Conformité DGSSI Maroc : Guide Complet 2026

Ce que la DGSSI attend de votre organisation en 2026

Le Maroc dispose depuis 2020 d'une loi sur la cybersécurité — la loi 05-20 — et d'une directive nationale d'application qui s'impose aux administrations publiques, aux établissements publics et aux opérateurs d'infrastructures vitales. Pourtant, beaucoup de dirigeants et de directeurs informatiques ne savent toujours pas précisément ce que cela implique pour leur organisation.

Ce guide répond à trois questions concrètes : êtes-vous concerné par la conformité DGSSI au Maroc ? Si oui, quelles sont vos obligations exactes ? Et comment les satisfaire de façon structurée et vérifiable ?

Nous nous appuyons sur les textes officiels publiés par la DGSSI, le décret d'application n° 2-21-406 et la version actualisée de la DNSSI (Directive Nationale de la Sécurité des Systèmes d'Information) publiée en janvier 2023.

La DGSSI : rôle, structure et autorité

La Direction Générale de la Sécurité des Systèmes d'Information (DGSSI) a été créée par le décret n° 2-11-509 du 21 septembre 2011. Elle opère sous l'Administration de la Défense Nationale et constitue l'autorité nationale compétente en matière de cybersécurité au Maroc.

Son rôle couvre quatre grands domaines :

• Veille et réponse aux incidents : via le maCERT (Moroccan Computer Emergency Response Team), le centre de surveillance qui détecte les cyberattaques, publie des alertes et coordonne les réponses aux incidents affectant les systèmes d'information de l'État.
• Normes et audit : la DGSSI formule des recommandations techniques, publie des référentiels de sécurité et conduit des audits des systèmes d'information des administrations et organismes publics.
• Cadre juridique et réglementation : elle propose les projets de lois et réglementations relatifs à la sécurité des systèmes d'information, gère les déclarations et autorisations de produits cryptographiques réglementés.
• Développement de solutions sécurisées : elle développe et met à disposition des outils de sécurité à destination des administrations publiques.

Le maCERT en chiffres

Le maCERT traite en moyenne plus de 800 incidents de cybersécurité par an selon ses rapports annuels, un chiffre en augmentation constante depuis 2019. En 2023, il a émis près de 400 alertes de sécurité à destination des acteurs publics et privés. Les signalements d'incidents peuvent être adressés directement à [email protected].

La loi 05-20 sur la cybersécurité : le cadre légal de référence

Promulguée par dahir n° 1-20-69 du 25 juillet 2020, la loi 05-20 relative à la cybersécurité constitue le texte de référence du dispositif marocain. Elle a été complétée par le décret d'application n° 2-21-406 du 15 juillet 2021.

Champ d'application

La loi s'applique à trois catégories d'acteurs :

1. Les entités publiques Administrations de l'État, collectivités territoriales, établissements publics et personnes morales de droit public.

2. Les infrastructures d'importance vitale (IIV) Toute installation, structure ou système indispensable au maintien des fonctions vitales de la société : santé, sécurité, approvisionnement, économie. La liste précise des secteurs est fixée par voie réglementaire et tenue confidentielle, mais comprend selon les informations disponibles les secteurs de l'énergie, des télécommunications, de la finance, de la santé, des transports, de l'eau et de la sécurité publique.

3. Les opérateurs du secteur privé Exploitants de réseaux de télécommunications publics, fournisseurs d'accès à Internet, prestataires de services de cybersécurité, fournisseurs de services numériques et éditeurs de plateformes Internet.

Les principales obligations de la loi 05-20

Les sanctions prévues

La loi prévoit des pénalités significatives pour non-respect des obligations :

• 2 à 5 ans d'emprisonnement et une amende de 100 000 dirhams en cas de violation ayant entraîné la modification ou la suppression de données, ou l'altération du fonctionnement d'un système.
• Amendes de 100 000 à 200 000 dirhams (article 50) pour les opérateurs de télécommunications, fournisseurs d'accès Internet, prestataires de cybersécurité et éditeurs de plateformes numériques qui ne respectent pas leurs obligations légales.

Ces pénalités s'entendent sans préjudice des dispositions du code pénal marocain relatives aux infractions informatiques.

