛
6. –نسخة من السجل العدلي للمستخدمين المكلفين باستغلال وإدارة الخدمة، وكذا سيرهم الذاتية ونسخة من عقود الشغل المبرمة معهم؛
7. –نسخ من الشهادات المرجعية المسلمة من لدن أصحاب المشاريع الذين تم تقديم خدمات رقمية سحابية لفائدتهم، تتضمن على الخصوص طبيعة الخدمة وتاريخ تنفيذها؛
8. –قائمة الشركات التي يعهد إليها، بموجب عقود، بإيواء الخدمة الرقمية السحابية أو استغلالها أو إدارتها أو صيانة الخدمة أو دعمها التقني مع تحديد تسميتها ومقرها الاجتماعي وطبيعة الأنشطة المتعاقد بشأنها، عند الاقتضاء؛
9. –ملف تقني يتعلق بالخدمات الرقمية السحابية يتضمن، على الخصوص، توصيفا لتدفق المعطيات وللوظائف الأمنية ولأداء الخدمات وخصائصها وللتصميم الهندسي للمعدات والبرمجيات؛
10. –التصميم الهندسي للمنصة التقنية المستعملة في استغلال وإدارة الخدمة الرقمية السحابية؛
11. –وثيقة يتعهد بواسطتها صاحب الطلب باحترام الالتزام المنصوص عليه في الفقرة الثانية من المادة 13 من هذا المرسوم، عند الاقتضاء؛
12. –كل شهادة أو وثيقة تقنية أخرى تعزز ملف الطلب.

بعد التأكد من استيفاء ملف الطلب لكافة الوثائق والمعلومات المطلوبة، تجري السلطة الوطنية تقييما للخدمة أو للخدمات موضوع الطلب، أو تعهد بهذا التقييم، على نفقة صاحب الطلب، إلى هيئة تحددها السلطة الوطنية لهذا الغرض.

ويمكن، عند الاقتضاء، أن يشمل هذا التقييم الخدمات المقدمة من لدن الشركات المشار إليها في البند الثامن من المادة 6 أعلاه لفائدة مقدم الخدمات الرقمية السحابية.

يتم إجراء التقييم المنصوص عليه في المادة 7 أعلاه وفق الشروط الواردة في مرجع متطلبات تأهيل مقدمي الخدمات الرقمية السحابية المشار إليه في المادة 4 من هذا المرسوم.

بناء على نتائج التقييم المنصوص عليه في المادة 7 أعلاه، يمكن للسلطة الوطنية أن تتخذ قرارا لتأهيل مقدم الخدمات الرقمية السحابية يتضمن على الخصوص:

1. –تسمية مقدم الخدمات وعنوان مقره الاجتماعي؛
2. –مستوى التأهيل؛
3. –الخدمة أو الخدمات موضوع التأهيل وصنفها؛
4. –مدة صلاحية التأهيل على ألا تتجاوز خمس (5) سنوات.

في حالة رفض طلب التأهيل، تبلغ السلطة الوطنية قرارها كتابة إلى صاحب الطلب.

يجدد تأهيل مقدم الخدمات الرقمية السحابية وفق نفس المتطلبات والمسطرة المقررة للحصول عليه، على أن يتم تقديم طلب التجديد ستة (6) أشهر على الأقل قبل انتهاء مدة صلاحية التأهيل.

يتعين على مقدم الخدمات الرقمية السحابية إخبار السلطة الوطنية، فورا، بكل تغيير يطرأ على أحد العناصر التي تم على أساسها منحه التأهيل.

تنشر لائحة مقدمي الخدمات الرقمية السحابية المؤهلين بالجريدة الرسمية وفي موقع الأنترنت الخاص بالسلطة الوطنية.

يلتزم مقدم الخدمات الرقمية السحابية المؤهل باحترام القواعد والأنظمة والدلائل المرجعية التقنية المتعلقة بأمن نظم المعلومات المشار إليها في المادة 10 من القانون السالف الذكر رقم 05.20.

وعلاوة على ذلك، يلتزم مقدم الخدمات الرقمية السحابية المؤهل من المستوى الثاني بعدم تمكين أي جهة كانت من معطيات الهيئة أو البنية التحتية ذات الأهمية الحيوية أو الاطلاع عليها، دون الحصول على الموافقة المسبقة للمسؤول عن الهيئة والبنية التحتية المعنية.

