# Article 2

de [Arrêté du Chef du gouvernement fixant les critères d'homologation  des prestataires d'audit privés  des systèmes d'information sensibles  des infrastructures d'importance vitale ainsi que les modalités de déroulement de l'audit](https://madda.ma/fr/dahir-1-17-08)

Chapitre premier: Dispositions générales

Au sens du présent arrêté, on entend par :

Autorité compétente : autorité gouvernementale chargée de l'Administration de la défense nationale (direction générale de la sécurité des systèmes d'information) ;

Prestataire d'audit : société établie selon le droit marocain, délivrant une ou toutes les prestations d'audit des systèmes d'informations. Cet audit peut selon le cas être : un audit organisationnel et physique, un audit d'architecture, un audit de configuration, un audit de code source, tests d'intrusion, ou un audit des systèmes industriels ;

Audit organisationnel et physique : consiste à s'assurer que les politiques et procédures de sécurité définies et mises en place par l'entité auditée sont conformes aux directives nationales de la sécurité des systèmes d'information et aux normes et standards en la matière ;

Audit d'architecture : consiste en la vérification de la conformité des pratiques de sécurité relatives au choix, au positionnement et à la mise en œuvre des dispositifs matériels et logiciels déployés dans un système d'information, aux pratiques en vigueur, aux exigences et aux règles internes de l'entité auditée ;

Audit de configuration : permet de vérifier la mise en oeuvre de pratiques de sécurité conformes aux pratiques en vigueur et aux exigences de sécurité et règles internes de l'entité auditée en matière de configuration des dispositifs matériels et logiciels déployés dans un système d'information ;

Audit de code source : consiste en l'analyse de tout ou partie du code source ou des conditions de compilation d'une solution logicielle dans le but de s'assurer du respect des règles précises du codage ou d'analyser les vulnérabilités liées au développement ;

Test d'intrusion : permet d'évaluer la sécurité d'un système d'information ou d'un réseau en simulant les conditions réelles d'une attaque sur le système d'information. Ce test permet de découvrir des vulnérabilités sur le système d'information d'une entité auditée et de vérifier leur exploitabilité et leur impact sur l'entité ;

Audit des systèmes industriels : consiste en l'évaluation du niveau de sécurité d'un système industriel et des dispositifs de contrôle associés. Il se compose d'un audit d'architecture, d'un audit de la configuration des éléments composant l'architecture ainsi que d'un audit organisationnel et physique ;

Commanditaire d'audit : entité faisant appel au service d'audit de la sécurité des systèmes d'information ;

Entité auditée : organisme(s) responsable(s) de tout ou partie du système d'information de l'entité auditée. Le commanditaire peut être l'entité auditée ;

Auditeur : personne menant une mission d'audit pour le compte d'un prestataire d'audit.


> Référence: Article 2, Dahir n° 1-17-08 — madda.ma
>
> - URL: https://madda.ma/fr/dahir-1-17-08/2
> - Article: Article 2
> - Texte: Arrêté du Chef du gouvernement fixant les critères d'homologation  des prestataires d'audit privés  des systèmes d'information sensibles  des infrastructures d'importance vitale ainsi que les modalités de déroulement de l'audit
> - Numéro: 1-17-08
> - Version officielle (PDF): https://adala.justice.gov.ma/api/uploads/2025/10/31/Arr%C3%AAt%C3%A9%20du%20Chef%20du%20gouvernement%20n%C2%B0%203-44-18%20fixant%20les%20crit%C3%A8res%20d%27homologation%20des%20prestataires%20d%27audit%20priv%C3%A9s%20des%20syst%C3%A8mes%20d%27information%20sensibl-1761898949254.pdf

Texte repris du portail Adala du ministère de la Justice. Pas un conseil juridique.