La DNSSI : la directive opérationnelle

La Directive Nationale de la Sécurité des Systèmes d'Information (DNSSI) traduit les exigences légales de la loi 05-20 en mesures techniques et organisationnelles concrètes. Sa première version date de 2014 (circulaire n° 3/2014 du Chef du Gouvernement). La version actuellement en vigueur a été publiée par la circulaire n° 2/2023 du 12 janvier 2023.

Qui est soumis à la DNSSI ?

La DNSSI s'applique à l'ensemble des entités suivantes :

• Administrations de l'État
• Collectivités territoriales
• Établissements publics et entreprises publiques
• Personnes morales de droit public
• Infrastructures vitales, qu'elles soient publiques ou privées

Les entités concernées avaient un délai de six mois à compter de la publication de la circulaire de janvier 2023 pour établir un calendrier de mise en oeuvre des mesures requises.

Le système de classification : A, B et C

La DNSSI introduit un système de classification des systèmes d'information en trois niveaux de sensibilité, défini conjointement entre l'entité et la DGSSI :

La classification détermine l'intensité des mesures à mettre en place et la fréquence des audits obligatoires. Les IIV disposant de systèmes classés A ou B sont soumises aux exigences les plus strictes.

Les domaines couverts par la DNSSI

La directive couvre plusieurs domaines de la sécurité, inspirés des meilleures pratiques internationales et de la norme marocaine NM ISO/IEC 27002 :

1. Politique de sécurité : formalisation, validation et diffusion d'une politique SSI au sein de l'organisation
2. Organisation de la sécurité : définition des rôles, responsabilités et structures de gouvernance SSI
3. Gestion des actifs : inventaire, classification et responsabilité des actifs informationnels
4. Sécurité des ressources humaines : sensibilisation, formation et procédures de départ
5. Sécurité physique et environnementale : protection des locaux, des équipements et des supports
6. Gestion des opérations et des communications : procédures d'exploitation, contrôle des accès réseau, gestion des malwares
7. Contrôle d'accès : gestion des identités, droits et authentification
8. Acquisition, développement et maintenance des SI : sécurité dans les projets et le cycle de vie des applications
9. Gestion des incidents : détection, réponse et signalement des incidents de sécurité
10. Continuité d'activité : plans de continuité et de reprise d'activité testés régulièrement
11. Conformité : respect des exigences légales, réglementaires et contractuelles

Les PASSI : les auditeurs agréés par la DGSSI

Une notion centrale pour les IIV et les entités disposant de systèmes d'information sensibles : les audits de sécurité doivent être conduits par des PASSI (Prestataires d'Audit de la Sécurité des Systèmes d'Information) qualifiés par la DGSSI.

La qualification PASSI n'est pas une simple accréditation administrative. Elle exige que :

• Le prestataire couvre au minimum trois domaines d'audit : audit organisationnel et physique, audit d'architecture, audit de configuration, tests d'intrusion, audit du code source, ou audit des systèmes industriels.
• Pour les prestations de Classe A, le capital social doit être majoritairement détenu par des ressortissants marocains, et les auditeurs doivent être de nationalité marocaine.
• La structure organisationnelle doit être dédiée exclusivement à l'audit de sécurité des systèmes d'information.

Ce système garantit que les organisations soumises à des audits obligatoires font appel à des prestataires dont les compétences ont été vérifiées par l'autorité nationale. Pour les entités non directement concernées par l'obligation de PASSI, faire appel à un prestataire qualifié reste une bonne pratique qui renforce la crédibilité des résultats d'audit.

Vous pouvez en apprendre davantage sur notre approche des audits de sécurité et sur la façon dont nous accompagnons les organisations dans la préparation de ces contrôles.

La loi 09-08 et le rôle de la CNDP

La conformité DGSSI ne peut pas être dissociée de la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Ces deux textes se complètent et s'adressent aux mêmes organisations.

Ce que la loi 09-08 impose

Toute organisation qui collecte, traite ou stocke des données personnelles au Maroc doit :

• Déclarer ses traitements à la CNDP (Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel) pour les traitements non sensibles.
• Demander une autorisation à la CNDP pour les traitements de données sensibles (données de santé, opinions politiques, convictions religieuses, données biométriques).
• Respecter les principes fondamentaux : légalité, loyauté, transparence, finalité, proportionnalité, durée de conservation limitée, sécurité et confidentialité.
• Informer les personnes concernées de leurs droits et obtenir leur consentement préalable.
• Garantir les droits d'accès, de rectification et d'opposition des personnes concernées.

