Décret n° 2-21-406 pris pour l'application de la loi n° 05-20 relative à la cybersécurité

En application des dispositions du troisième alinéa de l'article 36 de la loi précitée n° 05-20, le comité de gestion des crises et événements cybernétiques majeurs, présidé par la direction générale de la sécurité des systèmes d'information, se compose des représentants des autorités et organismes ci - après :

1. –l'autorité gouvernementale chargée de l'intérieur ;
2. –l'inspection générale des Forces armées royales ;
3. –la gendarmerie royale ;
4. –la direction générale d'études et de documentation ;
5. –la direction générale de la sûreté nationale ;
6. –la direction générale de la surveillance du territoire ;
7. –le 5ème bureau de l'état - major général des Forces armées royales ;
8. –l'inspection des transmissions des Forces armées royales.

Les autorités et organismes précités désignent leurs représentants permanents ainsi que leurs suppléants.

Le président du comité de gestion des crises et événements cybernétiques majeurs peut inviter toute personne ou organisme dont il juge la participation utile.

ART .7.

Le comité de gestion des crises et événements cybernétiques majeurs prépare des rapports sur ses travaux et les transmet au comité stratégique de la cybersécurité.

ART .8.

En application du troisième alinéa de l'article 36 de la loi précitée n° 05-20, le comité de gestion des crises et événements cybernétiques majeurs élabore un cadre de gestion des crises et événements cybernétiques majeurs et le soumet au comité stratégique de la cybersécurité pour approbation.

Le cadre de gestion précité doit définir notamment le champ d'intervention de chacun des membres du comité de gestion des crises et événements cybernétiques majeurs, ainsi que les procédures de gestion des crises et les modalités de communication et d'échange d'informations.

Chacun des membres du comité de gestion des crises et événements cybernétiques majeurs est chargé, dans la limite des prérogatives de l'autorité ou de l'organisme dont il relève, de l'enclenchement et du suivi des actions décidées par ledit comité.

Sous - section première : De la directive nationale de la sécurité des systèmes d'information ART .9.

Dans le cadre des directives édictées par l'autorité nationale prévues au premier alinéa de l'article 4 de la loi n° 05-20 susvisée, l'autorité nationale fixe par décision une directive nationale de la sécurité des systèmes d'information, qui détermine notamment les règles organisationnelles et techniques de sécurité des systèmes d'information. La directive nationale est publiée sur le site Internet de l'autorité nationale.

Sous - section 2 : Du référentiel de la classification des actifs informationnels et des systèmes d'information ART .10.

En application des articles 5 et 14 de la loi précitée n° 05-20, les entités et les infrastructures d'importance vitale classifient leurs systèmes d'information en se basant sur une analyse des impacts des incidents susceptibles de porter atteinte à la confidentialité, à la disponibilité ou à l'intégrité des actifs informationnels, consistant en toute ressource tel que le matériel, le logiciel, la donnée ou la procédure, qui composent les systèmes d'information précités.

ART .11.

Afin d'effectuer la classification prévue à l'article 10 ci - dessus, chaque entité et infrastructure d'importance vitale réalisent une analyse des impacts des incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité de leurs actifs informationnels.

Le niveau d'impact des incidents précités doit refléter l'importance des conséquences pouvant se traduire par l'incapacité de l'entité ou de l'infrastructure d'importance vitale à :

1. –accomplir ses missions ;
2. –préserver la vie, la santé ou le bien - être des personnes ;
3. –se conformer aux lois, aux règlements et aux obligations contractuelles ;
4. –préserver son image de marque et celle de l'Etat ;
5. –maintenir et renforcer la confiance des citoyens et des partenaires à l'égard des services offerts, ou par la capacité de ladite entité ou infrastructure d'importance vitale à affecter le fonctionnement d'entités tierces, tributaires de ses services.

L'analyse des impacts doit se faire selon l'échelle suivante :

1. - Impact très grave : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité d'un actif informationnel pourrait :

1. –nuire au maintien des capacités de sécurité et de défense de l'Etat ;
2. –porter préjudice aux intérêts stratégiques de l'Etat ;
3. –porter atteinte à la santé et à la sécurité de la population ;
4. –perturber ou nuire au fonctionnement de l'économie nationale ;
5. –engendrer une incapacité totale ou partielle de plusieurs infrastructures d'importance vitale à assurer leurs fonctions essentielles.

