Mesures de sécurité, délais de notification, responsabilité de la direction et sanctions : ce que NIS 2 et DORA impliquent, y compris pour les entreprises marocaines.
NIS 2 impose à de nombreuses organisations européennes des mesures de gestion des risques cyber, une notification des incidents en trois temps (24 heures, 72 heures, un mois) et une responsabilité directe de la direction. DORA, applicable depuis le 17 janvier 2025, fixe des règles comparables et plus détaillées pour le secteur financier. Une entreprise marocaine n'y est pas soumise directement en tant que telle, mais elle peut être concernée par ses contrats avec des clients européens, par sa filiale ou sa maison mère, ou parce qu'elle fournit certains services numériques dans l'Union.
La directive (UE) 2022/2555, dite NIS 2, est entrée en vigueur début 2023. Les États membres devaient la transposer au plus tard le 17 octobre 2024, date à partir de laquelle elle a remplacé la première directive NIS.
Son champ couvre dix-huit secteurs, parmi lesquels l'énergie, les transports, la santé, la banque, l'eau, les infrastructures numériques et l'administration publique. En règle générale, elle vise les entreprises de taille moyenne et les grandes entreprises de ces secteurs, avec des exceptions pour certaines activités jugées sensibles quelle que soit la taille.
Les organisations sont classées en deux catégories :
Les modalités pratiques varient selon la transposition de chaque État membre, et des ajustements du texte ont été proposés au niveau européen en 2026 : vérifiez la version applicable dans le pays concerné.
L'article 21 demande des mesures techniques, opérationnelles et organisationnelles proportionnées aux risques. Il en fixe un socle minimal :
Le point sur la chaîne d'approvisionnement est celui qui touche le plus directement les prestataires hors Union : un client européen soumis à NIS 2 doit évaluer la sécurité de ses fournisseurs.
L'article 23 organise la déclaration des incidents importants au CSIRT ou à l'autorité compétente :
L'article 20 impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre, et prévoit qu'ils puissent être tenus responsables des manquements. Les membres de la direction doivent aussi suivre une formation, et les entités sont encouragées à en proposer régulièrement à leur personnel.
Pour les manquements aux articles 21 et 23, l'article 34 fixe des plafonds minimaux que les États doivent prévoir :
Le règlement (UE) 2022/2554, dit DORA, s'applique depuis le 17 janvier 2025. Directement applicable dans tous les États membres, il concerne une vingtaine de catégories d'entités financières (banques, assurances, entreprises d'investissement, établissements de paiement, etc.) ainsi que les prestataires tiers de services TIC désignés comme critiques.
Ses exigences s'organisent autour de plusieurs piliers :
Pour un incident majeur, les normes techniques prévoient une notification initiale dans les 4 heures suivant sa classification comme majeur et au plus tard 24 heures après sa détection, un rapport intermédiaire dans les 72 heures suivant la notification initiale, puis un rapport final dans le mois qui suit le dernier rapport intermédiaire.
Les sanctions applicables aux entités financières sont définies par chaque État membre. Pour les prestataires critiques, le règlement prévoit des astreintes pouvant atteindre 1 % du chiffre d'affaires quotidien moyen mondial, pour une durée maximale de six mois.
Plusieurs situations exposent une organisation établie au Maroc à ces textes :
Le Maroc dispose de son propre cadre. La loi n° 05-20 relative à la cybersécurité, promulguée par le dahir n° 1-20-69 du 25 juillet 2020, s'applique aux administrations et établissements publics, aux infrastructures d'importance vitale, ainsi qu'aux exploitants de réseaux publics de télécommunications, fournisseurs d'accès à Internet, prestataires de services numériques et éditeurs de plateformes Internet.
Parmi ses obligations figurent la désignation d'un responsable de la sécurité des systèmes d'information, la mise en place de mesures de protection, des plans de continuité et de reprise, la déclaration des incidents à l'autorité nationale et, pour les infrastructures d'importance vitale, l'homologation et l'audit des systèmes sensibles.
Le décret n° 2-21-406 du 15 juillet 2021 précise l'application de la loi. Il confirme le rôle de la DGSSI comme autorité nationale de la cybersécurité, prévoit la classification des actifs et des systèmes, et fixe le cadre de qualification des prestataires d'audit et des prestataires de services de détection et de réponse.
Les logiques sont proches de celles de NIS 2 : gouvernance, gestion des risques, déclaration des incidents, contrôle. Une démarche fondée sur l'ISO/IEC 27001 permet de répondre de façon cohérente aux deux cadres.
En tant que PECB Authorized Silver Partner, Securevalley Training propose à Casablanca, à Témara ou à distance des formations certifiantes PECB sur ces sujets :
Pour les responsables qui hésitent entre certifications de gouvernance, notre comparatif CISSP ou CISM apporte des repères complémentaires.
Dans la plupart des cas, non : les sanctions visent les entités relevant de la juridiction d'un État membre. Le risque pour une entreprise marocaine est surtout contractuel (pénalités, perte d'un marché). La situation est différente pour certains fournisseurs de services numériques qui opèrent dans l'Union sans y être établis.
Pour les entités financières, DORA est le texte sectoriel de référence et prime sur les dispositions équivalentes de NIS 2 en matière de gestion des risques et de déclaration des incidents.
Elle ne garantit pas à elle seule la conformité, mais elle fournit une base solide : analyse de risques, mesures de sécurité, gestion des incidents et amélioration continue. Il reste à couvrir les exigences propres à chaque texte, comme les délais de notification.
NIS 2 et DORA reposent sur la même idée : la cybersécurité relève de la gouvernance et s'étend à toute la chaîne de fournisseurs. Pour une entreprise marocaine qui travaille avec l'Europe, anticiper ces exigences, tout en respectant la loi 05-20, facilite les audits clients et renforce sa position commerciale.