Sanctions de la loi 09-08

Le lien avec la conformité DGSSI

La DGSSI elle-même liste la loi 09-08 parmi les textes réglementaires que les organisations doivent respecter dans le cadre de leur conformité SSI. La raison est simple : un système d'information insuffisamment sécurisé est un vecteur potentiel de violation de données personnelles. Les deux cadres se renforcent mutuellement.

En pratique, un programme de conformité bien structuré traite les deux exigences ensemble, ce qui évite de dupliquer les efforts : le même inventaire des traitements sert à la fois à la classification des actifs DNSSI et aux déclarations CNDP.

Notre équipe GRC accompagne les organisations dans la gestion simultanée de ces deux obligations réglementaires.

Qui est réellement concerné ? Le périmètre en pratique

La question que posent le plus souvent les dirigeants de PME marocaines : "Sommes-nous concernés ?" La réponse dépend de votre statut et de votre secteur.

Directement soumis à la loi 05-20 et à la DNSSI

Les PME privées non-IIV

Une PME du secteur industriel, commercial ou de services qui n'est pas classifiée comme IIV n'est pas directement soumise aux obligations de la loi 05-20 dans les mêmes termes. Elle reste néanmoins soumise à la loi 09-08 dès lors qu'elle traite des données personnelles, ce qui concerne pratiquement toutes les entreprises.

Cela dit, même sans obligation légale directe, les PME qui travaillent avec des entités publiques ou des IIV se voient de plus en plus imposer des exigences de sécurité dans les appels d'offres et contrats. La conformité DGSSI devient un avantage concurrentiel mesurable dans ces contextes.

Conformité DGSSI et ISO 27001 : comprendre l'articulation

La question revient régulièrement : faut-il choisir entre la conformité DGSSI et la certification ISO 27001, ou les deux peuvent-elles coexister ?

La réponse est claire : elles se complètent. La DNSSI est explicitement inspirée de la norme marocaine NM ISO/IEC 27002, qui est l'équivalent local de l'ISO 27002 (catalogue des contrôles de sécurité d'ISO 27001). Les domaines couverts par la DNSSI correspondent presque point par point aux contrôles de l'annexe A d'ISO 27001.

Tableau de correspondance (simplifié)

Une organisation qui engage un projet ISO 27001 pour son système de management de la sécurité de l'information (SMSI) satisfait simultanément la grande majorité des exigences de la DNSSI. L'inverse est moins vrai : la DNSSI seule ne suffit pas pour obtenir la certification ISO 27001, qui exige une approche systémique du risque et un audit de certification par un organisme accrédité. Pour le détail complet des étapes, coûts et organismes de certification, consultez notre guide ISO 27001 au Maroc.

Pour les IIV et les établissements publics, une stratégie pragmatique consiste à utiliser le projet ISO 27001 comme socle du programme de conformité DGSSI, et à y ajouter les spécificités marocaines (classification A/B/C, homologation, notification maCERT). Notre accompagnement vers la certification ISO 27001 intègre systématiquement cette dimension de conformité réglementaire locale.

Les étapes pratiques pour atteindre la conformité

Voici le parcours structuré que nous recommandons pour les organisations qui entament un programme de conformité DGSSI. Ce plan s'applique aussi bien aux établissements publics qu'aux IIV du secteur privé.

Étape 1 - Évaluation initiale et périmètre (semaines 1 à 4)

La première question à trancher est la classification de vos systèmes d'information. Quels systèmes traitent des données sensibles ? Lesquels sont critiques pour vos opérations ? Ce travail d'inventaire débouche sur une cartographie de vos SI avec un premier niveau de classification.

Vous identifiez également votre niveau de maturité actuel par rapport aux domaines de la DNSSI. Un audit de risque initial donne une photographie fidèle des écarts à combler. L'équipe GRC de RMG Solutions conduit régulièrement ce type d'évaluation pour des établissements publics et des opérateurs privés soumis à la loi 05-20.

Avant de mobiliser un PASSI, notre évaluateur de conformité DGSSI permet de mesurer en 5 minutes l'écart entre votre situation actuelle et les exigences de la DNSSI sur les onze domaines.

