Loi 05-20 : Qui Est Concerné, et Qui Peut Faire Quoi (Article 25)

Ce que dit le texte#

• Art. 16 : les IIV sont désignées par secteur, après avis de l'autorité nationale. Liste des IIV secrète, actualisée au moins tous les deux ans (loi 05-20, art. 16) ; classification révisée au moins tous les trois ans (décret 2-21-406, art. 15).
• Art. 20 : audit des systèmes d'information sensibles « à la demande de l'autorité nationale », par celle-ci ou par des prestataires d'audit qualifiés.
• Art. 23 : les coûts sont à la charge de l'IIV.
• Art. 25 : « En cas d'externalisation des services de cybersécurité, les responsables des infrastructures d'importance vitale doivent recourir à des prestataires qualifiés par l'autorité nationale. »
• Décret 2-21-406 : il organise notamment la qualification des prestataires d'audit (PASSI) et des prestataires de détection d'incidents.

Vérifier un prestataire#

• Consulter la liste officielle des PASSI qualifiés sur le site de la DGSSI, page « Prestations et produits réglementés ».
• Contrôler les domaines, la classe (A et/ou B) et la date de fin de la qualification.
• Conserver une capture datée.

Au Maroc#

La liste des prestataires qualifiés est publiée par l'autorité nationale sur le site de la DGSSI ; une qualification porte sur des domaines précis et a une date de fin. Vérifiez-la au moment de choisir un prestataire, puis à chaque renouvellement de contrat.

Erreurs fréquentes#

• Confondre ISO 27001 et PASSI.
• Ignorer la date d'expiration d'une qualification.
• Croire qu'une PME non IIV n'est jamais concernée par l'art. 25 : elle peut l'être par contrat, lorsqu'elle travaille pour une IIV.