Le Cyber Revolution Summit Morocco 2026 est pr\u00e9vu le 18 novembre \u00e0 Rabat, et son v\u00e9ritable enjeu d\u00e9passe le programme des conf\u00e9rences. L’\u00e9conomie num\u00e9rique marocaine se d\u00e9veloppe plus vite que ses capacit\u00e9s de s\u00e9curit\u00e9, et cet \u00e9cart fa\u00e7onnera toutes les discussions en marge de l’\u00e9v\u00e9nement. Pour les dirigeants, les fondateurs et les responsables du secteur public, ce rendez-vous est moins une vitrine produit qu’une occasion de v\u00e9rifier si leur organisation peut continuer \u00e0 fonctionner lorsqu’une attaque aboutit.<\/p>\n
\nPoints cl\u00e9s<\/strong><\/p>\n
\n
- Le march\u00e9 marocain, r\u00e9solument tourn\u00e9 vers le mobile, et une base e-commerce croissante concentrent les donn\u00e9es d’identit\u00e9, de paiement et d’exploitation dans des syst\u00e8mes que des \u00e9quipes r\u00e9duites doivent d\u00e9fendre.<\/li>\n
- Les chiffres d’attaques largement relay\u00e9s mesurent des tentatives, non des intrusions confirm\u00e9es, et doivent \u00eatre lus en tenant compte de leur m\u00e9thodologie.<\/li>\n
- La loi 05-20 fixe des obligations concr\u00e8tes : responsabilit\u00e9 s\u00e9curit\u00e9 nomm\u00e9e, notification des incidents, plan de continuit\u00e9 et coop\u00e9ration avec l’autorit\u00e9 nationale.<\/li>\n
- Le r\u00e9sultat le plus utile d’un sommet est une capacit\u00e9 de reprise test\u00e9e et des contrats fournisseurs plus solides, pas un certificat suppl\u00e9mentaire au mur.<\/li>\n<\/ul>\n<\/blockquote>\n
Pourquoi le risque cyber conditionne d\u00e9sormais la croissance<\/h2>\n
Le march\u00e9 num\u00e9rique marocain est de plus en plus tourn\u00e9 vers le mobile. Le rapport State of Digital in Morocco 2026<\/a> de ClaroDigi fait \u00e9tat d’un taux d’utilisation du mobile de 92,2 % et estime le chiffre d’affaires du e-commerce \u00e0 1,66 milliard de dollars en 2025. Ces chiffres traduisent une opportunit\u00e9 pour la fintech, le commerce de d\u00e9tail, la logistique, l’\u00e9dition logicielle et les services publics. Ils traduisent aussi une concentration : les donn\u00e9es d’identit\u00e9, les identifiants de paiement et les donn\u00e9es d’exploitation r\u00e9sident d\u00e9sormais dans des syst\u00e8mes interconnect\u00e9s que des \u00e9quipes r\u00e9duites sont cens\u00e9es prot\u00e9ger.<\/p>\n
La bascule vers le paiement num\u00e9rique, analys\u00e9e par Onyx dans le march\u00e9 marocain des paiements num\u00e9riques et les opportunit\u00e9s pour les startups<\/a>, \u00e9largit le cercle des entreprises qui d\u00e9tiennent des donn\u00e9es de transaction. Chaque nouveau parcours de paiement, chaque int\u00e9gration de place de march\u00e9 et chaque API de livraison ajoute un fournisseur, un identifiant et un point d’entr\u00e9e potentiel.<\/p>\n
La p\u00e9nurie de comp\u00e9tences aggrave l’exposition. Le m\u00eame rapport ClaroDigi estime que le Maroc avait besoin d’environ 8 000 professionnels de la cybers\u00e9curit\u00e9, pour seulement 3 000 sp\u00e9cialistes r\u00e9ellement en activit\u00e9. Ce d\u00e9ficit ne concerne pas que les banques et les minist\u00e8res. Il d\u00e9termine la mani\u00e8re dont les startups, les communes et les fournisseurs de taille interm\u00e9diaire ach\u00e8tent de la s\u00e9curit\u00e9 : souvent via des \u00e9quipes internes surcharg\u00e9es ou des prestataires externes dont les capacit\u00e9s sont difficiles \u00e0 v\u00e9rifier avant la signature d’un contrat.<\/p>\n
Lire les chiffres de la menace avec prudence<\/h2>\n