Étape 2 - Analyse d'écart formelle (semaines 4 à 8)

L'analyse d'écart (gap analysis) consiste à comparer votre situation actuelle aux exigences de la DNSSI domaine par domaine. Pour chaque exigence, trois états sont possibles : conforme, partiellement conforme, ou non conforme. Le résultat est un rapport d'écart avec une cotation du risque résiduel pour chaque point.

C'est à ce stade que vous décidez des priorités de mise en conformité en fonction de votre classification et des risques identifiés.

Étape 3 - Feuille de route et plan de mise en oeuvre (semaines 8 à 12)

Sur la base de l'analyse d'écart, vous définissez votre calendrier de mise en conformité. La DNSSI demande explicitement que ce calendrier distingue :

• Les mesures immédiates (correctifs critiques, mesures à fort impact et faible coût)
• Les mesures à court terme (3 à 6 mois)
• Les mesures à moyen terme (6 à 18 mois)

Ce plan est transmis à la DGSSI dans le cadre des obligations de reporting pour les entités soumises.

Étape 4 - Mise en oeuvre des mesures (durée variable)

La phase de mise en oeuvre est la plus longue. Elle couvre typiquement :

• Rédaction et validation de la politique SSI et des procédures associées
• Mise en place du contrôle d'accès et de la gestion des identités
• Déploiement des outils de surveillance et de détection d'incidents (SIEM, EDR)
• Formation et sensibilisation du personnel
• Mise en place ou mise à jour du plan de continuité d'activité (PCA)
• Revue des contrats avec les prestataires tiers sur les clauses de sécurité

Notre service de surveillance continue peut être intégré dès cette phase pour assurer la détection en temps réel des événements de sécurité.

Étape 5 - Audit interne et préparation à l'audit externe

Avant de soumettre vos systèmes à un audit PASSI ou à un contrôle de la DGSSI, un audit interne permet d'identifier et de corriger les derniers écarts. Cette étape évite les mauvaises surprises et améliore significativement les résultats de l'audit externe.

Étape 6 - Audit par un PASSI qualifié (pour les IIV et SIS sensibles)

Les IIV disposant de systèmes d'information sensibles doivent faire auditer leurs SI par un PASSI qualifié par la DGSSI au minimum tous les trois ans. L'audit couvre les domaines définis lors de la qualification et débouche sur un rapport de recommandations. Un plan d'action de remédiation doit être établi et suivi.

Étape 7 - Surveillance continue et amélioration

La conformité n'est pas un état figé. Elle exige une surveillance continue des événements de sécurité, une revue périodique de la politique SSI, et une mise à jour du plan de conformité en fonction des évolutions réglementaires et des nouvelles menaces.

La Stratégie Nationale de Cybersécurité 2030 : ce qui va changer

En juillet 2024, la DGSSI a présenté la Stratégie Nationale de Cybersécurité à l'horizon 2030. Ce document de planification à long terme repose sur quatre piliers et onze objectifs stratégiques.

Les quatre piliers sont :

1. Gouvernance nationale de la cybersécurité : renforcement du cadre juridique, amélioration de la coordination nationale entre acteurs.
2. Sécurité et résilience du cyberespace national : protection renforcée des IIV, mécanismes de collecte d'indicateurs nationaux.
3. Développement des capacités et sensibilisation : culture de cybersécurité dans la société, formation des ressources humaines, soutien à l'écosystème national.
4. Coopération régionale et internationale : participation aux forums et renforcement du positionnement du Maroc à l'échelle mondiale.

La stratégie 2030 inclut 26 initiatives et 60 actions concrètes. Pour les entreprises, le signal est clair : les exigences de sécurité vont continuer à se renforcer, et le niveau d'attention réglementaire sur les acteurs privés va croître dans les prochaines années. Anticiper cette évolution est moins coûteux que d'y réagir sous contrainte.

Parallèlement, un décret n° 2-24-921 a été adopté concernant le recours aux prestataires de services cloud par les entités et IIV disposant de systèmes d'information sensibles. Ce décret impose des exigences de qualification pour les prestataires cloud qui traitent des données sensibles de ces entités — un signal fort pour les acteurs du cloud au Maroc.