2. - Impact grave : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité d'un actif informationnel pourrait engendrer :

1. –une incapacité totale ou partielle d'une infrastructure d'importance vitale à assurer ses fonctions essentielles ;
2. –une incapacité totale d'une ou plusieurs entités non considérées comme infrastructures d'importance vitale à assurer leurs fonctions essentielles ;
3. –des pertes financières importantes pour une ou plusieurs entités ou infrastructures d'importance vitale.

3. - Impact modéré : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité d'un actif informationnel pourrait engendrer :

1. –une gêne ou perturbation mineure dans les fonctions d'une infrastructure d'importance vitale ;
2. –une incapacité partielle d'une ou de plusieurs entités non considérées comme infrastructures d'importance vitale, à assurer leurs fonctions ;
3. –des pertes financières modérées ;
4. –ou toute autre conséquence de nature analogue.

4. - Impact limité : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité d'un actif informationnel pourrait causer :

1. –une gêne ou perturbation dans les fonctions d'une entité non considérée comme infrastructure d'importance vitale ;
2. –des pertes financières limitées ;
3. –ou toute autre conséquence de nature analogue.

ART .12.

Un système d'information est classifié sur la base de l'échelle de l'analyse des impacts prévue à l'article 11 ci - dessus et ce, selon les niveaux suivants :

1. –" CLASSE A ", si au minimum un incident de cybersécurité, portant sur la confidentialité, la disponibilité ou l'intégrité d'un des actifs informationnels qui compose le système d'information, a un impact très grave ;
2. –" CLASSE B ", si tous les incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité, des actifs informationnels qui composent le système, ont au maximum un impact grave ;
3. –" CLASSE C ", si tous les incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité, des actifs informationnels qui composent le système, ont au maximum un impact modéré ;
4. –" CLASSE D ", si tous les incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l'intégrité, des actifs informationnels qui composent le système, ont au maximum un impact limité.

Sont réputés systèmes d'information sensibles, les systèmes d'information appartenant aux " CLASSE A " ou " CLASSE B ".

Chaque entité au sens de la loi n° 05-20 précitée, doit déclarer ses systèmes d'information sensibles à l'autorité nationale.

ART .13.

Les actifs informationnels de type " données " classifiés sur la base de l'échelle de l'analyse des impacts prévue à l'article 11 ci - dessus sont classés suivant leur degré de sensibilité en termes de confidentialité selon les niveaux ci - après :

1. –" TRES SECRET ", si un incident de cybersécurité portant sur la confidentialité a un impact très grave ;
2. –" SECRET ", si un incident de cybersécurité portant sur la confidentialité a un impact grave ;
3. –" CONFIDENTIEL ", si un incident de cybersécurité portant sur la confidentialité a un impact modéré ;
4. –" DIFFUSION RESTREINTE ", si un incident de cybersécurité portant sur la confidentialité a un impact limité.

Pour l'application des dispositions de l'article 11 de la loi précitée n° 05-20, les données classifiées appartenant à l'un des niveaux " TRES SECRET " et " SECRET " sont considérées des données sensibles.

ART .14.

Chaque entité ou infrastructure d'importance vitale applique les mesures de protection relatives à la sécurité des systèmes d'information proportionnellement à la classification attribuée. Ces mesures portent notamment sur :

1. –le marquage, traitement, stockage et transit et de destruction des informations et supports ;
2. –les consignes de sécurité à respecter par les personnes ;
3. –la sécurité physique.

L'autorité nationale édicte les référentiels et guides relatifs à ces mesures de protection, en tenant compte des différents niveaux de classification des systèmes d'information et des données.

ART .15.

Chaque entité ou infrastructure d'importance vitale procède à la révision de la classification de ses actifs informationnels ou systèmes d'information au moins une fois tous les trois (3) ans et à chaque fois que nécessaire.

ART .16.

Chaque entité ou infrastructure d'importance vitale informe et sensibilise son personnel sur les procédures de manipulation des actifs informationnels et des systèmes d'information selon leur classification et sur les mesures de protection qui leur sont applicables.

Sous - section 3 : Des missions du responsable de la sécurité des systèmes d'information ART .17.

