Selon les chiffres de la DGSSI présentés au Parlement le 14 novembre 2025, le Maroc avait enregistré 879 cyberattaques ou incidents depuis le début de l'année, dont 109 ont nécessité une intervention directe. En avril 2025, l'attaque revendiquée contre la base de données de la CNSS a rappelé que des informations sur des millions de salariés et des centaines de milliers d'entreprises pouvaient se retrouver exposées en quelques heures.
Face à ces chiffres, beaucoup de dirigeants de PME se posent la même question : la loi marocaine sur la cybersécurité s'applique-t-elle à mon entreprise, et que dois-je faire concrètement ? Ce guide fait le point sur le cadre légal, les ressources publiques gratuites et les mesures qui protègent réellement un site web, un logiciel métier et des données clients.
La loi 05-20 relative à la cybersécurité : qui est concerné ?
La loi n° 05-20 relative à la cybersécurité a été promulguée le 25 juillet 2020 et publiée au Bulletin officiel n° 6906 du 6 août 2020. Son décret d'application, le décret n° 2-21-406 du 15 juillet 2021, désigne la DGSSI (Direction Générale de la Sécurité des Systèmes d'Information) comme autorité nationale de la cybersécurité.
Contrairement à une idée répandue, la loi ne vise pas toutes les entreprises. Son article premier définit trois catégories :
| Catégorie | Qui ? | Exemples d'obligations |
|---|---|---|
| Entités | Administrations de l'État, collectivités territoriales, établissements et entreprises publics | Politique de sécurité, audit avant mise en ligne, classification des systèmes, déclaration des incidents |
| Infrastructures d'importance vitale (IIV) | Organismes publics ou privés des secteurs vitaux : énergie, eau, santé, transport, banque, assurance, télécoms… | Homologation des systèmes sensibles avant leur mise en service, audits par des prestataires qualifiés |
| Opérateurs | Opérateurs télécoms, fournisseurs d'accès, prestataires de cybersécurité, prestataires de services numériques (plateformes de vente en ligne, moteurs de recherche, cloud, hébergeurs) et éditeurs de plateformes internet | Conservation des journaux techniques pendant un an, information des clients sur les vulnérabilités, alerte de la DGSSI sans délai |
Et votre PME ?
Une PME classique (commerce, cabinet, industrie, services) n'entre pas directement dans le champ de la loi. Elle peut cependant être concernée de trois façons :
- Vous éditez une plateforme ou hébergez des données pour des tiers : une marketplace, un service en ligne, un hébergement. Vous pouvez alors relever de la catégorie des prestataires de services numériques. Pour un simple site e-commerce, la frontière reste floue : mieux vaut appliquer les mêmes exigences.
- Vous travaillez pour une administration ou une IIV : l'article 12 impose aux entités d'externaliser leurs systèmes sensibles uniquement par un contrat de droit marocain, avec auditabilité et réversibilité. Ces exigences se retrouvent dans les cahiers des charges de leurs fournisseurs.
- Vous traitez des données personnelles : c'est le cas de presque toutes les entreprises, et cela relève d'un autre texte, la loi 09-08, contrôlée par la CNDP (voir plus bas).
Les obligations clés, en clair
Pour les entités et les infrastructures d'importance vitale, la loi et son décret posent un socle d'obligations qui résume bien les bonnes pratiques du secteur :
- Une politique de sécurité et une analyse des risques documentées.
- Un audit de sécurité avant la mise en ligne de tout système qui offre des services numériques, puis des audits réguliers.
- La classification des systèmes et des données : quatre classes de systèmes (A à D) et quatre niveaux de données, de « diffusion restreinte » à « très secret ». Les données « secret » et « très secret » sont considérées comme sensibles.
- Un responsable de la sécurité des systèmes d'information (RSSI) indépendant.
- La déclaration des incidents à la DGSSI « dès qu'elle prend connaissance » de l'incident (article 8). La loi ne fixe pas de délai de 72 heures, contrairement à ce qu'on lit parfois : elle demande d'agir immédiatement.
