Le Maroc réalise une avancée majeure en matière de cybersécurité avec la publication au Bulletin officiel du décret n°2-24 921 relatif au recours aux prestataires de services cloud par les entités et les infrastructures d'importance vitale disposant de systèmes d'information ou de données sensibles. Suivez La Vie éco sur Telegram La publication au Bulletin officiel dudit décret marque l'opérationnalisation de l'arsenal juridique ainsi que le régime de qualification des prestataires cloud et définit les règles de choix de ces prestataires lorsque la gestion de systèmes d'information sensibles et de données sensibles, au sens de la loi n° 05-20 à la cybersécurité, leur est confiée. Pour rappel, en matière de cybersécurité, ce régime permet aux commanditaires de disposer de garanties sur la compétence des prestataires et de leurs personnels, sur la qualité des mesures techniques, organisationnelles et de sécurité en place et sur la confiance qui peut leur être accordée. À noter que le régime de qualification, basé sur un référentiel d'exigences, est structuré autour de deux niveaux de qualification. En clair, lorsque les responsables des entités et des infrastructures d'importance vitale recourent à des services cloud pour héberger, gérer ou exploiter en partie ou en totalité leurs systèmes d'information sensibles, ils doivent faire appel à des prestataires qualifiés de niveau 1. Ces prestataires doivent être constitués sous forme de sociétés de droit marocain et doivent aussi déployer l'ensemble de leurs systèmes d'exploitation et d'administration des services sur le territoire national. L'objectif de ce premier niveau de qualification est de permettre au Maroc d'exercer sa juridiction, notamment en matière de cybersécurité, et de contrôler les activités des prestataires cloud qui gèrent et manipulent des systèmes d'information sensibles. Enfin, le second niveau de qualification prévoit des conditions supplémentaires de nature juridique et technique. Il est exigé lorsqu'il est question de traiter, gérer ou stocker des données sensibles au sens de la loi 05-20 précitée. Il vise à s'assurer que ces données sensibles, eu égard à leur confidentialité, sont traitées sur des infrastructures contrôlées par des sociétés assujetties uniquement aux législations nationales, en dehors de tout droit extraterritorial.
