1926 BULLETIN OFFICIEL Nº 7028 – 29 safar 1443 (7-10-2021)
ART. 33. – L’entité ou l’infrastructure d’importance vitale auditée conserve le rapport d’audit et les documents y afférents pendant une durée de trois (3) ans au moins.
Section 3. – Des critères de qualification des prestataires de services de cybersécurité
ART. 34. – En application des dispositions de l’article 25 de la loi précitée n° 05-20, la qualification d’un prestataire de services de cybersécurité porte sur le domaine de la détection des incidents de cybersécurité et/ou le domaine de l’analyse, l’investigation et le traitement des incidents de cybersécurité, selon les critères suivants :
– être constitué sous forme de société de droit marocain ;
– avoir une expertise dans la fourniture de prestations de cybersécurité ;
– avoir une structure organisationnelle et des moyens techniques dédiés exclusivement à la fourniture de prestations de cybersécurité ;
– compter parmi son personnel, un minimum de trois (3) spécialistes dans l’un des domaines d’activité de qualification précités, disposant de l’expérience et des qualifications nécessaires fixés dans le référentiel d’exigences des prestataires de services de cybersécurité, élaboré par l’autorité nationale et publié sur son site Internet ;
– garantir que l’hébergement et le traitement des données sensibles relatives aux services de détection et d’analyse des incidents de cybersécurité soient réalisés exclusivement sur le territoire national ;
– garantir que l’exploitation et l’administration des services de détection et d’analyse des incidents de cybersécurité soient réalisées exclusivement sur le territoire national.
En outre, le prestataire doit, afin de fournir des prestations de services de cybersécurité des systèmes d’information sensibles ayant la classification « CLASSE A », remplir les conditions suivantes :
– le capital de la société doit être détenu majoritairement par des marocains ;
– les spécialistes proposés doivent être de nationalité marocaine.
ART. 35. – La demande de qualification est déposée par le prestataire de services de cybersécurité auprès de l’autorité nationale accompagnée d’un dossier comportant les documents suivants :
– copie des statuts de la société ;
– attestation d’inscription au registre de commerce ;
– liste des noms des associés et leurs nationalités ;
– copies des pièces d’identité des dirigeants de la société et ses organes d’administration ainsi que des spécialistes proposés ;
– note indiquant les moyens humains et techniques de la société ;
– copies des casiers judiciaires des spécialistes proposés ;
– curriculums vitae des spécialistes et le cas échéant les copies de leurs diplômes et certificats de formation ;
– copies des contrats de travail conclus avec les spécialistes proposés ;
– copies des attestations délivrées par les maîtres d’ouvrages au profit desquels ont été exécutées des prestations de services de cybersécurité, et devant préciser notamment la nature de la prestation fournie et la date de sa réalisation ;
– document décrivant la méthodologie appliquée pour conduire la prestation de services de cybersécurité, objet de la demande de qualification.
Le prestataire de services de cybersécurité doit informer l’autorité nationale de toute modification de l’un des éléments figurant dans le dossier de la demande de qualification.
ART. 36. – Après s’être assuré que le dossier de la demande comprend tous les documents et informations requis, l’autorité nationale soumet le prestataire de services de cybersécurité, à ses frais, à une évaluation des prestations objet de la demande par l’un des organismes qu’elle désigne à cet effet.
L’évaluation précitée s’effectue conformément au référentiel d’exigences des prestataires de services de cybersécurité élaboré par l’autorité nationale et publié sur son site Internet.
ART. 37. – Au vu des résultats de l’évaluation prévue à l’article 36 ci-dessus, l’autorité nationale peut prendre la décision de qualification qui indique notamment :
– la dénomination et l’adresse du siège social du prestataire de services de cybersécurité ;
– les domaines objet de la qualification, en indiquant que le prestataire peut fournir des services de cybersécurité pour les systèmes d’information sensibles de «CLASSE A» ou de «CLASSE B» ;
– la durée de sa validité qui ne dépasse pas trois (3) ans ;
– la liste des spécialistes retenus par domaine de prestation de services de cybersécurité.
En cas de refus de la qualification, le demandeur doit être avisé par l’autorité nationale.
ART. 38. – Le renouvellement de la qualification du prestataire de services de cybersécurité a lieu selon les mêmes conditions exigées pour son obtention, sous réserve du dépôt de la demande de renouvèlement dans les soixante (60) jours, au moins, avant la date d’expiration de la décision de qualification.
ART. 39. – Le prestataire de services de cybersécurité informe, sans délai, l’autorité nationale de toute modification intervenue dans l’un des éléments sur la base desquels la qualification a été délivrée.