Décret n° 2‑22‑687 pris pour l’application de la loi n°43‑20 relative aux services de confiance pour les transactions électroniques

Fait à Rabat, le 21 rabii II 1444 (16 novembre 2022).

Aziz Akhannouch.

Pour contreseing :

Le ministre de la justice, Abdellatif Ouahbi.

La ministre de l’économie et des finances, Nadia Fettah.

Annexe n° 1 Liste des documents accompagnant la demande du certificat de conformité des dispositifs de création de signature électronique ou de cachet électronique

1. –le formulaire de demande du certificat de conformité conforme au modèle publié par l’autorité nationale sur son site Internet ;
2. –la documentation technique détaillée du dispositif ;
3. –la copie des rapports d’évaluation du dispositif justifiant du respect des normes fixées par l’autorité nationale ainsi que des certificats afférents à ces évaluations ;
4. –la copie de la carte nationale d’identité électronique du demandeur ou de tout document justifiant son identité ;

Outre les documents susmentionnés et lorsqu’il s’agit d’une société :

1. –la copie des statuts de la société ;
2. –l’attestation d’inscription au registre du commerce ;
3. –une copie des cartes nationales d’identité électroniques des dirigeants de la société ou de tout document justifiant leurs identités ;
4. –une copie de la carte nationale d’identité électronique de la personne chargée des formalités de la demande ou de tout document justifiant son identité ainsi que les documents attestant les pouvoirs qui lui sont conférés à cet effet.

Annexe n° 2 Liste des documents accompagnant la demande d’agrément du prestataire de services de confiance

1. –le formulaire de demande d’agrément conforme au modèle publié par l’autorité nationale sur son site Internet ;
2. –l’attestation d’inscription au registre du commerce, copie des statuts de la société et de son règlement intérieur ;
3. –une présentation générale du prestataire de service précisant :

la répartition du capital, les activités et les types de services fournis, ses sites géographiques, son organisation et ses effectifs ;

1. –la liste des noms et qualités des dirigeants de la société ou des membres de son organe d’administration ainsi que la liste des personnes habilitées à agir en son nom ;
2. –une copie de la carte nationale d’identité électronique de la personne chargée des formalités de la demande de l’agrément ou de tout document justifiant son identité ainsi que les documents attestant les pouvoirs qui lui sont conférés à cet effet ;
3. –une copie des polices d’assurance souscrites par le prestataire pour couvrir les dommages qui pourraient être causés à toute personne physique ou morale résultant de sa faute professionnelle ;
4. –les états financiers des trois (3) derniers exercices et/ ou document justifiant la capacité financière du prestataire ;
5. –une copie des cartes nationales d’identité électroniques du personnel du prestataire chargé de la gestion et de la fourniture du service de confiance ou de tout document justifiant leur identité et des diplômes ainsi que la description de leurs qualifications en la matière, accompagnée des documents justificatifs ;
6. –la liste indiquant les fonctions confiées au personnel du prestataire, chargé de la fourniture des services de confiance ;
7. –le descriptif détaillé du service objet de la demande d’agrément, précisant notamment les fonctions de sécurité et les performances ;
8. –le plan de continuité d’activités prévu à l’article 33 de la loi n° 43-20 précitée ;
9. –la description détaillée du processus d’enregistrement des clients;
10. –les conditions générales d’utilisation du service de confiance en vigueur ;
11. –le rapport d’analyse des risques du système d’information utilisé pour la fourniture du service de confiance objet de la demande ;
12. –le schéma d’architecture du système d’information utilisé dans l’exploitation et l’administration du service objet de la demande d’agrément ;
13. –la liste et les caractéristiques techniques des produits, logiciels, équipements et appareils utilisés par le prestataire de service pour la gestion et la fourniture du service de confiance ;
14. –les politiques, les mesures et les moyens pris par le prestataire du service de confiance en matière de sécurité de l’information ;
15. –les politiques de certification relatives au service de confiance objet de la demande et les déclarations des pratiques de certification correspondantes, ainsi que tous les documents auxquels font référence ;

Outre les documents susmentionnés et pour le prestataire de services qui entend délivrer les certificats qualifiés de signature électronique ou de cachet électronique :