L'approche RMG Solutions

Conformité DGSSI et sécurité opérationnelle, pas juste un rapport. Beaucoup de cabinets GRC produisent un document d'analyse d'écart, listent les non-conformités, et vous laissent avec un PDF de 80 pages et aucune capacité d'exécution. Chez RMG Solutions, nous réalisons le diagnostic ET nous implémentons les mesures correctives -- parce que nous sommes aussi prestataire cybersécurité et infrastructure. L'analyse d'écart DNSSI identifie un défaut de contrôle d'accès ? Nous déployons la solution. La cartographie révèle une absence de monitoring ? Nous mettons en place le SIEM et le SOC managé. La classification A/B/C de vos systèmes exige un hébergement souverain ? Nous l'opérons depuis nos serveurs au Maroc. Notre équipe, basée à Hay Riad (Rabat), conduit l'ensemble du parcours : gap analysis, plan de traitement des risques, mise en oeuvre des contrôles, préparation aux audits PASSI et accompagnement vers la certification ISO 27001. Un seul interlocuteur, de l'évaluation initiale gratuite jusqu'à la conformité effective.

Contactez-nous pour planifier votre audit gratuit de 30 minutes.

Questions Fréquentes

Qu'est-ce que la DGSSI et quel est son rôle au Maroc ?

La DGSSI (Direction Générale de la Sécurité des Systèmes d'Information) est l'autorité nationale marocaine compétente en matière de cybersécurité. Créée en 2011 et rattachée à l'Administration de la Défense Nationale, elle définit les règles de sécurité applicables aux administrations publiques et aux infrastructures vitales, publie la directive DNSSI, qualifie les prestataires d'audit (PASSI), et supervise le maCERT, le centre national de réponse aux incidents informatiques.

Mon entreprise privée est-elle soumise à la loi 05-20 ?

Pas nécessairement de façon directe. La loi 05-20 s'applique en premier lieu aux administrations de l'État, aux établissements publics, aux infrastructures d'importance vitale (IIV) et aux opérateurs de réseaux et services numériques (FAI, hébergeurs, cybersécurité). Une PME du secteur industriel ou commercial qui n'est pas classifiée IIV n'est pas soumise aux mêmes obligations. Elle reste en revanche soumise à la loi 09-08 sur la protection des données personnelles dès lors qu'elle traite des données de clients, employés ou partenaires.

Quelle est la différence entre la loi 05-20 et la DNSSI ?

La loi 05-20 est le texte législatif qui pose le cadre général de la cybersécurité au Maroc : définitions, champ d'application, obligations générales, sanctions. La DNSSI (Directive Nationale de la Sécurité des Systèmes d'Information) est la directive technique et organisationnelle qui traduit ces obligations en mesures concrètes. Elle couvre onze domaines de sécurité et introduit un système de classification des systèmes d'information en classes A, B et C. La dernière version de la DNSSI date de janvier 2023.

La certification ISO 27001 suffit-elle pour être conforme à la DGSSI ?

ISO 27001 et la DNSSI partagent le même socle conceptuel - la DNSSI est largement inspirée de la norme ISO/IEC 27002. Un projet ISO 27001 bien conduit couvre la grande majorité des exigences de la DNSSI. Cependant, la conformité DGSSI comporte des spécificités marocaines que l'ISO 27001 ne couvre pas : classification A/B/C définie avec la DGSSI, obligation d'homologation avant déploiement de systèmes sensibles, notification d'incidents au maCERT, et recours obligatoire à des PASSI qualifiés par la DGSSI pour les audits. Les deux démarches sont complémentaires et il est efficace de les conduire conjointement.

Quelles sont les sanctions en cas de non-conformité à la loi 05-20 ?

La loi 05-20 prévoit des peines d'emprisonnement de 2 à 5 ans et une amende de 100 000 dirhams en cas de violation ayant entraîné la modification ou la suppression de données, ou l'altération du fonctionnement d'un système d'information. Pour les opérateurs de télécommunications, FAI, prestataires de cybersécurité et éditeurs de plateformes numériques, l'article 50 de la loi prévoit des amendes allant de 100 000 à 200 000 dirhams en cas de manquement à leurs obligations. Ces sanctions s'ajoutent aux pénalités prévues par la loi 09-08 sur la protection des données, qui peut imposer des amendes jusqu'à 200 000 MAD.