- Un plan de continuité et de reprise d'activité (PCA/PRA) testé.
- L'hébergement des données sensibles exclusivement au Maroc (article 11).
Les sanctions sont dissuasives : de 100 000 à 200 000 dirhams d'amende pour un défaut de déclaration d'incident, de 200 000 à 400 000 dirhams pour l'hébergement de données sensibles à l'étranger ou l'absence d'homologation, et le double en cas de récidive.
DGSSI et maCERT : des ressources gratuites, utiles aussi aux PME
Le maCERT, le centre de veille, de détection et de réponse aux attaques de la DGSSI, publie des bulletins de sécurité sur les vulnérabilités des logiciels courants (systèmes d'exploitation, CMS, navigateurs, équipements réseau) et propose une page de déclaration d'incidents. S'abonner à ces bulletins est un réflexe simple pour savoir quand mettre à jour vos outils.
La DGSSI met aussi à disposition des guides téléchargeables gratuitement : sécurité des applications web, plan de continuité d'activité, classification des données, externalisation informatique, sécurité des réseaux. Rédigés pour les administrations, ils restent l'une des meilleures bases pour une PME qui veut structurer sa sécurité.
Enfin, la Stratégie nationale de cybersécurité 2030, publiée en juillet 2024, s'articule autour de 4 piliers, 11 objectifs stratégiques, 26 initiatives et 60 actions, dont le renforcement des compétences et la sensibilisation. Le Maroc figure par ailleurs dans le premier groupe (Tier 1) de l'indice mondial de cybersécurité de l'UIT publié en 2024, avec un score de 97,5 sur 100.
Les risques qui touchent concrètement les PME
Les attaques les plus médiatisées visent de grandes institutions, mais les PME sont souvent des cibles plus faciles. Les scénarios les plus fréquents sont connus :
- L'hameçonnage (phishing) : un faux e-mail de la banque, d'un fournisseur ou d'un transporteur pour voler des identifiants ou faire valider un faux virement.
- Le rançongiciel : les fichiers de l'entreprise sont chiffrés et une rançon est demandée. Sans sauvegarde récente et testée, l'activité peut s'arrêter plusieurs jours.
- Le site web piraté : une extension non mise à jour sur un CMS suffit à injecter du code malveillant, rediriger les visiteurs ou faire déclasser le site par Google.
- Les mots de passe réutilisés : un identifiant fuité sur un autre service ouvre la messagerie, le logiciel de gestion ou le back-office de la boutique.
- Les données exposées : un fichier client partagé sans protection, un accès laissé à un ancien collaborateur, un tableur envoyé par erreur.
10 mesures concrètes pour protéger votre PME
- Activez la double authentification sur la messagerie, la banque en ligne, les réseaux sociaux et tous les outils de gestion.
- Utilisez un gestionnaire de mots de passe : un mot de passe unique et long par service, jamais partagé par e-mail ou WhatsApp.
- Mettez à jour systématiquement systèmes, logiciels, CMS et extensions. Les bulletins du maCERT indiquent les failles critiques à corriger en priorité.
- Sauvegardez selon la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors ligne ou hors site. Et testez la restauration au moins une fois par trimestre.
- Donnez à chacun uniquement les accès dont il a besoin, et retirez-les le jour du départ d'un collaborateur.
- Gardez une trace des actions dans vos outils : qui a modifié une facture, exporté un fichier client, changé un prix.
- Sécurisez votre site : HTTPS partout, en-têtes de sécurité, formulaires protégés contre les robots et les injections, hébergement maintenu.
- Formez vos équipes au phishing : une demande urgente de virement ou de changement de RIB se vérifie toujours par téléphone.
- Préparez un plan de réponse d'une page : qui prévenir, comment isoler un poste, où sont les sauvegardes, et le lien de déclaration d'incident du maCERT.
- Encadrez vos prestataires : contrat écrit, accès nominatifs, remise des codes et des données en fin de contrat (la réversibilité exigée par la loi 05-20 pour les entités est une bonne règle pour tous).