Pour l'application du premier alinéa de l'article 6 de la loi n° 05-20 susvisée, chaque entité ou infrastructure d'importance vitale informe l'autorité nationale de son responsable de la sécurité des systèmes d'information, qui est chargé notamment de :

1. –identifier et analyser les enjeux et les risques de cybersécurité en tenant compte des évolutions réglementaires et techniques ;
2. –définir les objectifs de cybersécurité en collaboration avec les parties prenantes et élaborer les mesures de sécurité appropriées ;
3. –participer à l'élaboration et au suivi de la politique de sécurité des systèmes d'information en collaboration avec les parties prenantes ;
4. –définir pour la mise en oeuvre de la politique de sécurité des systèmes d'information un plan d'actions annuel ou pluriannuel ;
5. –assurer le suivi de la gestion des incidents de cybersécurité ;
6. –rapporter régulièrement à sa hiérarchie les risques de sécurité des systèmes d'information ;
7. –animer des sessions de sensibilisation au profit du personnel.

La liste des secteurs d'activités d'importance vitale et les autorités gouvernementales, établissements publics ou autres personnes morales de droit public assurant la coordination de ces secteurs, est fixée dans l'annexe n° 1 du présent décret.

La liste précitée peut être modifiée ou complétée par arrêté du Chef du gouvernement sur proposition de l'administration de la défense nationale.

Pour l'application des dispositions du deuxième alinéa de l'article 28 de la loi n° 05-20 précitée, l'opérateur :

1. –désigne un point focal pour faciliter l'accès aux installations de l'opérateur et apporter le concours nécessaire pour l'installation des dispositifs techniques sur ses réseaux ;
2. –fournit les éléments de l'architecture de ses réseaux permettant de déterminer l'emplacement du déploiement de ces dispositifs ainsi que leurs spécifications techniques ;
3. –fournit les prérequis techniques pour la connexion des dispositifs précités avec les points du réseau de l'opérateur fixés par l'autorité nationale ;
4. –permet de déployer les dispositifs techniques dans un environnement sécurisé ;
5. –assiste l'autorité nationale à l'installation des dispositifs techniques permettant le recueil et l'analyse des données techniques, conformément aux dispositions de l'article 28 de la loi précitée n° 05-20 ;
6. –limite l'accès à ces dispositifs aux seules personnes désignées à cet effet par l'autorité nationale ;
7. –permet à l'autorité nationale d'administrer et d'exploiter à distance les dispositifs techniques, et de les tester périodiquement pour en garantir l'efficience lors d'un incident de cybersécurité.

Ces dispositifs ne doivent pas nuire à la disponibilité, à la sécurité et à l'intégrité des réseaux et services fournis par l'opérateur.

La qualification des prestataires d'audit de la sécurité des systèmes d'information est soumise aux critères ci - après :

1. –être constitué sous forme de société de droit marocain ;
2. –avoir une expertise dans l'audit de la sécurité des systèmes d'information ;
3. –avoir une structure organisationnelle dédiée exclusivement à l'audit de la sécurité des systèmes d'information ;
4. –remplir les conditions figurant dans le référentiel d'exigences des prestataires d'audit de la sécurité des systèmes d'information prévu par l'article 22 ci - dessous ;
5. –être qualifié au minimum dans trois (3) domaines d'audit parmi ceux prévus dans l'annexe 2 du présent décret et disposer d'un auditeur au minimum par domaine de qualification demandé.

En outre, le prestataire d'audit doit, afin de fournir des prestations d'audit de la sécurité des systèmes d'informations ayant la classification " CLASSE A " prévue à l'article 12 du présent décret, remplir les conditions suivantes :

1. –le capital de la société doit être détenu majoritairement par des marocains ;
2. –les auditeurs proposés doivent être de nationalité marocaine.

ART .21.