Certains des chiffres les plus relay\u00e9s sur le risque cyber marocain demandent une lecture attentive. Une analyse du risque cyber au Maroc cit\u00e9e par FNH<\/a> recensait pr\u00e8s de 21 millions de tentatives de cyberattaque d\u00e9tect\u00e9es en 2025, contre 12,6 millions de tentatives enregistr\u00e9es par Microsoft l’ann\u00e9e pr\u00e9c\u00e9dente. Les tentatives incluent des scans automatis\u00e9s, des sondes bloqu\u00e9es et des activit\u00e9s r\u00e9p\u00e9t\u00e9es. Il ne s’agit pas d’intrusions confirm\u00e9es, et les d\u00e9cideurs doivent \u00e9viter de les pr\u00e9senter comme telles.<\/p>\n
La m\u00eame analyse indiquait que 22 % seulement des PME marocaines disposent d’un plan de r\u00e9ponse aux incidents et que moins de 15 % d’entre elles maintiennent un budget s\u00e9curit\u00e9 d\u00e9di\u00e9. Ces signaux d’alerte sont utiles, mais leur m\u00e9thodologie doit \u00eatre v\u00e9rifi\u00e9e avant d’\u00eatre reprise dans des notes d’orientation ou des d\u00e9cisions d’achat. Les comparaisons r\u00e9gionales appellent la m\u00eame r\u00e9serve : une estimation pla\u00e7ait le Maroc \u00e0 10,6 % des \u00e9v\u00e9nements cyber recens\u00e9s en Afrique en 2025, derri\u00e8re le Nigeria et l’Afrique du Sud, une part qui d\u00e9pend fortement de la mani\u00e8re dont les \u00e9v\u00e9nements sont collect\u00e9s et comptabilis\u00e9s.<\/p>\n
Pour une vue d’ensemble des pressions qui p\u00e8sent sur les \u00e9quipes s\u00e9curit\u00e9 locales, le guide d’Onyx sur la crise de la cybers\u00e9curit\u00e9 au Maroc<\/a> d\u00e9taille les probl\u00e8mes structurels qui sous-tendent ces chiffres.<\/p>\n
Ce que la loi 05-20 exige concr\u00e8tement<\/h2>\n
La loi 05-20<\/a> marocaine \u00e9tablit un cadre national de protection des syst\u00e8mes d’information exploit\u00e9s par les administrations de l’\u00c9tat, les collectivit\u00e9s territoriales, les \u00e9tablissements publics et les entreprises, ainsi que par les infrastructures critiques et d’autres entit\u00e9s d\u00e9sign\u00e9es. La note explicative de la DGSSI<\/a> pr\u00e9cise le p\u00e9rim\u00e8tre et les obligations qui y sont rattach\u00e9es.<\/p>\n
Concr\u00e8tement, la loi impose aux organisations de d\u00e9signer un responsable de la s\u00e9curit\u00e9 des syst\u00e8mes d’information, de signaler les incidents concern\u00e9s \u00e0 l’autorit\u00e9 nationale de cybers\u00e9curit\u00e9, de pr\u00e9parer des dispositifs de continuit\u00e9 d’activit\u00e9 et de reprise apr\u00e8s sinistre, de mettre en \u0153uvre des mesures r\u00e9duisant les vuln\u00e9rabilit\u00e9s et de coop\u00e9rer avec l’autorit\u00e9 pendant la r\u00e9ponse \u00e0 incident. Les textes d’application, dont le d\u00e9cret 2-21-406, apportent des pr\u00e9cisions op\u00e9rationnelles.<\/p>\n
La bonne question n’est donc pas de savoir si un fournisseur est \u00ab conforme \u00bb de mani\u00e8re g\u00e9n\u00e9rale, mais quelles obligations pr\u00e9cises s’appliquent \u00e0 un secteur, un syst\u00e8me, un jeu de donn\u00e9es et une position contractuelle donn\u00e9s. Les achats cloud m\u00e9ritent une attention particuli\u00e8re. Les d\u00e9bats r\u00e9cents, notamment l’analyse de Morocco World News sur la souverainet\u00e9 cyber<\/a>, identifient la gouvernance du cloud, la ma\u00eetrise des donn\u00e9es et la souverainet\u00e9 comme des enjeux de plus en plus importants, aux c\u00f4t\u00e9s de la loi 05-20 et de la strat\u00e9gie nationale. Les acheteurs doivent clarifier les exigences de localisation des donn\u00e9es, les droits de sous-traitance, l’acc\u00e8s \u00e0 l’audit, la propri\u00e9t\u00e9 du chiffrement, les modalit\u00e9s de sortie et les obligations du prestataire en cas d’incident. L’agenda des conf\u00e9rences consacr\u00e9es au cloud et \u00e0 l’int\u00e9gration IT en 2026<\/a> montre \u00e0 quelle vitesse ces questions d’achat deviennent courantes.<\/p>\n
Une checklist de r\u00e9silience avant le 18 novembre<\/h2>\n
Cartographier la v\u00e9ritable surface d’attaque<\/h3>\n
