La directive NIS2 ne s’applique pas au Maroc, mais elle rend vos clients européens comptables de votre niveau de sécurité. Analyse du périmètre réel, de l’articulation avec la loi 09-08 et des chantiers à ouvrir en premier.
La scène se répète depuis deux ans chez les prestataires marocains : un client européen envoie un questionnaire de sécurité, impose une clause de notification d’incident en quelques heures et réclame la preuve d’une analyse de risques. La réponse réflexe tient en une phrase : « NIS2 est une directive européenne, nous sommes au Maroc, elle ne nous est pas opposable. » Elle est juridiquement presque exacte et pratiquement sans effet. La directive ne s’adresse pas à vous ; elle s’adresse à votre client, et elle le rend comptable de votre sécurité.
NIS2 est le nom d’usage de la directive (UE) 2022/2555, entrée en vigueur le 16 janvier 2023, que les États membres devaient transposer au plus tard le 17 octobre 2024. Elle remplace la directive 2016/1148, au périmètre trop étroit et à l’application trop inégale. Premier point à retenir : le texte est une directive. Contrairement au RGPD, il n’est donc pas directement applicable ; il vit dans vingt-sept lois nationales qui divergent sur des points très concrets (identification des entités, seuils, modalités de déclaration, barèmes de sanction). Lorsqu’un client vous oppose « NIS2 », c’est en réalité le droit français, belge ou allemand qui vous est opposé.
Le périmètre combine deux annexes sectorielles et un critère de taille. L’annexe I vise les secteurs hautement critiques (énergie, transports, banque, santé, eau, infrastructures numériques, gestion de services TIC interentreprises, administration publique) et l’annexe II d’autres secteurs critiques, des postes à l’agroalimentaire. Le seuil général retient les entreprises de taille moyenne et au-delà, avec des exceptions qui s’appliquent quelle que soit la taille. Les entités sont ensuite qualifiées d’« essentielles » ou d’« importantes ». Cette qualification commande le régime de supervision, a priori ou a posteriori, ainsi que le plafond des amendes : au moins dix millions d’euros ou 2 % du chiffre d’affaires mondial pour les premières, sept millions ou 1,4 % pour les secondes.
C’est le chemin le plus fréquent, et celui qui ne laisse aucune marge de négociation. L’article 21 impose aux entités concernées des mesures de gestion des risques selon une approche « tous risques », dont la liste minimale mentionne explicitement la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs et prestataires directs. Le paragraphe suivant ajoute que l’entité doit tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité d’ensemble de ses pratiques de cybersécurité. Un hôpital allemand ne répond donc plus seulement de sa propre sécurité : il doit démontrer qu’il évalue et encadre celle de ses prestataires. Pour cela, il ne dispose que d’un instrument : le contrat.
Ce chemin est plus direct et beaucoup moins connu. L’article 26 fixe la compétence territoriale. Une entité relève en principe de l’État membre où elle est établie ; pour certaines catégories, la compétence suit en revanche l’établissement principal dans l’Union : services DNS, registres de noms de domaine, informatique en nuage, centres de données, prestataires de services gérés et de services de sécurité gérés, places de marché, moteurs de recherche. Et lorsqu’une entité de ces catégories n’y est pas établie tout en y offrant ses services, elle doit désigner un représentant dans l’Union et relève de la juridiction de l’État membre où celui-ci est établi. Un infogérant, un hébergeur ou un MSSP marocain qui vend à des clients européens entre exactement dans cette description. Le règlement d’exécution (UE) 2024/2690 détaille d’ailleurs les exigences techniques attendues de ces mêmes catégories : c’est la grille la plus précise dont on dispose aujourd’hui.
Si le groupe dispose d’une entité juridique en Europe, celle-ci peut être assujettie dès lors qu’elle atteint le seuil de taille dans un secteur listé. L’erreur courante consiste à regarder l’effectif local et à conclure trop vite : les seuils s’apprécient selon la recommandation 2003/361/CE, qui agrège les entreprises liées. Une filiale de dix personnes détenue par un groupe de huit cents salariés n’est pas automatiquement une petite entreprise.
Cette liste minimale n’a rien d’exotique pour qui connaît ISO/IEC 27001. L’article 20 ajoute en revanche une exigence qui change la nature de la conversation : l’organe de direction approuve les mesures, supervise leur mise en œuvre, peut être tenu responsable des manquements, et ses membres doivent suivre une formation. Votre interlocuteur n’est donc plus seulement la DSI. Un prestataire capable de produire sans délai une analyse de risques datée, une procédure d’incident et un rapport de test de restauration gagne un temps considérable dans un appel d’offres.
La loi 09-08 relative au traitement des données à caractère personnel, promulguée par le dahir du 18 février 2009, confie à la CNDP le contrôle des traitements : formalités préalables, droits des personnes, encadrement des transferts hors du Maroc. Son objet diffère de celui de NIS2, puisqu’elle protège les personnes plutôt que la résilience des services, mais les deux textes se croisent sur des points opérationnels : conservation des journaux, externalisation de la supervision vers un SOC, clauses imposées aux sous-traitants ultérieurs. Le Maroc ne figure pas sur la liste des pays reconnus adéquats par la Commission européenne : les transferts depuis l’Union reposent donc sur les garanties appropriées du RGPD. À l’inverse, une entreprise déjà soumise au cadre national issu de la loi 05-20 et piloté par la DGSSI a construit une part du socle attendu ; son écart porte surtout sur les délais et sur la preuve.
Première norme certifiable de management de l’intelligence artificielle, ISO/IEC 42001 élargit la question du risque : au-delà de ce que l’organisation peut perdre, elle interroge ce que ses systèmes peuvent faire subir. Exigences réelles, articulation avec ISO 27001 et le RGPD.
Lire l'articleUn RTO négocié en réunion reste une intention jusqu’au premier exercice chronométré. Ce qui sépare le plan de la réalité : l’arithmétique de la restauration, l’immuabilité des sauvegardes, les dépendances oubliées et l’exercice, seule preuve admissible.
Lire l'articleCollecter des journaux règle un problème de stockage ; détecter une attaque en demande bien davantage. Ce que recouvrent réellement SOC, MDR et EPP, les indicateurs qui méritent de figurer au contrat, et les questions qui révèlent la nature d’une offre MSSP.
Lire l'articleDécrivez votre contexte en quelques lignes. Nous revenons vers vous sous un jour ouvré avec une première lecture et les questions qui comptent.