La demande de qualification est déposée par le prestataire d'audit de la sécurité des systèmes d'information auprès de l'autorité nationale, accompagnée d'un dossier comportant les documents suivants :

1. –copie des statuts de la société ;
2. –attestation d'inscription au registre de commerce ;
3. –liste des noms des associés et leurs nationalités ;
4. –copies des pièces d'identité des dirigeants de la société et ses organes d'administration ainsi que des auditeurs proposés ;
5. –note indiquant les moyens humains et techniques de la société ;
6. –copies des casiers judiciaires des auditeurs proposés ;
7. –curriculums vitae des auditeurs proposés et le cas échéant les copies de leurs diplômes et certificats de formation ;
8. –copies des contrats de travail conclus avec les auditeurs proposés ;
9. –copies des attestations délivrées par les maîtres d'ouvrages au profit desquels ont été exécutées des prestations d'audit de la sécurité des systèmes d'information, et devant préciser notamment la nature de la prestation fournie et la date de sa réalisation ;
10. –document décrivant la méthodologie appliquée pour conduire la prestation d'audit, objet de la demande de qualification.

Le prestataire d'audit de la sécurité des systèmes d'information doit informer l'autorité nationale de toute modification de l'un des éléments figurant dans le dossier de la demande de qualification.

ART .22.

Après s'être assuré que le dossier de la demande comprend tous les documents et informations requis, l'autorité nationale soumet le prestataire d'audit de la sécurité des systèmes d'information, à ses frais, à une évaluation des prestations objet de la demande par l'un des organismes qu'elle désigne à cet effet.

L'évaluation précitée s'effectue conformément au référentiel d'exigences des prestataires d'audit de la sécurité des systèmes d'information élaboré par l'autorité nationale et publié sur son site Internet. Ledit référentiel précise notamment les modalités d'évaluation des auditeurs ainsi que les niveaux de qualification.

ART .23.

Au vu des résultats de l'évaluation prévue à l'article 22 ci - dessus, l'autorité nationale peut prendre la décision de qualification qui indique notamment :

1. –la dénomination et l'adresse du siège social du prestataire d'audit ;
2. –les domaines d'audit objet de la qualification, en indiquant que le prestataire peut auditer les systèmes d'information sensibles de "CLASSE A" ou de "CLASSE B" ;
3. –la durée de sa validité qui ne dépasse pas trois (3) ans ;
4. –la liste des auditeurs par domaines d'audit en indiquant leurs niveaux de qualification.

En cas de refus, l'autorité nationale notifie sa décision au demandeur de la qualification.

ART .24.

Le renouvellement de la qualification du prestataire d'audit de la sécurité des systèmes d'information a lieu selon les mêmes conditions exigées pour son obtention, sous réserve du dépôt de la demande de renouvellement dans les soixante (60) jours, au moins, avant la date d'expiration de la décision de qualification.

ART .25.

Le prestataire d'audit de la sécurité des systèmes d'information informe, sans délai, l'autorité nationale de toute modification intervenue dans l'un des éléments sur la base desquels la qualification a été délivrée.

ART .26.

Si le prestataire d'audit qualifié ne répond plus à l'un des critères sur la base desquels la qualification lui a été délivrée, l'autorité nationale le met en demeure de se conformer aux prescriptions y afférentes dans un délai qu'elle fixe selon l'importance de ses prescriptions.

Si le prestataire d'audit ne défère pas à la mise en demeure, l'autorité nationale suspend sa qualification, jusqu'à ce qu'il se conforme auxdites prescriptions, à défaut, la qualification est retirée.

ART .27.

La liste des prestataires d'audit des systèmes d'information qualifiés est publiée au " Bulletin officiel " et sur le site Internet de l'autorité nationale.

Les entités et les infrastructures d'importance vitale procèdent à l'audit de la sécurité de leurs systèmes d'information sensibles selon les domaines fixés à l'annexe n° 2 du présent décret lorsque les systèmes d'information en question s'y prêtent, sous réserve que la fréquence de chaque audit portant sur un même domaine ne doit pas dépasser trois (3) ans.

ART .29.

L'audit s'effectue en vertu d'un contrat conclu entre le commanditaire d'audit et le prestataire d'audit qualifié. Cet audit ne commence qu'après la tenue d'une réunion entre les représentants du prestataire d'audit et ceux de l'entité auditée au cours de laquelle ils s'accordent sur l'ensemble des aspects de l'audit et toutes les clauses du contrat précité qui doit faire apparaître notamment les mentions suivantes:

1. –l'objet, le périmètre, les lieux d'exécution et les modalités de l'audit ;
2. –les noms et les missions des auditeurs désignés par le prestataire ;
3. –les normes à appliquer pour réaliser l'audit ;
4. –les délais d'exécution de l'audit ;
5. –les canaux de communication sécurisés entre le prestataire et l'entité auditée et le cas échéant entre le prestataire et le commanditaire d'audit ;
6. –les moyens nécessaires à la réalisation de l'audit ;
7. –les clauses de confidentialité concernant l'audit.

