Le Cyber Revolution Summit Morocco 2026 est prévu le 18 novembre à Rabat, et son véritable enjeu dépasse le programme des conférences. L’économie numérique marocaine se développe plus vite que ses capacités de sécurité, et cet écart façonnera toutes les discussions en marge de l’événement. Pour les dirigeants, les fondateurs et les responsables du secteur public, ce rendez-vous est moins une vitrine produit qu’une occasion de vérifier si leur organisation peut continuer à fonctionner lorsqu’une attaque aboutit.

Points clés

  • Le marché marocain, résolument tourné vers le mobile, et une base e-commerce croissante concentrent les données d’identité, de paiement et d’exploitation dans des systèmes que des équipes réduites doivent défendre.
  • Les chiffres d’attaques largement relayés mesurent des tentatives, non des intrusions confirmées, et doivent être lus en tenant compte de leur méthodologie.
  • La loi 05-20 fixe des obligations concrètes : responsabilité sécurité nommée, notification des incidents, plan de continuité et coopération avec l’autorité nationale.
  • Le résultat le plus utile d’un sommet est une capacité de reprise testée et des contrats fournisseurs plus solides, pas un certificat supplémentaire au mur.

Pourquoi le risque cyber conditionne désormais la croissance

Le marché numérique marocain est de plus en plus tourné vers le mobile. Le rapport State of Digital in Morocco 2026 de ClaroDigi fait état d’un taux d’utilisation du mobile de 92,2 % et estime le chiffre d’affaires du e-commerce à 1,66 milliard de dollars en 2025. Ces chiffres traduisent une opportunité pour la fintech, le commerce de détail, la logistique, l’édition logicielle et les services publics. Ils traduisent aussi une concentration : les données d’identité, les identifiants de paiement et les données d’exploitation résident désormais dans des systèmes interconnectés que des équipes réduites sont censées protéger.

La bascule vers le paiement numérique, analysée par Onyx dans le marché marocain des paiements numériques et les opportunités pour les startups, élargit le cercle des entreprises qui détiennent des données de transaction. Chaque nouveau parcours de paiement, chaque intégration de place de marché et chaque API de livraison ajoute un fournisseur, un identifiant et un point d’entrée potentiel.

La pénurie de compétences aggrave l’exposition. Le même rapport ClaroDigi estime que le Maroc avait besoin d’environ 8 000 professionnels de la cybersécurité, pour seulement 3 000 spécialistes réellement en activité. Ce déficit ne concerne pas que les banques et les ministères. Il détermine la manière dont les startups, les communes et les fournisseurs de taille intermédiaire achètent de la sécurité : souvent via des équipes internes surchargées ou des prestataires externes dont les capacités sont difficiles à vérifier avant la signature d’un contrat.

Lire les chiffres de la menace avec prudence

Certains des chiffres les plus relayés sur le risque cyber marocain demandent une lecture attentive. Une analyse du risque cyber au Maroc citée par FNH recensait près de 21 millions de tentatives de cyberattaque détectées en 2025, contre 12,6 millions de tentatives enregistrées par Microsoft l’année précédente. Les tentatives incluent des scans automatisés, des sondes bloquées et des activités répétées. Il ne s’agit pas d’intrusions confirmées, et les décideurs doivent éviter de les présenter comme telles.

La même analyse indiquait que 22 % seulement des PME marocaines disposent d’un plan de réponse aux incidents et que moins de 15 % d’entre elles maintiennent un budget sécurité dédié. Ces signaux d’alerte sont utiles, mais leur méthodologie doit être vérifiée avant d’être reprise dans des notes d’orientation ou des décisions d’achat. Les comparaisons régionales appellent la même réserve : une estimation plaçait le Maroc à 10,6 % des événements cyber recensés en Afrique en 2025, derrière le Nigeria et l’Afrique du Sud, une part qui dépend fortement de la manière dont les événements sont collectés et comptabilisés.

Pour une vue d’ensemble des pressions qui pèsent sur les équipes sécurité locales, le guide d’Onyx sur la crise de la cybersécurité au Maroc détaille les problèmes structurels qui sous-tendent ces chiffres.

Ce que la loi 05-20 exige concrètement

La loi 05-20 marocaine établit un cadre national de protection des systèmes d’information exploités par les administrations de l’État, les collectivités territoriales, les établissements publics et les entreprises, ainsi que par les infrastructures critiques et d’autres entités désignées. La note explicative de la DGSSI précise le périmètre et les obligations qui y sont rattachées.

Concrètement, la loi impose aux organisations de désigner un responsable de la sécurité des systèmes d’information, de signaler les incidents concernés à l’autorité nationale de cybersécurité, de préparer des dispositifs de continuité d’activité et de reprise après sinistre, de mettre en œuvre des mesures réduisant les vulnérabilités et de coopérer avec l’autorité pendant la réponse à incident. Les textes d’application, dont le décret 2-21-406, apportent des précisions opérationnelles.

