Cybersécurité à Casablanca : audit, NIS2 et RGPD pour PME et ETI

Oui. La Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel s'applique à toute personne physique ou morale traitant des données personnelles au Maroc, sans seuil de taille. Les principales obligations : déclaration auprès de la CNDP (Commission Nationale de contrôle de la protection des Données) avant tout traitement de données personnelles, information des personnes concernées sur leurs droits, mise en place de mesures de sécurité appropriées, et interdiction de transférer des données vers des pays n'offrant pas un niveau de protection adéquat. La CNDP peut infliger des sanctions allant jusqu'à 300 000 dirhams (environ 30 000 €) pour non-conformité. CyberConform réalise des audits de conformité Loi 09-08 pour les entreprises casablancaises, avec des experts francophones maîtrisant le droit marocain des données.

Pour une PME casablancaise de 10 à 80 employés, un audit de cybersécurité et de conformité Loi 09-08 par CyberConform est généralement compris entre 40 000 et 100 000 MAD HT (soit environ 4 000 à 10 000 €). Pour les grandes entreprises (OCP, banques, télécoms), les audits sont tarifés sur devis selon la complexité et la taille du périmètre. Un diagnostic initial (2 jours) est proposé à partir de 15 000 MAD HT pour donner une première vue de la maturité cyber. Les tarifs peuvent être exprimés en MAD ou en euros selon la préférence de l'entreprise. CyberConform facture avec TVA marocaine (20%) pour les entreprises ICE immatriculées au Maroc, ou hors TVA pour les sociétés étrangères.

La conformité à la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) passe par plusieurs étapes obligatoires pour les entreprises casablancaises : (1) Déclaration des traitements de données : tout traitement doit être déclaré en ligne sur le portail de la CNDP (declaration.cndp.ma) avant sa mise en oeuvre, (2) Autorisation préalable pour les traitements sensibles (données de santé, données biométriques, données relatives aux infractions), (3) Information des personnes concernées (mentions légales, consentement pour les newsletters et le marketing), (4) Sécurité des données : mesures techniques et organisationnelles adaptées au risque, (5) Encadrement des transferts internationaux : vers des pays adéquats ou avec des clauses contractuelles spécifiques. CyberConform accompagne les entreprises marocaines de A à Z dans ce processus de conformité CNDP.

CyberConform propose un service de RSSI externalisé (Virtual CISO) adapté au marché marocain, avec des consultants francophones maîtrisant la réglementation marocaine (Loi 09-08, CNDP, directives DGSSI) et les meilleures pratiques internationales (ISO 27001, NIST CSF). La mission comprend : définition et suivi de la politique de sécurité en arabe et en français, gestion des risques, déclarations CNDP, préparation aux audits sectoriels (ABEF pour les banques, ANRT pour les télécoms), et formation des équipes. Les tarifs pour Casablanca démarrent à 8 000 MAD HT/mois (environ 800 €) pour une PME de moins de 50 employés, avec une présence mensuelle sur site et un support permanent à distance. Un forfait sur 12 mois est proposé avec une remise de 10 %.

En cas de cyberattaque à Casablanca, les étapes à suivre sont : (1) Isoler immédiatement les systèmes compromis pour éviter la propagation, (2) Contacter CyberConform pour une intervention d'urgence sur site à Casablanca, (3) Signaler l'incident à la DGSSI (Direction Générale de la Sécurité des Systèmes d'Information, maCERT@dgssi.gov.ma) qui coordonne la réponse nationale aux cyberincidents via le maCERT (Moroccan Computer Emergency Response Team), (4) Si des données personnelles ont été compromises, notifier la CNDP conformément à la Loi 09-08, (5) Déposer une plainte auprès de la Brigade Nationale de la Police Judiciaire (BNPJ) ou de la DGSN pour les aspects pénaux. Pour les banques, l'ABEF (Association des Banques et Établissements Financiers) dispose de protocoles spécifiques. Ne payez pas de rançon sans conseil juridique et technique préalable.