Décret relatif au recours aux prestataires de services Cloud par les entités et les infrastructures d'importance vitale disposant de systèmes d'information ou de données sensibles (n° 2-24-921)

Pour l'application des dispositions du premier alinéa de l'article 25 de la loi susvisée n° 05-20, les responsables des entités et des infrastructures d'importance vitale doivent, lorsqu'ils recourent à des services Cloud en ce qui concerne les systèmes d'information sensibles et les données sensibles, notamment pour renforcer leurs fonctions de sécurité, faire appel à un prestataire de services Cloud qualifié, conformément aux dispositions du présent décret.

Les entités et les infrastructures d'importance vitale prévues à l'article premier ci-dessus recourent à un prestataire de services Cloud qualifié:

1. –de niveau 1 prévu à l'article 4 ci-dessous, afin d'héberger, gérer ou exploiter, en partie ou en totalité, les systèmes d'information sensibles;
2. –de niveau 2 prévu à l'article 5 du présent décret, afin de traiter, exploiter ou stocker, en partie ou en totalité, les données sensibles.

Les prestataires de services Cloud sont qualifiés à fournir un ou plusieurs services relevant notamment des types de services ci-après:

1. –IaaS (Infrastructure as a Service): ce type fournit l'infrastructure informatique de base, tel que des serveurs virtuels, des réseaux, du stockage, et des systèmes d'exploitation sur demande;
2. –PaaS (Platform-as-a-service): ce type permet l'accès à une plateforme d'hébergement d'applications, comprenant des outils de développement, des environnements d'exécution et des services de déploiement;
3. –SaaS (Software as a Service): ce type permet l'utilisation d'applications hébergées sur une plateforme Cloud.

La qualification du prestataire de services Cloud de niveau 1 est soumise aux exigences suivantes:

1. –être constitué sous forme d'une société anonyme ou d'une société à responsabilité limitée de droit marocain;
2. –disposer de l'expertise suffisante, des ressources et des moyens nécessaires à la fourniture des prestations de services Cloud;
3. –disposer d'une plateforme technique permettant la gestion automatisée des services objet de la qualification prévues à l'article 3 ci-dessus;
4. –mettre en place sur le territoire national l'ensemble des infrastructures d'hébergement et les systèmes d'information utilisés dans l'exploitation et la gestion des services;
5. –remplir les conditions figurant dans le référentiel des exigences de qualification des prestataires des services Cloud, fixé par arrêté de l'autorité gouvernementale chargée de l'Administration de la défense nationale.

Outre les exigences prévues à l'article 4 ci-dessus, la qualification du prestataire des services Cloud de niveau 2 est soumise aux exigences suivantes:

1. la majorité des associés doivent être marocains et détenir la majorité du capital en ce qui concerne la société à responsabilité limitée, et la majorité du capital doit être détenue par des marocains en ce qui concerne la société anonyme;

2. les statuts de la société ou tout autre contrat entre les associés ou les actionnaires, ne doivent comporter aucune clause octroyant des attributions ou des pouvoirs aux autres associés et actionnaires non cités au paragraphe 1 ci-dessus, pour prendre des décisions contraires aux exigences et engagements prévus dans le présent décret, notamment ses articles 4, 5 et 13;

3. le traitement, l'exploitation et le stockage de données doivent être réalisés exclusivement sur le territoire national;

4. la gestion et la supervision des services objet de la qualification doivent être réalisés exclusivement depuis et sur le territoire national;

5. ne pas permettre aux sociétés prévues au paragraphe 8 de l'article 6 du présent décret, d'avoir accès aux données de l'entité ou de l'infrastructure d'importance vitale ni de les consulter;

6. le personnel chargé de l'exploitation et de la gestion du service doit être de nationalité marocaine et jouissent des valeurs de moralité et d'intégrité.

