1924 BULLETIN OFFICIEL Nº 7028 – 29 safar 1443 (7-10-2021)
Section 2. – De la liste des secteurs d’activités d’importance vitale
ART. 18. – La liste des secteurs d’activités d’importance vitale et les autorités gouvernementales, établissements publics ou autres personnes morales de droit public assurant la coordination de ces secteurs, est fixée dans l’annexe n°1 du présent décret.
La liste précitée peut être modifiée ou complétée par arrêté du Chef du gouvernement sur proposition de l’administration de la défense nationale.
Section 3. – Des dispositions propres aux opérateurs
ART. 19. – Pour l’application des dispositions du deuxième alinéa de l’article 28 de la loi n° 05-20 précitée, l’opérateur :
– désigne un point focal pour faciliter l’accès aux installations de l’opérateur et apporter le concours nécessaire pour l’installation des dispositifs techniques sur ses réseaux ;
– fournit les éléments de l’architecture de ses réseaux permettant de déterminer l’emplacement du déploiement de ces dispositifs ainsi que leurs spécifications techniques ;
– fournit les prérequis techniques pour la connexion des dispositifs précités avec les points du réseau de l’opérateur fixés par l’autorité nationale ;
– permet de déployer les dispositifs techniques dans un environnement sécurisé ;
– assiste l’autorité nationale à l’installation des dispositifs techniques permettant le recueil et l’analyse des données techniques, conformément aux dispositions de l’article 28 de la loi précitée n° 05-20 ;
– limite l’accès à ces dispositifs aux seules personnes désignées à cet effet par l’autorité nationale ;
– permet à l’autorité nationale d’administrer et d’exploiter à distance les dispositifs techniques, et de les tester périodiquement pour en garantir l’efficience lors d’un incident de cybersécurité.
Ces dispositifs ne doivent pas nuire à la disponibilité, à la sécurité et à l’intégrité des réseaux et services fournis par l’opérateur.
Chapitre III Des critères de qualification des prestataires d’audit de la sécurité des systèmes d’information, des modalités de déroulement de l’audit et des critères de qualification des prestataires de services de cybersécurité
Section première. – Des critères de qualification des prestataires d’audit
ART. 20. – La qualification des prestataires d’audit de la sécurité des systèmes d’information est soumise aux critères ci-après :
– être constitué sous forme de société de droit marocain ;
– avoir une expertise dans l’audit de la sécurité des systèmes d’information ;
– avoir une structure organisationnelle dédiée exclusivement à l’audit de la sécurité des systèmes d’information ;
– remplir les conditions figurant dans le référentiel d’exigences des prestataires d’audit de la sécurité des systèmes d’information prévu par l’article 22 ci-dessous ;
– être qualifié au minimum dans trois (3) domaines d’audit parmi ceux prévus dans l’annexe 2 du présent décret et disposer d’un auditeur au minimum par domaine de qualification demandé.
En outre, le prestataire d’audit doit, afin de fournir des prestations d’audit de la sécurité des systèmes d’informations ayant la classification « CLASSE A » prévue à l’article 12 du présent décret, remplir les conditions suivantes :
– le capital de la société doit être détenu majoritairement par des marocains ;
– les auditeurs proposés doivent être de nationalité marocaine.
ART. 21. – La demande de qualification est déposée par le prestataire d’audit de la sécurité des systèmes d’information auprès de l’autorité nationale, accompagnée d’un dossier comportant les documents suivants :
– copie des statuts de la société ;
– attestation d’inscription au registre de commerce ;
– liste des noms des associés et leurs nationalités ;
– copies des pièces d’identité des dirigeants de la société et ses organes d’administration ainsi que des auditeurs proposés ;
– note indiquant les moyens humains et techniques de la société ;
– copies des casiers judiciaires des auditeurs proposés ;
– curriculums vitae des auditeurs proposés et le cas échéant les copies de leurs diplômes et certificats de formation ;
– copies des contrats de travail conclus avec les auditeurs proposés ;
– copies des attestations délivrées par les maîtres d’ouvrages au profit desquels ont été exécutées des prestations d’audit de la sécurité des systèmes d’information, et devant préciser notamment la nature de la prestation fournie et la date de sa réalisation ;
– document décrivant la méthodologie appliquée pour conduire la prestation d’audit, objet de la demande de qualification.
Le prestataire d’audit de la sécurité des systèmes d’information doit informer l’autorité nationale de toute modification de l’un des éléments figurant dans le dossier de la demande de qualification.