Nº 7028 – 29 safar 1443 (7-10-2021) BULLETIN OFFICIEL 1923
– des pertes financières modérées ;
– ou toute autre conséquence de nature analogue.
4. – Impact limité : si un incident de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité d’un actif informationnel pourrait causer :
– une gêne ou perturbation dans les fonctions d’une entité non considérée comme infrastructure d’importance vitale ;
– des pertes financières limitées ;
– ou toute autre conséquence de nature analogue.
ART. 12. – Un système d’information est classifié sur la base de l’échelle de l’analyse des impacts prévue à l’article 11 ci-dessus et ce, selon les niveaux suivants :
– « CLASSE A », si au minimum un incident de cybersécurité, portant sur la confidentialité, la disponibilité ou l’intégrité d’un des actifs informationnels qui compose le système d’information, a un impact très grave ;
– « CLASSE B », si tous les incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité, des actifs informationnels qui composent le système, ont au maximum un impact grave ;
– « CLASSE C », si tous les incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité, des actifs informationnels qui composent le système, ont au maximum un impact modéré ;
– « CLASSE D », si tous les incidents de cybersécurité portant sur la confidentialité, la disponibilité ou l’intégrité, des actifs informationnels qui composent le système, ont au maximum un impact limité.
Sont réputés systèmes d’information sensibles, les systèmes d’information appartenant aux « CLASSE A » ou « CLASSE B ».
Chaque entité au sens de la loi n° 05-20 précitée, doit déclarer ses systèmes d’information sensibles à l’autorité nationale.
ART. 13. – Les actifs informationnels de type « données » classifiés sur la base de l’échelle de l’analyse des impacts prévue à l’article 11 ci-dessus sont classés suivant leur degré de sensibilité en termes de confidentialité selon les niveaux ci-après :
– « TRES SECRET », si un incident de cybersécurité portant sur la confidentialité a un impact très grave ;
– « SECRET », si un incident de cybersécurité portant sur la confidentialité a un impact grave ;
– « CONFIDENTIEL », si un incident de cybersécurité portant sur la confidentialité a un impact modéré ;
– « DIFFUSION RESTREINTE », si un incident de cybersécurité portant sur la confidentialité a un impact limité.
Pour l’application des dispositions de l’article 11 de la loi précitée n° 05-20, les données classifiées appartenant à l’un des niveaux « TRES SECRET » et « SECRET » sont considérées des données sensibles.
ART. 14. – Chaque entité ou infrastructure d’importance vitale applique les mesures de protection relatives à la sécurité des systèmes d’information proportionnellement à la classification attribuée. Ces mesures portent notamment sur :
– le marquage, traitement, stockage et transit et de destruction des informations et supports ;
– les consignes de sécurité à respecter par les personnes ;
– la sécurité physique.
L’autorité nationale édicte les référentiels et guides relatifs à ces mesures de protection, en tenant compte des différents niveaux de classification des systèmes d’information et des données.
ART. 15. – Chaque entité ou infrastructure d’importance vitale procède à la révision de la classification de ses actifs informationnels ou systèmes d’information au moins une fois tous les trois (3) ans et à chaque fois que nécessaire.
ART. 16. – Chaque entité ou infrastructure d’importance vitale informe et sensibilise son personnel sur les procédures de manipulation des actifs informationnels et des systèmes d’information selon leur classification et sur les mesures de protection qui leur sont applicables.
Sous-section 3. – Des missions du responsable de la sécurité des systèmes d’information
ART. 17. – Pour l’application du premier alinéa de l’article 6 de la loi n° 05-20 susvisée, chaque entité ou infrastructure d’importance vitale informe l’autorité nationale de son responsable de la sécurité des systèmes d’information, qui est chargé notamment de :
– identifier et analyser les enjeux et les risques de cybersécurité en tenant compte des évolutions réglementaires et techniques ;
– définir les objectifs de cybersécurité en collaboration avec les parties prenantes et élaborer les mesures de sécurité appropriées ;
– participer à l’élaboration et au suivi de la politique de sécurité des systèmes d’information en collaboration avec les parties prenantes ;
– définir pour la mise en œuvre de la politique de sécurité des systèmes d’information un plan d’actions annuel ou pluriannuel ;
– assurer le suivi de la gestion des incidents de cybersécurité ;
– rapporter régulièrement à sa hiérarchie les risques de sécurité des systèmes d’information ;
– animer des sessions de sensibilisation au profit du personnel.