Compte tenu de la nécessité de développer le secteur des services Cloud et vu l'intérêt national, un prestataire de services Cloud peut être qualifié, à titre exceptionnel, sans être soumis aux exigences des paragraphes 1 et 2 du premier alinéa ci-dessus, sous réserve de l'obtention par l'autorité nationale, prévue par la loi précitée n° 05-20, de l'accord préalable du Chef du gouvernement.

La demande de qualification est déposée par le prestataire de services Cloud auprès de l'autorité nationale ou lui est adressé par voie électronique, accompagnée d'un dossier qui comporte les documents suivants :

1. –une copie des statuts de la société ;
2. –une attestation d'immatriculation au registre de commerce ;
3. –les documents faisant apparaître la répartition du capital de la société ;
4. –des copies de documents justifiant l'identité des dirigeants de la société et des membres de ses organes d'administration ;
5. –une note indiquant les moyens humains et techniques dont dispose la société ;
6. –une copie des casiers judiciaires des personnels chargés de l'exploitation et de la gestion du service, ainsi que leurs Curriculums vitae et une copie des contrats de travail conclus avec eux ;
7. –des copies des attestations de référence délivrées par les maîtres d'ouvrages au profit desquels ont été exécutées des prestations de services Cloud, et devant préciser notamment la nature de la prestation fournie et la date de sa réalisation ;
8. –la liste des sociétés avec lesquelles des contrats ont été conclus pour l'hébergement, l'exploitation, l'administration, la maintenance ou le support technique du service Cloud en précisant leurs dénominations, siège social et la nature des activités objet du contrat, le cas échéant ;
9. –un dossier technique relatif aux services Cloud qui comporte notamment la description des flux des données, des fonctions de sécurité, des performances, des caractéristiques, ainsi que de l'architecture matérielle et logicielle ;
10. –l'architecture de la plateforme technique utilisée dans l'exploitation et l'administration du service Cloud ;
11. –un document par lequel s'engage le demandeur à respecter l'obligation prévue au deuxième alinéa de l'article 13 du présent décret, le cas échéant ;
12. –toute autre certification ou document technique pouvant appuyer le dossier de demande.

Après s'être assuré que le dossier de la demande comporte les documents et les informations requis, l'autorité nationale procède à l'évaluation du service objet de la demande ou charge, aux frais du demandeur, un organisme qu'elle désigne à cet effet de réaliser cette évaluation.

Ladite évaluation peut inclure, le cas échéant, les prestations fournies par les sociétés citées au paragraphe 8 de l'article 6 ci-dessus, au profit du prestataire de services Cloud.

L'évaluation prévue à l'article 7 ci-dessus s'effectue conformément aux conditions du référentiel des exigences de qualification des prestataires de services Cloud prévu à l'article 4 du présent décret.

Au vu des résultats de l'évaluation prévue à l'article 7 ci-dessus, l'autorité nationale peut prendre la décision de qualification du prestataire de services Cloud qui indique notamment:

1. –la dénomination et l'adresse du siège social du prestataire de services Cloud;
2. –le niveau de qualification;
3. –le ou les services objet de la qualification et leur type;
4. –La durée de validité de la qualification, à condition qu'elle ne dépasse pas cinq (5) ans;

En cas de refus de la demande de qualification, l'autorité nationale en informe le demandeur par écrit.

Le renouvellement de la qualification du prestataire de services Cloud a lieu selon les mêmes exigences et conformément à la procédure suivie pour son obtention, sous réserve du dépôt de la demande de renouvellement six (6) mois, au moins, avant la date d'expiration de la validité de la qualification.

Le prestataire de services Cloud informe, sans délai, l'autorité nationale de toute modification intervenue dans l'un des éléments sur la base desquels la qualification a été délivrée.

La liste des prestataires de services Cloud qualifiés est publiée au «Bulletin Officiel» et sur le site Internet de l'autorité nationale.

Le prestataire de services Cloud qualifié s'engage à respecter les règles, règlements et référentiels techniques relatifs à la sécurité des systèmes d'information prévus à l'article 10 de la loi n° 05-20 précitée.

