Cloud au Maroc : ce que le référentiel de la DGSSI change pour un DevOps
Qui est concerné, ce qu'imposent les niveaux 1 et 2, et ce que cela change pour vos clés, vos journaux et votre CI. Lecture du référentiel publié au Bulletin officiel, traduite en décisions d'exploitation.
Depuis août 2025, le Maroc a un référentiel précis pour qualifier les prestataires cloud. Il ne vise pas toutes les entreprises, mais pour celles qui sont concernées, il touche directement l’exploitation : où tournent les outils, qui détient les clés, où partent les journaux.
Cet article s’appuie sur le texte publié au Bulletin officiel n° 7432, l’arrêté n° 3-17-25 du 1er août 2025.
Ce n'est pas un avis juridique. J'ai lu le référentiel, mais pas le texte intégral du décret n° 2-24-921 : ce qui en vient passe par la presse et c'est signalé. Avant toute décision, faites valider votre cas par la DGSSI ou votre juriste.
Êtes-vous concerné ?
Si vous n’êtes pas dans ce périmètre, ce texte ne vous vise pas directement. Il reste utile : un client bancaire ou public peut vous imposer des exigences comparables par contrat.
Le référentiel précise aussi deux frontières :
- l’hébergement externe classique, dédié ou partagé, est assimilé à de l’IaaS ;
- la colocation n’est pas régie par ce référentiel.
Niveau 1 ou niveau 2 : les différences qui comptent
| Sujet | Niveau 1 | Niveau 2 | Source |
|---|---|---|---|
| Société et administration | société de droit marocain, systèmes d’exploitation et d’administration des services au Maroc | conditions supplémentaires | Le360, sur le décret |
| Données sensibles | l’emplacement doit être documenté | stockées, traitées et administrées depuis le Maroc | § 3.15.2 |
| Données techniques | stockées et traitées au Maroc | au Maroc, de façon exclusive | § 3.15.2 |
| Clés de chiffrement au repos | pas de condition particulière dans ce passage | connues du seul client | § 3.6.3 |
| Intervention depuis l’étranger | par un poste de rebond, supervisée en temps réel | administration depuis le Maroc | § 3.5 et 3.15.2 |
| Réponse aux incidents | pas de condition particulière dans ce passage | uniquement un prestataire qualifié | § 3.12 |
Les données techniques sont le point le plus facile à sous-estimer. Le texte cite les identités des administrateurs, les journaux de l’infrastructure, l’annuaire, les certificats et la configuration des accès. Ce ne sont pas vos données métier, mais elles sont bien couvertes.
Le support depuis l’étranger reste possible, à condition que le prestataire documente les opérations concernées et les mécanismes de contrôle.
Ce qui s’applique aux deux niveaux
Ce que je vérifierais côté DevOps
Le référentiel oblige le prestataire, sur le périmètre qu’il maîtrise. La répartition avec le client y est donnée à titre indicatif. Ce qui suit est donc ma lecture d’ingénieur, pas le texte : les endroits où une chaîne DevOps classique peut sortir du cadre sans que personne l’ait décidé.
| À vérifier | La question à poser |
|---|---|
| Observabilité en SaaS | Où partent les journaux, les traces et leurs identifiants ? |
| CI/CD et runners hébergés | Un secret ou une donnée sensible passe-t-il par une machine hors du périmètre ? |
| Dépôts et registres | Les configurations d’accès et les certificats sont-ils stockés ailleurs ? |
| Gestion des clés (KMS) | En niveau 2, le prestataire peut-il techniquement lire vos clés ? |
| Accès d’administration | Une intervention depuis l’étranger passe-t-elle par un rebond supervisé ? |
| Sortie du prestataire | Avez-vous déjà testé une restauration hors de son service ? |
| Sous-traitants | Vos outils SaaS figurent-ils dans la liste des tiers ? |
Le dernier test est le plus parlant : dessinez le trajet d’un journal d’application, de sa création à son archivage. Chaque service traversé devient une ligne de cette liste.
Pour séparer proprement les environnements et tracer ces choix dans le code, voyez Terraform pour dev, staging et prod.
Le point à surveiller : la période transitoire
Selon Le360, le décret prévoit une mesure transitoire de deux ans. Elle permet de recourir à des prestataires non qualifiés en l’absence d’offre nationale. La décision revient alors à la plus haute autorité de l’entité, après une étude d’impact et une analyse de risques.
L’article ne donne pas le point de départ. Le décret date du 22 octobre 2024 : si le délai court depuis sa publication, il arriverait à son terme vers la fin de 2026. C’est une hypothèse de ma part, à vérifier dans le décret, mais elle justifie de poser la question dès maintenant.
Ce qui reste à confirmer
- Le contenu exact des conditions de niveau 1 et 2 fixées par le décret, que je n’ai lu qu’à travers la presse.
- Le point de départ de la période transitoire.
- La liste à jour des prestataires qualifiés : je ne l’ai pas consultée.
Si vous avez traversé une qualification ou une homologation, vos corrections sont bienvenues en commentaire. Elles seront intégrées et créditées.