Votre site et vos logiciels : là où se joue votre sécurité
La plupart des incidents qui touchent une PME passent par ses outils numériques : le site web, la boutique en ligne, le logiciel de gestion, le fichier Excel partagé. La sécurité ne se rajoute pas après coup : elle se décide au moment de la conception.
Pour un site vitrine ou une boutique, une architecture moderne limite la surface d'attaque, notamment les extensions tierces à surveiller en permanence. C'est l'approche que nous appliquons dans nos projets de création de site web à Tanger, avec formulaires protégés et hébergement maintenu.
Pour vos outils internes, un logiciel de gestion sur mesure peut intégrer dès le départ les exigences que la loi impose aux organismes publics : droits d'accès par rôle, double authentification, journal de toutes les actions, sauvegardes automatiques et hébergement au Maroc ou en Europe selon la sensibilité des données. Nous détaillons ces garanties dans la section conformité et sécurité de notre page dédiée.
Cybersécurité et données personnelles : ne confondez pas 05-20 et 09-08
La loi 05-20 protège les systèmes d'information. La loi 09-08, elle, protège les données personnelles de vos clients, salariés et prospects, et s'applique à presque toutes les entreprises. Elle impose notamment de déclarer vos traitements à la CNDP, d'informer les personnes et de sécuriser leurs données. Une fuite de fichier client est donc à la fois un incident de sécurité et un problème de conformité. Nous détaillons ces règles, et leur application aux outils d'intelligence artificielle, dans notre article sur l'IA au Maroc et la loi 09-08.
Des outils sécurisés dès la conception
Site web, CRM, ERP ou portail client : nous concevons des outils avec droits par rôle, double authentification, journal des actions et sauvegardes testées. L'atelier de cadrage est gratuit.
Découvrir le logiciel sur mesureQuestions fréquentes
La loi 05-20 sur la cybersécurité s'applique-t-elle à ma PME ?
En général, non. La loi vise les administrations et organismes publics, les infrastructures d'importance vitale et certains opérateurs (télécoms, hébergeurs, cloud, plateformes en ligne, prestataires de services numériques). Une PME qui édite une plateforme ou héberge des données pour des tiers peut cependant être concernée, et une PME qui travaille pour un organisme public retrouvera ses exigences dans les contrats.
Faut-il déclarer une cyberattaque à la DGSSI ?
Les entités, infrastructures vitales et opérateurs soumis à la loi doivent déclarer leurs incidents à la DGSSI dès qu'ils en ont connaissance. Pour les autres entreprises, le maCERT propose une page de déclaration d'incidents sur le site de la DGSSI. En cas de vol de données personnelles, pensez aussi à vos obligations au titre de la loi 09-08.
Mes données doivent-elles être hébergées au Maroc ?
La loi 05-20 impose l'hébergement au Maroc des données sensibles des entités et des infrastructures vitales. Pour une entreprise privée hors de ce champ, ce n'est pas une obligation générale, mais tout transfert de données personnelles à l'étranger doit respecter la loi 09-08 : pays reconnus par la CNDP, consentement de la personne ou autorisation de la CNDP.
Que faire en cas de cyberattaque ?
Isolez les postes touchés du réseau sans les éteindre, changez les mots de passe depuis un appareil sain, prévenez votre prestataire informatique, conservez les preuves (messages, fichiers, journaux) et déclarez l'incident au maCERT. Ne payez pas de rançon sans avis professionnel : la restauration depuis une sauvegarde testée reste la meilleure réponse.
Quelle différence entre la loi 05-20 et la loi 09-08 ?
La loi 05-20 encadre la sécurité des systèmes d'information de certains organismes et opérateurs, sous le contrôle de la DGSSI. La loi 09-08 protège les données personnelles et s'applique à toute entreprise qui traite des données de clients, de salariés ou de prospects, sous le contrôle de la CNDP.
Cet article est informatif et ne remplace pas un conseil juridique. Les textes cités sont ceux en vigueur au 4 novembre 2026.