ART .30.

L'entité doit, préalablement à l'audit, communiquer au prestataire d'audit toute la documentation nécessaire à l'accomplissement de sa mission.

Le prestataire d'audit doit respecter, lors de l'accomplissement de ses missions, les exigences techniques par domaine d'audit spécifiées dans le référentiel d'exigences des prestataires d'audit visé à l'article 22 ci - dessus.

ART .31.

Le prestataire d'audit doit informer immédiatement l'entité auditée de toute faille constatée présentant un risque imminent et significatif, et dans la mesure du possible, lui proposer les mesures permettant de lever ce risque.

Les constats d'audit, doivent être documentés, tracés, et conservés durant toute la durée de l'audit, par le prestataire d'audit à l'occasion de l'exercice de sa mission.

ART .32.

A la fin de sa mission, le prestataire d'audit qualifié doit remettre au commanditaire d'audit le rapport final d'audit accompagné de tous les documents et supports y afférents.

Une réunion de clôture est organisée au cours de laquelle le prestataire présente au commanditaire d'audit et à l'entité auditée la synthèse du rapport d'audit et les recommandations y afférentes.

Au terme de sa mission, le prestataire ne doit garder aucune copie des rapports, documents et supports fournis.

ART .33.

L'entité ou l'infrastructure d'importance vitale auditée conserve le rapport d'audit et les documents y afférents pendant une durée de trois

(3) ans au moins.

En application des dispositions de l'article 25 de la loi précitée n° 05- 20, la qualification d'un prestataire de services de cybersécurité porte sur le domaine de la détection des incidents de cybersécurité et/ou le domaine de l'analyse, l'investigation et le traitement des incidents de cybersécurité, selon les critères suivants :

1. –être constitué sous forme de société de droit marocain ;
2. –avoir une expertise dans la fourniture de prestations de cybersécurité ;
3. –avoir une structure organisationnelle et des moyens techniques dédiés exclusivement à la fourniture de prestations de cybersécurité ;
4. –compter parmi son personnel, un minimum de trois (3) spécialistes dans l'un des domaines d'activité de qualification précités, disposant de l'expérience et des qualifications nécessaires fixés dans le référentiel d'exigences des prestataires de services de cybersécurité, élaboré par l'autorité nationale et publié sur son site Internet ;
5. –garantir que l'hébergement et le traitement des données sensibles relatives aux services de détection et d'analyse des incidents de cybersécurité soient réalisés exclusivement sur le territoire national ;
6. –garantir que l'exploitation et l'administration des services de détection et d'analyse des incidents de cybersécurité soient réalisées exclusivement sur le territoire national.

En outre, le prestataire doit, afin de fournir des prestations de services de cybersécurité des systèmes d'information sensibles ayant la classification " CLASSE A ", remplir les conditions suivantes :

1. –le capital de la société doit être détenu majoritairement par des marocains ;
2. –les spécialistes proposés doivent être de nationalité marocaine.

ART .35.

La demande de qualification est déposée par le prestataire de services de cybersécurité auprès de l'autorité nationale accompagnée d'un dossier comportant les documents suivants :

1. –copie des statuts de la société ;
2. –attestation d'inscription au registre de commerce ;
3. –liste des noms des associés et leurs nationalités ;
4. –copies des pièces d'identité des dirigeants de la société et ses organes d'administration ainsi que des spécialistes proposés ;
5. –note indiquant les moyens humains et techniques de la société ;
6. –copies des casiers judiciaires des spécialistes proposés ;
7. –curriculums vitae des spécialistes et le cas échéant les copies de leurs diplômes et certificats de formation ;
8. –copies des contrats de travail conclus avec les spécialistes proposés;
9. –copies des attestations délivrées par les maîtres d'ouvrages au profit desquels ont été exécutées des prestations de services de cybersécurité, et devant préciser notamment la nature de la prestation fournie et la date de sa réalisation ;
10. –document décrivant la méthodologie appliquée pour conduire la prestation de services de cybersécurité, objet de la demande de qualification.