La bonne question n’est donc pas de savoir si un fournisseur est « conforme » de manière générale, mais quelles obligations précises s’appliquent à un secteur, un système, un jeu de données et une position contractuelle donnés. Les achats cloud méritent une attention particulière. Les débats récents, notamment l’analyse de Morocco World News sur la souveraineté cyber, identifient la gouvernance du cloud, la maîtrise des données et la souveraineté comme des enjeux de plus en plus importants, aux côtés de la loi 05-20 et de la stratégie nationale. Les acheteurs doivent clarifier les exigences de localisation des données, les droits de sous-traitance, l’accès à l’audit, la propriété du chiffrement, les modalités de sortie et les obligations du prestataire en cas d’incident. L’agenda des conférences consacrées au cloud et à l’intégration IT en 2026 montre à quelle vitesse ces questions d’achat deviennent courantes.

Une checklist de résilience avant le 18 novembre

Cartographier la véritable surface d’attaque

Établissez un inventaire à jour des domaines, applications, API et actifs cloud exposés sur internet ; des processus métier critiques et de leur temps d’indisponibilité maximal tolérable ; des données personnelles, financières, de santé ou commerciales sensibles ; des connexions avec des tiers et des dépendances logicielles ; et des systèmes hérités qui ne peuvent pas être corrigés rapidement. Une organisation incapable d’identifier ses actifs critiques ne peut pas évaluer sa résilience de manière crédible.

Tester d’abord les contrôles d’identité et d’accès

Vérifiez que l’authentification multifacteur couvre les administrateurs, la messagerie, les accès à distance et les consoles cloud. Assurez-vous que les comptes à privilèges sont séparés des comptes ordinaires et que les identifiants dormants sont supprimés sans délai. Dans les entreprises en forte croissance, les revues d’accès doivent être rattachées aux recrutements, aux contrats et aux départs. Les comptes partagés, les droits d’administrateur permanents et les appareils non gérés restent des voies de compromission courantes.

Exiger des fournisseurs qu’ils prouvent leurs affirmations

Ne vous contentez pas de certifications ni de présentations commerciales. Demandez des synthèses récentes de tests d’intrusion indépendants, des engagements en matière de gestion des vulnérabilités et de correctifs, des délais de notification des incidents, le détail des sous-traitants et de l’hébergement, l’architecture de sauvegarde et les résultats des tests de restauration, les pratiques de développement sécurisé, ainsi que des références d’organisations soumises à des risques et à des obligations réglementaires comparables. Les contrats doivent préciser qui enquête sur un incident, qui préserve les preuves, qui communique avec les régulateurs et les clients, et qui finance la maîtrise et la reprise.

Valider la reprise, pas seulement la prévention

Maintenez des sauvegardes hors ligne ou autrement protégées, documentez les priorités de reprise et menez des exercices réalistes couvrant les rançongiciels, la compromission d’un compte cloud, la défaillance d’un fournisseur, la fuite de données et la perte des moyens de communication. Les dirigeants doivent recevoir des résultats mesurables : temps de reprise, performance des points de restauration, dépendances non résolues et décisions nécessitant un investissement. Une sauvegarde jamais restaurée est une hypothèse, pas une capacité.

Se préparer aux incidents transfrontaliers

Les entreprises marocaines opèrent de plus en plus sur les marchés africains, européens et moyen-orientaux. Une attaque contre un prestataire de paiement, un fournisseur cloud, un opérateur télécom ou un partenaire logistique peut franchir les frontières en quelques heures. La coopération intersectorielle doit s’appuyer sur des contacts de confiance au sein des autorités nationales, des associations sectorielles, des banques, des opérateurs télécom, des fournisseurs cloud et des sociétés de réponse à incident. Les accords de partage d’information doivent préciser ce qui peut être partagé, comment les données sensibles sont protégées et qui a l’autorité pour agir. La revue par Onyx du corridor d’innovation marocain à trois villes montre pourquoi ces dépendances dépassent désormais largement Casablanca.

Les questions à poser aux fournisseurs et aux partenaires

  • La solution détecte-t-elle l’usage frauduleux d’identités, les déplacements latéraux et les erreurs de configuration cloud, et pas seulement les logiciels malveillants ?
  • À quelle vitesse les vulnérabilités critiques sont-elles divulguées et corrigées ?
  • Les clients peuvent-ils exporter leurs journaux et migrer leurs données sans dépendance opérationnelle ?
  • Où se trouvent les équipes chargées des opérations de sécurité, des sauvegardes et du support ?
  • Le prestataire coopérera-t-il avec les autorités marocaines et les clients concernés en cas d’incident ?
  • Quelles preuves montrent que les procédures de réponse à incident et de reprise fonctionnent réellement ?
  • Comment la solution aide-t-elle les petites structures dépourvues de personnel spécialisé ?

À quoi devrait ressembler le succès après le sommet

La valeur du 18 novembre se mesurera à ce qui sera achevé ensuite : un inventaire des actifs validé, une responsabilité sécurité clairement nommée, des contacts d’incident testés, un plan de remédiation hiérarchisé, des contrats fournisseurs renforcés, des sauvegardes protégées et au moins un exercice intersectoriel. Ces livrables manquent de panache, mais ils font la différence entre une organisation qui subit une crise et une organisation qui continue son activité pendant la crise.

Le défi cyber marocain ne se résume pas au nombre d’attaques détectées. Il tient à la capacité des entreprises numériques et des institutions publiques à continuer de fonctionner lorsqu’une attaque aboutit. La préparation la plus solide combine conformité juridique, ingénierie concrète, reprise testée, compétences et partenariats de confiance : elle transforme la cybersécurité d’une dépense technique en infrastructure d’une croissance numérique durable.