602 BULLETIN OFFICIEL N° 6458 – 13 rejeb 1437 (21-4-2016)
Décret n° 2-15-712 du 12 joumada II 1437 (22 mars 2016) fixant le dispositif de protection des systèmes d'information sensibles des infrastructures d'importance vitale.
LE CHEF DU GOUVERNEMENT,
Vu le dahir n° 1-12-04 du 14 rabii I 1433 (7 février 2012) portant délégation de pouvoir en matière d'Administration de la défense nationale ;
Vu le décret n° 2-11-508 du 22 chaoual 1432 (21 septembre 2011) portant création du comité stratégique de la sécurité des systèmes d'information notamment son article premier ;
Vu le décret n° 2-82-673 du 28 rabii I 1403 (13 janvier 1983) relatif à l'organisation de l'Administration de la défense nationale et portant création de la Direction générale de la sécurité des systèmes d'information, tel qu'il a été complété par le décret n° 2-11-509 du 22 chaoual 1432 (21 septembre 2011), notamment son article 7 quater ;
Vu la circulaire du Chef du gouvernement n° 3/2014 du 8 joumada I 1435 (10 mars 2014) relative à la directive nationale de la sécurité des systèmes d'information ;
Après délibération en Conseil du gouvernement, réuni le 3 rabii II 1437 (14 janvier 2016) ;
Après délibération en Conseil des ministres, réuni le 26 rabii II 1437 (6 février 2016),
DÉCRÈTE :
ARTICLE PREMIER. – Au sens du présent décret, on entend par :
« Infrastructures d'importance vitale » : Installations, ouvrages et systèmes qui sont indispensables au maintien des fonctions vitales de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social, et dont le dommage ou l'indisponibilité ou la destruction aurait un impact induisant la défaillance de ces fonctions.
« Secteur d'activités d'importance vitale » : Constitué d'activités concourant à un même objectif. Ces activités ont trait soit à la production et la distribution de biens ou de services indispensables à la satisfaction des besoins essentiels pour la vie des populations, ou à l'exercice des prérogatives de l'Etat, ou au fonctionnement de l'économie, ou au maintien des capacités de sécurité du pays, dès lors que ces activités sont difficilement substituables ou remplaçables, ou qui peuvent présenter un danger grave pour la population.
« Information sensible » : Information dont la compromission, l'altération, le détonnement ou la destruction est de nature à nuire à la continuité du fonctionnement ou mettant en danger le patrimoine informationnel de l'infrastructure d'importance vitale.
« Système d'information sensible d'une infrastructure d'importance vitale » :
Système d'information traitant des informations sur lesquelles une atteinte à la confidentialité, à l'intégrité ou à leur disponibilité porterait préjudice à la continuité de fonctionnement de l'infrastructure d'importance vitale.
« Autorité compétente » : Autorité gouvernementale chargée de l'administration de la défense nationale (Direction générale de la sécurité des systèmes d'information).
ART. 2. – Champ d'application
Le présent décret s'applique aux administrations, établissements et entreprises publics et organismes disposant d'un agrément ou d'une licence de l'Etat pour exercer une activité réglementée, considérés comme des infrastructures d'importance vitale et disposant de systèmes d'information sensibles. Ces infrastructures sont désignées ci-après sous le terme « entité ».
ART. 3. – Délimitation des secteurs d'activités et des infrastructures d'importance vitale
La liste des secteurs d'activités d'importance vitale et des autorités gouvernementales ou établissements publics ou personnes morales de droit public assurant la coordination de ces secteurs est fixée en annexe du présent décret.
Les infrastructures d'importance vitale visées à l'article 2 du présent décret sont désignées pour chaque secteur d'activités d'importance vitale par l'autorité gouvernementale ou l'établissement public ou la personne morale de droit public assurant la coordination de ce secteur.
La liste de ces infrastructures doit être tenue secrète et son contenu doit faire l'objet d'un réexamen au moins une fois par an.
ART. 4. – Identification et recensement des systèmes d'information sensibles des infrastructures d'importance vitale
Chaque entité établit, sur la base des résultats d'une analyse des risques, un répertoire contenant les listes de ses systèmes d'information sensibles tels que définis à l'article premier ci-dessus, et le communique à l'autorité compétente dans un délai maximum de 12 mois après la publication du présent décret au «Bulletin officiel».
L'autorité compétente fixe les modalités régissant la classification des systèmes d'information.
Chaque entité doit notifier à l'autorité compétente tout changement affectant la liste de ses systèmes d'information sensibles.
Les listes et les répertoires des systèmes d'information sensibles des infrastructures d'importance vitale sont tenus secrets.
Chaque entité doit désigner un responsable de la sécurité de ces systèmes qui sera le point de contact vis-à-vis de l'autorité compétente.
ART. 5. – Application de la directive nationale de la sécurité des systèmes d'information et des règles de sécurité sectoriels
Chaque entité veille à ce que ses systèmes d'information sensibles soient conformes aux règles prescrites par la directive nationale de la sécurité des systèmes d'information et les standards de sécurité édictées par l'autorité compétente et applicables aux systèmes d'information sensibles des infrastructures d'importance vitale.