\u00c9tablissez un inventaire \u00e0 jour des domaines, applications, API et actifs cloud expos\u00e9s sur internet ; des processus m\u00e9tier critiques et de leur temps d’indisponibilit\u00e9 maximal tol\u00e9rable ; des donn\u00e9es personnelles, financi\u00e8res, de sant\u00e9 ou commerciales sensibles ; des connexions avec des tiers et des d\u00e9pendances logicielles ; et des syst\u00e8mes h\u00e9rit\u00e9s qui ne peuvent pas \u00eatre corrig\u00e9s rapidement. Une organisation incapable d’identifier ses actifs critiques ne peut pas \u00e9valuer sa r\u00e9silience de mani\u00e8re cr\u00e9dible.<\/p>\n
Tester d’abord les contr\u00f4les d’identit\u00e9 et d’acc\u00e8s<\/h3>\n
V\u00e9rifiez que l’authentification multifacteur couvre les administrateurs, la messagerie, les acc\u00e8s \u00e0 distance et les consoles cloud. Assurez-vous que les comptes \u00e0 privil\u00e8ges sont s\u00e9par\u00e9s des comptes ordinaires et que les identifiants dormants sont supprim\u00e9s sans d\u00e9lai. Dans les entreprises en forte croissance, les revues d’acc\u00e8s doivent \u00eatre rattach\u00e9es aux recrutements, aux contrats et aux d\u00e9parts. Les comptes partag\u00e9s, les droits d’administrateur permanents et les appareils non g\u00e9r\u00e9s restent des voies de compromission courantes.<\/p>\n
Exiger des fournisseurs qu’ils prouvent leurs affirmations<\/h3>\n
Ne vous contentez pas de certifications ni de pr\u00e9sentations commerciales. Demandez des synth\u00e8ses r\u00e9centes de tests d’intrusion ind\u00e9pendants, des engagements en mati\u00e8re de gestion des vuln\u00e9rabilit\u00e9s et de correctifs, des d\u00e9lais de notification des incidents, le d\u00e9tail des sous-traitants et de l’h\u00e9bergement, l’architecture de sauvegarde et les r\u00e9sultats des tests de restauration, les pratiques de d\u00e9veloppement s\u00e9curis\u00e9, ainsi que des r\u00e9f\u00e9rences d’organisations soumises \u00e0 des risques et \u00e0 des obligations r\u00e9glementaires comparables. Les contrats doivent pr\u00e9ciser qui enqu\u00eate sur un incident, qui pr\u00e9serve les preuves, qui communique avec les r\u00e9gulateurs et les clients, et qui finance la ma\u00eetrise et la reprise.<\/p>\n
Valider la reprise, pas seulement la pr\u00e9vention<\/h3>\n
Maintenez des sauvegardes hors ligne ou autrement prot\u00e9g\u00e9es, documentez les priorit\u00e9s de reprise et menez des exercices r\u00e9alistes couvrant les ran\u00e7ongiciels, la compromission d’un compte cloud, la d\u00e9faillance d’un fournisseur, la fuite de donn\u00e9es et la perte des moyens de communication. Les dirigeants doivent recevoir des r\u00e9sultats mesurables : temps de reprise, performance des points de restauration, d\u00e9pendances non r\u00e9solues et d\u00e9cisions n\u00e9cessitant un investissement. Une sauvegarde jamais restaur\u00e9e est une hypoth\u00e8se, pas une capacit\u00e9.<\/p>\n
Se pr\u00e9parer aux incidents transfrontaliers<\/h3>\n
Les entreprises marocaines op\u00e8rent de plus en plus sur les march\u00e9s africains, europ\u00e9ens et moyen-orientaux. Une attaque contre un prestataire de paiement, un fournisseur cloud, un op\u00e9rateur t\u00e9l\u00e9com ou un partenaire logistique peut franchir les fronti\u00e8res en quelques heures. La coop\u00e9ration intersectorielle doit s’appuyer sur des contacts de confiance au sein des autorit\u00e9s nationales, des associations sectorielles, des banques, des op\u00e9rateurs t\u00e9l\u00e9com, des fournisseurs cloud et des soci\u00e9t\u00e9s de r\u00e9ponse \u00e0 incident. Les accords de partage d’information doivent pr\u00e9ciser ce qui peut \u00eatre partag\u00e9, comment les donn\u00e9es sensibles sont prot\u00e9g\u00e9es et qui a l’autorit\u00e9 pour agir. La revue par Onyx du corridor d’innovation marocain \u00e0 trois villes<\/a> montre pourquoi ces d\u00e9pendances d\u00e9passent d\u00e9sormais largement Casablanca.<\/p>\n
