Loi 05-20 et cybersécurité au Maroc : ce que votre entreprise doit vraiment savoir

Quand on parle cybersécurité avec des dirigeants marocains, deux réactions reviennent sans cesse : « ça ne concerne que les banques et les opérateurs télécoms » et « nous sommes trop petits pour intéresser les pirates ». Les deux sont dangereusement fausses.

Le cadre légal marocain en deux minutes

La loi 09-08 (protection des données personnelles) concerne pratiquement toutes les entreprises. Si vous avez des fichiers clients, des données RH, des factures nominatives — vous traitez des données personnelles, et la CNDP attend de vous des déclarations et des mesures de protection adaptées.

La loi 05-20 (cybersécurité) et ses décrets d’application établissent le cadre national de cybersécurité, piloté par la DGSSI (Direction Générale de la Sécurité des Systèmes d’Information). Ses obligations les plus strictes visent les infrastructures d’importance vitale et les organismes publics — mais son référentiel devient progressivement le standard de fait attendu par les grands donneurs d’ordre, les assureurs et les partenaires internationaux.

Autrement dit : même si la loi 05-20 ne vous impose rien directement aujourd’hui, votre plus gros client, lui, commencera bientôt à vous poser des questions inspirées de son référentiel. Les appels d’offres intègrent déjà des exigences de sécurité. Être prêt est un avantage commercial, pas seulement une conformité.

« Trop petit pour être une cible » n’existe plus

Les attaques modernes sont automatisées. Les rançongiciels ne choisissent pas leurs victimes sur leur notoriété mais sur leur exposition : un serveur de messagerie mal configuré, un VPN sans authentification forte, un compte administrateur avec un mot de passe réutilisé. Les PME marocaines sont massivement touchées par la fraude au virement, l’usurpation d’identité de fournisseurs et le chiffrement de données suivi de demande de rançon.

Le coût moyen d’un incident sérieux pour une PME — arrêt d’activité, reconstruction, perte de clients — dépasse presque toujours, et de loin, le budget qui aurait suffi à le prévenir.

Par où commencer : les cinq mesures au meilleur rapport coût/protection

1. L’authentification multifacteur (MFA) partout. La mesure la plus rentable de toute la cybersécurité. La majorité des intrusions sont des connexions frauduleuses qui échoueraient face au MFA.
2. Des sauvegardes testées et hors d’atteinte. Une sauvegarde que le rançongiciel peut chiffrer n’est pas une sauvegarde. Il faut de l’immuabilité, et des tests de restauration réguliers.
3. Les mises à jour. Un parc à jour ferme la porte à l’écrasante majorité des attaques automatisées. C’est ennuyeux, c’est peu spectaculaire, et c’est vital.
4. La sensibilisation des équipes. Vos collaborateurs reçoivent les e-mails de phishing avant vos outils. Une équipe entraînée qui signale est votre meilleur capteur d’alerte.
5. Un plan d’incident d’une page. Qui appeler, quoi débrancher, quoi ne surtout pas faire. Rédigé à froid, ce document vaut de l’or à chaud.

La conformité comme sous-produit, pas comme objectif

Notre conviction, forgée en sécurisant des environnements gouvernementaux nord-américains : une entreprise qui se protège sérieusement est conforme presque par construction. L’inverse n’est pas vrai — on peut cocher des cases et rester vulnérable.

C’est pourquoi nos audits partent des risques réels de votre activité, puis mappent les mesures vers les exigences (09-08, référentiels DGSSI, attentes clients) — et non l’inverse. Vous obtenez une protection réelle, et le dossier de conformité vient avec.

Concrètement

Un audit de sécurité prend une à deux semaines et vous donne une vision notée et priorisée de votre exposition, avec les gains rapides en tête de liste. C’est le point de départ que nous recommandons à toute entreprise qui se pose la question « où en sommes-nous vraiment ? ».

Parlons-en — la première conversation est gratuite et sans engagement.