La cybersécurité (n° 05-20)

La présente loi fixe:

1. –Les règles et les dispositions de sécurité applicables aux systèmes d'information des administrations de l'Etat, des collectivités territoriales, des établissements et entreprises publics et toute autre personne morale de droit public, désignés dans la présente loi par «entité « ;
2. –les règles et les dispositions de sécurité applicables aux infrastructures d'importance vitale;
3. –les règles et les dispositions de sécurité applicables aux exploitants des réseaux publics de télécommunication, aux fournisseurs d'accès à Internet, aux prestataires de services de cybersécurité, aux prestataires de services numériques et aux éditeurs de plateformes Internet, désignés dans la présente loi par «opérateur» ;
4. –Le cadre national de gouvernance de la cybersécurité;
5. –Le cadre de collaboration et d'échange d'informations entre l'autorité nationale de la cybersécurité, désignée par voie réglementaire et appelée dans la présente loi « autorité nationale» et les services compétents de l'Etat chargés du traitement des infractions portant atteinte aux systèmes de traitement automatisé des données;
6. –Les concours apportés par l'autorité nationale aux organismes nationaux compétents pour le renforcement de la confiance numérique, le développement de la digitalisation des services fournis par l'Etat et la protection des données à caractère personnel;
7. –Les attributions de l'autorité nationale, notamment en matière de développement de l'expertise nationale, de sensibilisation dans le domaine de la cybersécurité au profit des entités, des acteurs du secteur privé et des particuliers, et de renforcement de la coopération avec Les organismes nationaux et étrangers.

Au sens de la présente loi, on entend par:

1. –« Cybersécurité »: l'ensemble de mesures, procédures, concepts de sécurité, méthodes de gestion des risques, actions, formations, bonnes pratiques, et technologies permettant à un système d'information de résister à des évènements issus du cyberespace, susceptibles de compromettre la disponibilité, l'intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ce système offre ou qu'il rend accessibles;
2. –« Cybercriminalité »: l'ensemble des actes contrevenant à la législation nationale ou aux traités internationaux ratifiés par le Royaume du Maroc, ayant pour cible les réseaux ou les systèmes d'information ou les utilisant comme moyens de la commission d'un délit ou d'un crime;
3. –« Cybermenace »: toute action qui vise à compromettre la sécurité d'un système d'information en altérant la disponibilité, l'intégrité ou la confidentialité d'un système ou de l'information qu'il contient;
4. –« Cyberéthique »: l'ensemble des normes et règles pour un comportement responsable dans le cyberespace;
5. –« Infrastructures d'importance vitale »: les installations, les ouvrages et les systèmes qui sont indispensables au maintien des fonctions vitales de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social, et dont le dommage ou l'indisponibilité ou la destruction aurait un impact induisant la défaillance de ces fonctions;
6. –« Secteur d'activités d'importance vitale »: l'ensemble des activités exercées par les infrastructures d'importance vitale et concourant à un même objectif. Ces activités ont trait soit à la production et la distribution de biens ou de services indispensables à la satisfaction des besoins essentiels pour la vie des populations, ou à l'exercice des prérogatives de l'Etat ou au maintien de ses capacités de sécurité ou au fonctionnement de l'économie, dès lors que ces activités sont difficilement substituables ou remplaçables, ou qui peuvent présenter un danger grave pour la population;
7. –« Système d’information » un ensemble organisé de ressources telles que les personnels, matériels, logiciels, données et procédures qui permettent de collecter, de classifier, de traiter et de diffuser l'information sur un environnement donné;
8. –« Système d'information sensible »: système d'information traitant des informations ou des données sensibles sur lesquelles une atteinte à la confidentialité, à l'intégrité ou à la disponibilité porterait préjudice à une entité ou à une infrastructure d'importance vitale;
9. –« Service de cybersécurité » tout service de sécurité fourni par des prestataires de services de cybersécurité à une entité ou à une infrastructure d'importance vitale et portant sur la détection et le diagnostic des incidents de cybersécurité et le renforcement de la sécurité de leurs systèmes d'information;
10. –« Prestataire de services numériques »: toute personne physique ou morale qui fournit à distance, par voie électronique et à la demande d'un destinataire, l'un des services ci-après:
11. –un service numérique qui permet à des consommateurs ou à des professionnels de conclure des contrats de vente ou de service en ligne;
12. –un service numérique qui permet aux utilisateurs d'effectuer des recherches sur les sites Internet;
13. –un service numérique qui permet l'accès à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris les hébergeurs de données et/ou systèmes d'information (Datacenter) et les prestataires des services d'informatique en nuage (Cloud);
14. –« Hébergement » toute prestation de stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature fournie, à titre onéreux ou gratuit, par des prestataires de services numériques;
15. –« Externalisation d'un système d'information » : toute opération qui consiste à confier, en partie ou en totalité, le système d'information d'une entité à un prestataire dans le cadre d'un contrat fixant de façon précise notamment le niveau de services et la durée de l'externalisation;
16. –« Homologation des systèmes d’information »: document par lequel le responsable d'une infrastructure d'importance vitale atteste de sa connaissance du système d'information et des mesures de sécurité techniques, organisationnelles ou juridiques mises en œuvre et accepte les risques résiduels;
17. –« Incident de cybersécurité »: un ou plusieurs événements indésirables ou inattendus liés à la sécurité des systèmes d'information et présentant une forte probabilité de compromettre les activités d'une entité, d'une infrastructure d'importance vitale ou d'un opérateur ou de menacer la sécurité de leurs systèmes d'information;
18. –« Crise cybernétique »: l'état résultant de l'occurrence d'un ou plusieurs événements de cybersécurité pouvant avoir un impact grave sur la vie des populations, l'exercice de l'autorité de l'Etat, le fonctionnement de l'économie, ou sur le maintien des capacités de sécurité et de défense du pays;
19. –« Gestion des incidents de cybersécurité »: le processus de détection, de signalement et d'évaluation des incidents de cybersécurité, ainsi que les mesures d'intervention et de traitement y afférentes.

Chaque entité doit veiller à ce que ses systèmes d'information soient conformes aux directives, règles, règlements, référentiels ou recommandations, édictés par l'autorité nationale.