En outre, le prestataire de services Cloud qualifié de niveau 2 s'engage à ne permettre à aucune partie, de quelque nature que ce soit, de disposer les données de l'entité ou de l'infrastructure d'importance vitale ni de les consulter, sans l'accord préalable du responsable de l'entité ou de l'infrastructure précités.

En application des dispositions de l'article 38 de la loi précitée n° 05-20, l'autorité nationale procède à l'audit des prestataires de services Cloud qualifiés.

Si le prestataire de services Cloud qualifié ne répond plus à l'une des exigences sur la base desquelles la qualification lui a été délivrée, l'autorité nationale le met en demeure de se conformer aux prescriptions y afférentes, émise par l'autorité, dans un délai qu'elle fixe selon l'importance desdites prescriptions.

Si le prestataire de services Cloud ne défère pas à la mise en demeure, l'autorité nationale suspend sa qualification, jusqu'à ce qu'il se conforme auxdites prescriptions, à défaut, la qualification est retirée.

En cas de cessation de ses prestations aux entités et infrastructures d'importance vitale, pour quelque raison que ce soit, le prestataire de services Cloud qualifié est tenu de mettre à la disposition desdites entités et infrastructures les moyens techniques nécessaires leur permettant la récupération des composantes des systèmes d'information ou des données qui lui sont confiées.

Une fois la restitution des composantes des systèmes d'information ou des données précitées est effectuée, le prestataire de services doit procéder à la suppression effective de ces composantes de ses systèmes, et fournir aux responsables desdites entités ou infrastructures un document certifiant ladite suppression.

Le référentiel d'exigences, prévu à l'article 4 du présent décret, fixe les modalités régissant la réversibilité et la suppression des composantes des systèmes d'information ou des données précités.

De manière transitoire, les responsables des entités et infrastructures d'importance vitale peuvent recourir à un service Cloud auprès d'un prestataire de services Cloud non qualifié en cas d'indisponibilité de ce service ou d'un service similaire en termes de standards et de fonctionnalités auprès des prestataires de services Cloud qualifiés.

Dans ce cas, ces responsables sont tenus, avant de recourir au service Cloud auprès d'un prestataire de services Cloud non qualifié, de procéder à une étude d'analyse des risques et évaluer l'impact du recours à ce service sur la sécurité de leurs systèmes d'information, et le cas échéant, sur la confidentialité des données.

Cette étude doit prendre en considération notamment:

1. –les éléments justifiant le recours au service en question;
2. –les modalités d'exécution du service et les droits que détient le prestataire de services sur les systèmes d'information et sur les données;
3. –les garanties ainsi que les fonctions de sécurité offertes par le prestataire de services pour la protection des systèmes d'information et des données, leur localisation et leur réversibilité;
4. –les règles de transparence adoptées en termes de communication des données et des informations à autrui;
5. –le régime juridique applicable au prestataire de service.

Lorsque le service concerné est disponible auprès d'un prestataire de services Cloud qualifié, les responsables des entités et des infrastructures d'importance vitale prévus au premier alinéa ci-dessus doivent procéder à la migration vers ledit prestataire, sous réserve du respect des clauses du contrat ou des contrats conclus avec le prestataire de services Cloud non qualifié.

Les entités et les infrastructures d'importance vitale qui, à la date de l'entrée en vigueur du présent décret, recourent aux services Cloud relatifs aux systèmes d'information sensibles ou aux données sensibles, doivent se conformer aux dispositions du présent décret dans un délai maximum de vingt- quatre (24) mois à compter de la date de son entrée en vigueur.

Le présent décret entre en vigueur à compter de la date de publication de l'arrêté prévu à l'article 4 du présent décret au Bulletin officiel.

Le ministre délégué auprès du Chef du gouvernement, chargé de l'administration de la défense nationale est chargé de l'exécution du présent décret qui sera publié au Bulletin officiel.