عملا بأحكام المادة 38 من القانون السالف الذكر رقم 05.20 ، تقوم السلطة الوطنية بافتحاص مقدمي الخدمات الرقمية السحابية المؤهلين.

إذا لم يعد مقدم الخدمات الرقمية السحابية المؤهل مستوفيا لأحد المتطلبات التي تم على أساسها منحه التأهيل، تقوم السلطة الوطنية بإعذاره لتنفيذ الأوامر ذات الصلة الصادرة عنها داخل أجل تحدده حسب أهمية هذه الأوامر.

وفي حالة عدم الامتثال للإعذار، تقوم السلطة الوطنية بتوقيف التأهيل إلى حين تنفيذ الأوامر المذكورة، وإذا تعذر ذلك يتم سحب التأهيل.

يتعين على مقدم الخدمات الرقمية السحابية المؤهل، في حالة توقفه، لأي سبب من الأسباب، عن توفير خدماته للهيئة أو البنية التحتية ذات الأهمية الحيوية، أن يمكن هذه الهيئة أو البنية التحتية ذات الأهمية الحيوية من الوسائل التقنية اللازمة لاستعادة مكونات نظم المعلومات أو المعطيات المعهود بها إليه.

بمجرد استعادة مكونات نظم المعلومات أو المعطيات المذكورة، يتعين على مقدم الخدمات حذف هذه المكونات فعلياً من أنظمته وموافاة مسؤولي الهيئة والبنية التحتية المعنية بوثيقة تثبت هذا الحذف.

تحدد كيفيات استعادة مكونات نظم المعلومات أو المعطيات المذكورة وحذفها في مرجع المتطلبات المنصوص عليه في المادة 4 من هذا المرسوم.

يجوز، بصفة انتقالية، لمسؤولي الهيئات والبنيات التحتية ذات الأهمية الحيوية اللجوء إلى خدمة رقمية سحابية لدى مقدم خدمات غير مؤهل في حال عدم توفر هذه الخدمة أو خدمة مماثلة من حيث المعايير والوظائف لدى مقدمي خدمات رقمية سحابية مؤهلين.

وفي هذه الحالة، يتعين على المسؤولين المذكورين قبل اللجوء إلى الخدمة الرقمية السحابية لدى مقدم خدمات رقمية سحابية غير مؤهل إجراء دراسة لتحليل المخاطر ولتقييم أثر اللجوء إلى هذه الخدمة على أمن نظم المعلومات، وعند الاقتضاء، على سرية المعطيات.

تأخذ هذه الدراسة بعين الاعتبار على الخصوص:

1. –العناصر التي تبرر اللجوء إلى الخدمة المعنية؛
2. –كيفيات تشغيل الخدمة والسلطات المخولة لمقدم الخدمة على نظم المعلومات والمعطيات؛
3. –الضمانات والوظائف الأمنية التي يوفرها مقدم الخدمة لحماية نظم المعلومات والمعطيات ومكان توطينها وقابلية استعادتها؛
4. –قواعد الشفافية المعتمدة فيما يخص تسليم المعطيات والمعلومات إلى الغير؛
5. –النظام القانوني المطبق على مقدم الخدمة.

عند توفر الخدمة المعنية لدى مقدم خدمات رقمية سحابية مؤهل، يتعين على مسؤولي الهيئات والبنيات التحتية ذات الأهمية الحيوية المشار إليهم في الفقرة الأولى أعلاه اللجوء إلى مقدم الخدمة المذكور مع مراعاة بنود العقد أو العقود التي تم إبرامها مع مقدم الخدمات الرقمية السحابية غير المؤهل.

يتعين على الهيئات والبنيات التحتية ذات الأهمية الحيوية التي تلجأ، في تاريخ دخول هذا المرسوم حيز التنفيذ، إلى الخدمات الرقمية السحابية المتعلقة بنظم المعلومات الحساسة أو المعطيات الحساسة، أن تتقيد بمقتضيات هذا المرسوم داخل أجل أقصاه أربعة وعشرون (24) شهرا من تاريخ دخوله حيز التنفيذ.

يدخل هذا المرسوم حيز التنفيذ ابتداء من تاريخ نشر القرار المنصوص عليه في المادة 4 من هذا المرسوم بالجريدة الرسمية.

يسند تنفيذ هذا المرسوم، الذي ينشر بالجريدة الرسمية، إلى الوزير المنتدب لدى رئيس الحكومة المكلف بإدارة الدفاع الوطني.