Nº 7380 – 21 chaabane 1446 (20-2-2025)
BULLETIN OFFICIEL
– le ou les services objet de la qualification et leur type ; – La durée de validité de la qualification, à condition qu’elle ne dépasse pas cinq (5) ans ; En cas de refus de la demande de qualification, l’autorité nationale en informe le demandeur par écrit. A RT. 10. – Le renouvellement de la qualification du prestataire de services Cloud a lieu selon les mêmes exigences et conformément à la procédure suivie pour son obtention, sous réserve du dépôt de la demande de renouvellement six (6) mois, au moins, avant la date d’expiration de la validité de la qualification. ART. 11. – Le prestataire de services Cloud informe, sans délai, l’autorité nationale de toute modification intervenue dans l’un des éléments sur la base desquels la qualification a été délivrée. A RT. 12. – La liste des prestataires de services Cloud qualifiés est publiée au « Bulletin Officiel » et sur le site Internet de l’autorité nationale. Section 3. – Engagements du prestataire de services Cloud et son audit
A RT. 13. – Le prestataire de services Cloud qualifié s’engage à respecter les règles, règlements et référentiels techniques relatifs à la sécurité des systèmes d’information prévus à l’article 10 de la loi n°05-20 précitée. En outre, le prestataire de services Cloud qualifié de niveau 2 s’engage à ne permettre à aucune partie, de quelque nature que ce soit, de disposer les données de l’entité ou de l’infrastructure d’importance vitale ni de les consulter, sans l’accord préalable du responsable de l’entité ou de l’infrastructure précités. ART. 14. – En application des dispositions de l’article 38 de la loi précitée n°05-20, l’autorité nationale procède à l’audit des prestataires de services Cloud qualifiés. Section 4. – Cessation de fournir des prestations de services Cloud et retrait de la qualification
A RT. 15. – Si le prestataire de services Cloud qualifié ne répond plus à l’une des exigences sur la base desquelles la qualification lui a été délivrée, l’autorité nationale le met en demeure de se conformer aux prescriptions y afférentes, émise par l’autorité, dans un délai qu’elle fixe selon l’importance desdites prescriptions. Si le prestataire de services Cloud ne défère pas à la mise en demeure, l’autorité nationale suspend sa qualification, jusqu’à ce qu’il se conforme auxdites prescriptions, à défaut, la qualification est retirée. ART. 16. – En cas de cessation de ses prestations aux entités et infrastructures d’importance vitale, pour quelque raison que ce soit, le prestataire de services Cloud qualifié est tenu de mettre à la disposition desdites entités et infrastructures les moyens techniques nécessaires leur permettant la récupération des composantes des systèmes d’information ou des données qui lui sont confiées. Une fois la restitution des composantes des systèmes d’information ou des données précitées est effectuée, le prestataire de services doit procéder à la suppression effective de ces composantes de ses systèmes, et fournir aux responsables desdites entités ou infrastructures un document certifiant ladite suppression.
303
Le référentiel d’exigences, prévu à l’article 4 du présent décret, fixe les modalités régissant la réversibilité et la suppression des composantes des systèmes d’information ou des données précités. Chapitre III Dispositions diverses et transitoires ART. 17. – .De manière transitoire, les responsables des entités et infrastructures d’importance vitale peuvent recourir à un service Cloud auprès d’un prestataire de services Cloud non qualifié en cas d’indisponibilité de ce service ou d’un service similaire en termes de standards et de fonctionnalités auprès des prestataires de services Cloud qualifiés. Dans ce cas, ces responsables sont tenus, avant de recourir au service Cloud auprès d’un prestataire de services Cloud non qualifié, de procéder à une étude d’analyse des risques et évaluer l’impact du recours à ce service sur la sécurité de leurs systèmes d’information, et le cas échéant, sur la confidentialité des données. Cette étude doit prendre en considération notamment : – les éléments justifiant le recours au service en question ; – les modalités d’exécution du service et les droits que détient le prestataire de services sur les systèmes d’information et sur les données ; – les garanties ainsi que les fonctions de sécurité offertes par le prestataire de services pour la protection des systèmes d’information et des données, leur localisation et leur réversibilité ; – les règles de transparence adoptées en termes de communication des données et des informations à autrui ; – le régime juridique applicable au prestataire de service. Lorsque le service concerné est disponible auprès d’un prestataire de services Cloud qualifié, les responsables des entités et des infrastructures d’importance vitale prévus au premier alinéa ci-dessus doivent procéder à la migration vers ledit prestataire, sous réserve du respect des clauses du contrat ou des contrats conclus avec le prestataire de services Cloud non qualifié. ART. 18. – Les entités et les infrastructures d’importance vitale qui, à la date de l’entrée en vigueur du présent décret, recourent aux services Cloud relatifs aux systèmes d’information sensibles ou aux données sensibles, doivent se conformer aux dispositions du présent décret dans un délai maximum de vingtquatre (24) mois à compter de la date de son entrée en vigueur. ART. 19. – Le présent décret entre en vigueur à compter de la date de publication de l’arrêté prévu à l’article 4 du présent décret au Bulletin officiel. A RT. 20. – Le ministre délégué auprès du Chef du gouvernement, chargé de l’administration de la défense nationale est chargé de l’exécution du présent décret qui sera publié au Bulletin officiel. Fait à Rabat, le 18 rabii II 1446 (22 octobre 2024). AZIZ AKHANNOUCH. Le texte en langue arabe a été publié dans l’édition générale du « Bulletin officiel » n° 7352 du 11 joumada I 1446 (14 novembre 2024).