1. –un exemplaire du dispositif qualifié de création de signature électronique ou du dispositif qualifié de création du cachet électronique sur lequel un certificat électronique porteur de test est stocké, ainsi que les éléments techniques nécessaires à la vérification de sa validité et ce, lorsque ce dispositif est remis aux clients ;
2. –ou seulement un certificat électronique porteur de test ainsi que les éléments techniques nécessaires à la vérification de sa validité, lorsque le dispositif qualifié de création de signature électronique ou du dispositif qualifié de création du cachet électronique n’est pas remis aux clients ;
3. –la liste des moyens et des prestations de cryptologie fournis ou utilisés dans le cadre de la gestion et de la fourniture du service de confiance, ainsi que les certifications de sécurité dont dispose les modules cryptographiques matériels (HSM) utilisés ;
4. –les conditions techniques d’utilisation des conventions secrètes, des moyens et des prestations de cryptologie et un descriptif des mesures nécessaires pour assurer leur sécurité ;
5. –la liste des sous-traitants éventuels impliqués dans l’exploitation, l’administration, la maintenance et le support technique du service de confiance, leurs dénominations ou raisons sociales et leurs sièges sociaux, en précisant la nature des activités sous-traitées.

Annexe n° 3 Liste des documents accompagnant la déclaration préalable relative à la prestation des services de confiance autres que qualifiés :

1. –le formulaire de déclaration préalable conforme au modèle publié par l’autorité nationale sur son site Internet ;
2. –une copie des statuts de la société ;
3. –l’attestation d’inscription au registre du commerce ;
4. –une présentation générale du prestataire de services précisant :

la répartition du capital, les activités et les types de services fournis, ses sites géographiques, son organisation et ses effectifs ;

1. –une copie de la carte nationale d’identité électronique de la personne chargée des formalités de la déclaration ou de tout document justifiant son identité, ainsi que les documents justifiant les pouvoirs qui lui sont conférés à cet effet ;
2. –un descriptif détaillé du service objet de la déclaration précisant principalement les fonctions de sécurité, les fonctions cryptographiques et les performances ;
3. –un descriptif détaillé du processus d’enregistrement des clients ;
4. –les politiques de certification relatives au service de confiance objet de la demande et les déclarations des pratiques de certification correspondantes, ainsi que tous les documents auxquels font référence ;
5. –pour le prestataire de service qui entend délivrer les certificats électroniques, un certificat électronique porteur de test ainsi que les éléments techniques nécessaires à la vérification de leur validité ;
6. –un descriptif des matériels et des logiciels informatiques et le cas échéant des moyens de cryptologie utilisés.

Annexe n° 4 Liste des documents accompagnant la déclaration préalable d’importation, d’exportation ou de fourniture de moyens de cryptologie ou de fourniture de prestations de cryptologie

1. –le formulaire de déclaration préalable conforme au modèle publié par l’autorité nationale sur son site Internet ;
2. –une copie des statuts de la société ;
3. –l’attestation d’inscription au registre du commerce ;
4. –une copie des cartes nationales d’identité électroniques des dirigeants de la société ou de tout autre document justifiant leur identité ;
5. –une copie de la carte nationale d’identité électronique de la personne chargée des formalités de la déclaration préalable ou de tout autre document justifiant son identité et les documents justifiant les pouvoirs qui lui sont conférés à cet effet.

Outre les documents susmentionnés :

1. –lorsqu’il s’agit d’un moyen de cryptologie :
2. –la brochure commerciale du moyen objet de la déclaration ;
3. –la documentation technique du moyen ;
4. –un descriptif des fonctions cryptographiques du moyen.
5. –lorsqu’il s’agit d’une prestation de cryptologie :
6. –la brochure commerciale de la prestation objet de la déclaration;
7. –un descriptif général de la prestation ;
8. –un descriptif des fonctions cryptographiques mises en œuvre par le fournisseur de la prestation de cryptologie ;
9. –un descriptif des matériels et des logiciels informatiques dont notamment les moyens de cryptologie utilisés.

Annexe n° 5 Liste des documents accompagnant la demande d’autorisation d’importation, d’exportation ou de fourniture de moyens de cryptologie ou de fourniture de prestations de cryptologie