Les questions \u00e0 poser aux fournisseurs et aux partenaires<\/h2>\n
\n
- La solution d\u00e9tecte-t-elle l’usage frauduleux d’identit\u00e9s, les d\u00e9placements lat\u00e9raux et les erreurs de configuration cloud, et pas seulement les logiciels malveillants ?<\/li>\n
- \u00c0 quelle vitesse les vuln\u00e9rabilit\u00e9s critiques sont-elles divulgu\u00e9es et corrig\u00e9es ?<\/li>\n
- Les clients peuvent-ils exporter leurs journaux et migrer leurs donn\u00e9es sans d\u00e9pendance op\u00e9rationnelle ?<\/li>\n
- O\u00f9 se trouvent les \u00e9quipes charg\u00e9es des op\u00e9rations de s\u00e9curit\u00e9, des sauvegardes et du support ?<\/li>\n
- Le prestataire coop\u00e9rera-t-il avec les autorit\u00e9s marocaines et les clients concern\u00e9s en cas d’incident ?<\/li>\n
- Quelles preuves montrent que les proc\u00e9dures de r\u00e9ponse \u00e0 incident et de reprise fonctionnent r\u00e9ellement ?<\/li>\n
- Comment la solution aide-t-elle les petites structures d\u00e9pourvues de personnel sp\u00e9cialis\u00e9 ?<\/li>\n<\/ul>\n
\u00c0 quoi devrait ressembler le succ\u00e8s apr\u00e8s le sommet<\/h2>\n
La valeur du 18 novembre se mesurera \u00e0 ce qui sera achev\u00e9 ensuite : un inventaire des actifs valid\u00e9, une responsabilit\u00e9 s\u00e9curit\u00e9 clairement nomm\u00e9e, des contacts d’incident test\u00e9s, un plan de rem\u00e9diation hi\u00e9rarchis\u00e9, des contrats fournisseurs renforc\u00e9s, des sauvegardes prot\u00e9g\u00e9es et au moins un exercice intersectoriel. Ces livrables manquent de panache, mais ils font la diff\u00e9rence entre une organisation qui subit une crise et une organisation qui continue son activit\u00e9 pendant la crise.<\/p>\n
Le d\u00e9fi cyber marocain ne se r\u00e9sume pas au nombre d’attaques d\u00e9tect\u00e9es. Il tient \u00e0 la capacit\u00e9 des entreprises num\u00e9riques et des institutions publiques \u00e0 continuer de fonctionner lorsqu’une attaque aboutit. La pr\u00e9paration la plus solide combine conformit\u00e9 juridique, ing\u00e9nierie concr\u00e8te, reprise test\u00e9e, comp\u00e9tences et partenariats de confiance : elle transforme la cybers\u00e9curit\u00e9 d’une d\u00e9pense technique en infrastructure d’une croissance num\u00e9rique durable.<\/p>\n","protected":false},"excerpt":{"rendered":"
Un guide pratique pour les acteurs de l’\u00e9conomie num\u00e9rique marocaine avant le Cyber Revolution Summit Morocco 2026 : obligations de la loi 05-20, v\u00e9rification des fournisseurs et reprise d’activit\u00e9.<\/p>\n","protected":false},"author":1,"featured_media":5198,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","rank_math_focus_keyword":"Cyber Revolution Summit Morocco 2026","rank_math_description":"\u00c0 l'approche du Cyber Revolution Summit Morocco 2026 \u00e0 Rabat, une checklist pour v\u00e9rifier la conformit\u00e9 \u00e0 la loi 05-20, le risque fournisseurs et la reprise.","_onyx_display_title":""},"categories":[277],"tags":[],"class_list":["post-5200","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-evenements"],"_links":{"self":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts\/5200","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/comments?post=5200"}],"version-history":[{"count":1,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts\/5200\/revisions"}],"predecessor-version":[{"id":5202,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts\/5200\/revisions\/5202"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/media\/5198"}],"wp:attachment":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/media?parent=5200"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/categories?post=5200"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/tags?post=5200"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}