2344
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
Annexe à l’arrêté du Chef du gouvernement n° 3-17-25 du 7 safar 1447 (1er août 2025) fixant le référentiel des exigences de qualification des prestataires de services Cloud RÉFÉRENTIEL DES EXIGENCES DE QUALIFICATION DES PRESTATAIRES DE SERVICES CLOUD
1. Contexte et objectifs Les responsables des entités et infrastructures d’importance vitale doivent, lorsqu’ils ont recours à des services Cloud pour l’hébergement, la gestion ou l’exploitation de leurs systèmes ou données sensibles, faire appel à des prestataires qualifiés par l’autorité nationale de cybersécurité (Direction Générale de de lalaSécurité Sécuritédes desSystèmes Systémesd’Information), d’Information), selon dispositions prévues par le décret Générale selon les les dispositions prévues par le décret n°224-921 du 18 rabii II (22 (22 octobre 2024) relatif auau recours n° 2-24-921 du 18 rabii1446 II 1446 octobre 2024) relatif recoursaux auxprestataires prestatairesde deservices services Cloud Cloud par par les entités et les infrastructures d’importance vitale disposant de systèmes d’information ou de données sensibles. Le présent référentiel, qui s’inspire des meilleures pratiques internationales, définit les exigences spécifiques auxquelles doit se conformer un prestataire de services cloud, désigné ci-après par « prestataire de services », pour être qualifié à fournir des services conformément aux dispositions du décret précité.
2. Processus de qualification Le processus de qualification se déroule en quatre (04) étapes conformément aux exigences des articles 6,7,8,9 et 10 du décret précité n°2-24-921. Le modèle de demande de qualification ainsi que les modèles d’engagement constituant le dossier de qualification sont publiés sur le site web de l’autorité nationale de cybersécurité. En ce qui concerne l’examen du dossier, l’autorité nationale de cybersécurité peut demander, en plus des documents requis au titre de l’article 6 du décret n°2-24-921, tous documents ou informations complémentaires utiles à l'instruction du dossier concernant le prestataire de services lui-même ou un ou plusieurs de ses sous-traitants. Elle peut aussi demander toute explication ou justification, notamment au sujet des statuts de la société, de l’identité des associés, des personnes impliquées dans la gestion et l’exploitation des services ou des attestations de référence.
3. Exigences de qualification des Prestataires de services cloud : Dans le cadre de la qualification, les exigences ci-après détaillées sont opposables aux prestataires de services uniquement sur le périmètre (systèmes et plateformes) qui est sous leur responsabilités. Le modèle de répartition des responsabilités entre prestataire de services et l’entité ou l’infrastructure d’importance vitale disposant de systèmes d’information ou de données sensibles désignées dans le présent référentiel par « commanditaire », est donné à titre indicatif.
IaaS
PaaS
SaaS
Données Applications Runtimes Middlewares Systèmes d’Exploitation Virtualisation Serveurs Stockage Réseaux
Données Applications Runtimes Middlewares Systèmes d’Exploitation Virtualisation Serveurs Stockage Réseaux
Données Applications Runtimes Middlewares Systèmes d’Exploitation Virtualisation Serveurs Stockage Réseaux
: Responsabilité du prestataire de services
: Responsabilité du commanditaire
3