1. –le formulaire de demande d’autorisation conforme au modèle publié par l’autorité nationale sur son site Internet ;
2. –une copie des statuts de la société ;
3. –l’attestation d’inscription au registre du commerce ;
4. –une copie des cartes nationales d’identité électroniques des dirigeants de la société ou de tout autre document justifiant leur identité;
5. –une copie de la carte nationale d’identité électronique de la personne chargée des formalités de la demande d’autorisation ou de tout autre document justifiant son identité et les documents justifiant les pouvoirs qui lui sont conférés à cet effet.
6. –Outre les documents susmentionnés :
7. –lorsqu’il s’agit d’un moyen de cryptologie :
8. –une brochure commerciale du moyen objet de la demande ;
9. –un descriptif du moyen, objet de la demande, ses références commerciales, ainsi que le nom du fabricant et son pays d’origine ;
10. –un descriptif détaillé des fonctions cryptologiques assurées par le moyen, et des opérations relatives à la gestion des clés, notamment les opérations de génération, de distribution et de conservation ainsi que le format de transmission ;
11. –les références des composants intégrant les fonctions cryptologiques du moyen et les dénominations des fabricants de chacun de ces composants, ainsi que leurs documentations techniques ;
12. –un descriptif des mesures et mécanismes employés dans le moyen pour la protection contre l’altération des procédés de chiffrement et/ou de gestion des clés y associées ;
13. –un descriptif du traitement des données avant et après chiffrement.
14. –lorsqu’il s’agit d’une prestation de cryptologie :
15. –la brochure commerciale de la prestation objet de la demande ;
16. –une description générale de la prestation ;
17. –un descriptif des fonctions cryptologiques mis en œuvre par le fournisseur de la prestation ;
18. –un descriptif des matériels et des logiciels informatiques et notamment des moyens de cryptologie utilisés.

Annexe n° 6 Types des moyens ou prestations de cryptologie dispensés de la déclaration préalable et de l’autorisation Equipements dotés de I. Importation ou moyens de cryptologie Opérations exportation de type transportés par une personne Moyens ou prestations de de moyens de physique et lorsque concernées cryptologie cryptologie l'équipement est destiné

1. 1)Cartes à microprocesseur exclusivement à l'usage de personnalisées destinées à des cette personne.

applications pour le grand public :

1. 1)Stations de base de radiocommunications
2. a)lorsque la capacité cellulaires cryptographique est conçue et commerciales c iv i les, limitée pour servir uniquement conçues pour assurer le avec les équipements relevant des raccordement types 2, 3, 4 et 6 du I de la présente d'équipements mobiles annexe, ou destinés au grand public, et qui ne permettent pas
3. b)lorsque la capacité III. Fourniture ou d'appliquer des capacités de cryptographique n'est pas accessible importation de types chiffrement direct au trafic à l'utilisateur et qu'elle est de moyens de de données entre ces spécialement conçue et limitée pour cryptologie équipements mobiles.

permettre la protection des données

1. 2)Equipements, destinés qui y sont stockées ;

au grand public, permettant

1. 2)Equipements de réception de d'échanger entre eux des radiodiffusion ou de télévision, à données par destination du grand public, dont la radiocommunications, et capacité de chiffrement est lorsque les seules limitée à la facturation, la capacités cryptographiques gestion ou la programmation, et où de l'équipement sont conçues le déchiffrement est limité aux conformément aux normes fonctions vidéo, audio ou de gestion de l'Institute of Electrical and technique.

Electronics Engineers

1. 3)Installations de suivantes : IEEE 802.15 et radioélectriques mobiles, IEEE 802.11. I. Importation, destinées au grand public, dont les Moyens mettant en œuvre un exportation seules capacités de chiffrement sont algorithme ou fourniture de celles mises en œuvre par cryptographique qui sont moyens de l'opérateur du réseau pour la destinés exclusivement : cryptologie protection du canal radio, et qui ne
2. a)à l'usage de la personne sont pas en mesure de procéder au physique qui procède à chiffrement direct entre radio son importation ou à son équipements.

transfert, y compris par voie

1. 4)terminaux de téléphonie sans fil, IV. Importation de électronique ;

destinés au grand public, qui ne sont moyens de b) ou à des fins de pas capables de procéder au Cryptologie développement, de chiffrement direct de téléphone à validation ou de téléphone. démonstration par la

1. 5)Equipements autonomes personne qui procède à son spécialement conçus et limités pour importation ou à son assurer la lecture de données audio- transfert, y compris par voie vidéo, sans capacité de chiffrement, électronique.

et où le déchiffrement est limité aux informations audio, vidéo et de

1. –Prestations de gestion technique.

V. Fourniture de cryptologie visant à la mise

1. 6)Equipements spécialement prestations de en œuvre des moyens de conçus et limités pour servir dans cryptologie cryptologie correspondant des opérations bancaires ou aux types 1, 2, 3, 4, 5 et 6 du financières, à destination du grand I de la présente annexe.

public, et dont la capacité

1. –Prestations de services de cryptographique n'est pas accessible confiance objet de la loi à l'utilisateur.
2. n°43 -20 relative aux
3. 7)Moyens spécialement conçus services de confiance pour et limités pour assurer la protection les transactions de logiciels ou de données électroniques.

informatiques contre la copie ou l’utilisation illicite et dont la