1922 BULLETIN OFFICIEL Nº 7028 – 29 safar 1443 (7-10-2021)
– le 5ème bureau de l’état-major général des Forces armées royales ;
– l’inspection des transmissions des Forces armées royales.
Les autorités et organismes précités désignent leurs représentants permanents ainsi que leurs suppléants.
Le président du comité de gestion des crises et événements cybernétiques majeurs peut inviter toute personne ou organisme dont il juge la participation utile.
ART. 7. – Le comité de gestion des crises et événements cybernétiques majeurs prépare des rapports sur ses travaux et les transmet au comité stratégique de la cybersécurité.
ART. 8. – En application du troisième alinéa de l’article 36 de la loi précitée n° 05-20, le comité de gestion des crises et événements cybernétiques majeurs élabore un cadre de gestion des crises et événements cybernétiques majeurs et le soumet au comité stratégique de la cybersécurité pour approbation.
Le cadre de gestion précité doit définir notamment le champ d’intervention de chacun des membres du comité de gestion des crises et événements cybernétiques majeurs, ainsi que les procédures de gestion des crises et les modalités de communication et d’échange d’informations.
Chacun des membres du comité de gestion des crises et événements cybernétiques majeurs est chargé, dans la limite des prérogatives de l’autorité ou de l’organisme dont il relève, de l’enclenchement et du suivi des actions décidées par ledit comité.
Chapitre II Du dispositif de sécurité des systèmes d’information
Section première. – Dispositions propres aux entités et aux infrastructures d’importance vitale disposant de systèmes d’information sensibles Sous-section première. – De la directive nationale de la sécurité des systèmes d’information
ART. 9. – Dans le cadre des directives édictées par l’autorité nationale prévues au premier alinéa de l’article 4 de la loi n°05-20 susvisée, l’autorité nationale fixe par décision une directive nationale de la sécurité des systèmes d’information, qui détermine notamment les règles organisationnelles et techniques de sécurité des systèmes d’information. La directive nationale est publiée sur le site Internet de l’autorité nationale.
Sous-section 2. – Du référentiel de la classification des actifs informationnels et des systèmes d’information
ART. 10. – En application des articles 5 et 14 de la loi précitée n° 05-20, les entités et les infrastructures d’importance vitale classifient leurs systèmes d’information en se basant sur une analyse des impacts des incidents susceptibles de porter atteinte à la confidentialité, à la disponibilité ou à l’intégrité des actifs informationnels, consistant en toute ressource tel que le matériel, le logiciel, la donnée ou la procédure, qui composent les systèmes d’information précités.
ART. 11. – Afin d’effectuer la classification prévue à l’article 10 ci-dessus, chaque entité et infrastructure d’importance vitale réalisent une analyse des impacts des incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité de leurs actifs informationnels.
Le niveau d’impact des incidents précités doit refléter l’importance des conséquences pouvant se traduire par l’incapacité de l’entité ou de l’infrastructure d’importance vitale à :
– accomplir ses missions ;
– préserver la vie, la santé ou le bien-être des personnes ;
– se conformer aux lois, aux règlements et aux obligations contractuelles ;
– préserver son image de marque et celle de l’Etat ;
– maintenir et renforcer la confiance des citoyens et des partenaires à l’égard des services offerts, ou par la capacité de ladite entité ou infrastructure d’importance vitale à affecter le fonctionnement d’entités tierces, tributaires de ses services.
L’analyse des impacts doit se faire selon l’échelle suivante :
1. – Impact très grave : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité d’un actif informationnel pourrait :
– nuire au maintien des capacités de sécurité et de défense de l’Etat ;
– porter préjudice aux intérêts stratégiques de l’Etat ;
– porter atteinte à la santé et à la sécurité de la population ;
– perturber ou nuire au fonctionnement de l’économie nationale ;
– engendrer une incapacité totale ou partielle de plusieurs infrastructures d’importance vitale à assurer leurs fonctions essentielles.
2. – Impact grave : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité d’un actif informationnel pourrait engendrer :
– une incapacité totale ou partielle d’une infrastructure d’importance vitale à assurer ses fonctions essentielles ;
– une incapacité totale d’une ou plusieurs entités non considérées comme infrastructures d’importance vitale à assurer leurs fonctions essentielles ;
– des pertes financières importantes pour une ou plusieurs entités ou infrastructures d’importance vitale.
3. – Impact modéré : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité d’un actif informationnel pourrait engendrer :
– une gêne ou perturbation mineure dans les fonctions d’une infrastructure d’importance vitale ;
– une incapacité partielle d’une ou de plusieurs entités non considérées comme infrastructures d’importance vitale, à assurer leurs fonctions ;