Le prestataire de services de cybersécurité doit informer l'autorité nationale de toute modification de l'un des éléments figurant dans le dossier de la demande de qualification.

ART .36.

Après s'être assuré que le dossier de la demande comprend tous les documents et informations requis, l'autorité nationale soumet le prestataire de services de cybersécurité, à ses frais, à une évaluation des prestations objet de la demande par l'un des organismes qu'elle désigne à cet effet.

L'évaluation précitée s'effectue conformément au référentiel d'exigences des prestataires de services de cybersécurité élaboré par l'autorité nationale et publié sur son site Internet.

ART .37.

Au vu des résultats de l'évaluation prévue à l'article 36 ci- dessus, l'autorité nationale peut prendre la décision de qualification qui indique notamment :

1. –la dénomination et l'adresse du siège social du prestataire de services de cybersécurité ;
2. –les domaines objet de la qualification, en indiquant que le prestataire peut fournir des services de cybersécurité pour les systèmes d'information sensibles de "CLASSE A" ou de "CLASSE B" ;
3. –la durée de sa validité qui ne dépasse pas trois (3) ans ;
4. –la liste des spécialistes retenus par domaine de prestation de services de cybersécurité.

En cas de refus de la qualification, le demandeur doit être avisé par l'autorité nationale.

ART .38.

Le renouvellement de la qualification du prestataire de services de cybersécurité a lieu selon les mêmes conditions exigées pour son obtention, sous réserve du dépôt de la demande de renouvèlement dans les soixante (60) jours, au moins, avant la date d'expiration de la décision de qualification.

ART .39.

Le prestataire de services de cybersécurité informe, sans délai, l'autorité nationale de toute modification intervenue dans l'un des éléments sur la base desquels la qualification a été délivrée.

ART .40.

Si le prestataire de services de cybersécurité ne répond plus à l'un des critères sur la base desquels la qualification lui a été délivrée, l'autorité nationale le met en demeure de se conformer aux prescriptions y afférentes dans un délai qu'elle fixe selon l'importance de ses prescriptions.

Si le prestataire de services de cybersécurité ne défère pas à la mise en demeure, l'autorité nationale suspend sa qualification, jusqu'à ce qu'il se conforme auxdites prescriptions, à défaut, la qualification est retirée.

ART .41.

La liste des prestataires de services de cybersécurité qualifiés est publiée au " Bulletin officiel " et sur le site Internet de l'autorité nationale.

ART .42.

L'autorité nationale élabore un référentiel de gestion des incidents de cybersécurité et le publie sur son site Internet. Ledit référentiel fixe notamment les modalités de déclaration et de traitement des incidents de cybersécurité.

ART .43.

Les entités et les infrastructures d'importance vitale disposent d'un délai ne dépassant pas douze (12) mois, à compter de la date de publication du présent décret au " Bulletin officiel ", pour classifier leurs systèmes d'information et déclarer ceux ayants un caractère sensible à l'autorité nationale, conformément aux dispositions de la loi précitée n° 05-20 et des textes pris pour son application.

ART .44.

Les décisions d'homologation délivrées aux prestataires d'audit conformément aux dispositions de l'arrêté du Chef du gouvernement n° 3-44-18 du 21 safar 1440 (31 octobre 2018), fixant les critères d'homologation des prestataires d'audit privés des systèmes d'information sensibles des infrastructures d'importance vitale ainsi que les modalités de déroulement de l'audit, demeurent valables jusqu'à leur expiration.

ART .45.

Sont abrogés :

1. –le décret n° 2-11-508 du 22 chaoual 1432 (21 septembre 2011) portant création du comité stratégique de la sécurité des systèmes d'information ;
2. –le décret n° 2-15-712 du 12 joumada II 1437 (22 mars 2016) fixant le dispositif de protection des systèmes d'information sensibles des infrastructures d'importance vitale ;
3. –l'arrêté du Chef du gouvernement n° 3-44-18 du 21 safar 1440 (31 octobre 2018), fixant les critères d'homologation des prestataires d'audit privés des systèmes d'information sensibles des infrastructures d'importance vitale ainsi que les modalités de déroulement de l'audit.

ART .46.

Le ministre délégué auprès du Chef du gouvernement, chargé de l'administration de la défense est chargé de l'exécution du présent décret qui sera publié au Bulletin officiel.