Article 2

Au sens de la présente loi, on entend par : – « Cybersécurité » : l’ensemble de mesures, procédures, concepts de sécurité, méthodes de gestion des risques, actions, formations, bonnes pratiques, et technologies permettant à un système d’information de résister à des évènements issus du cyberespace, susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ce système offre ou qu’il rend accessibles ; – « Cybercriminalité » : l’ensemble des actes contrevenant à la législation nationale ou aux traités internationaux ratifiés par le Royaume du Maroc, ayant pour cible les réseaux ou les systèmes d’information ou les utilisant comme moyens de la commission d’un délit ou d’un crime ; – « Cybermenace » : toute action qui vise à compromettre la sécurité d’un système d’information en altérant la disponibilité, l’intégrité ou la confidentialité d’un système ou de l’information qu’il contient ; – « Cyberéthique » : l’ensemble des normes et règles pour un comportement responsable dans le cyberespace ; – « Infrastructures d’importance vitale » : les installations, les ouvrages et les systèmes qui sont indispensables au maintien des fonctions vitales de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social, et dont le dommage ou l’indisponibilité ou la destruction aurait un impact induisant la défaillance de ces fonctions ; – « Secteur d’activités d’importance vitale » : l’ensemble des activités exercées par les infrastructures d’importance vitale et concourant à un même objectif. Ces activités ont trait soit à la production et la distribution de biens ou de services indispensables à la satisfaction des besoins essentiels pour la vie des populations, ou à l’exercice des prérogatives de l’Etat ou au maintien de ses capacités de sécurité ou au fonctionnement de l’économie, dès lors que ces activités sont difficilement substituables ou remplaçables, ou qui peuvent présenter un danger grave pour la population ; – « Système d’information » : un ensemble organisé de ressources telles que les personnels, matériels, logiciels, données et procédures qui permettent de collecter, de classifier, de traiter et de diffuser l’information sur un environnement donné ; – « Système d’information sensible » : système d’information traitant des informations ou des données sensibles sur lesquelles une atteinte à la confidentialité, à l’intégrité ou à la disponibilité porterait préjudice à une entité ou à une infrastructure d’importance vitale ; – « Service de cybersécurité » : tout service de sécurité fourni par des prestataires de services de cybersécurité à une entité ou à une infrastructure d’importance vitale et portant sur la détection et le diagnostic des incidents de cybersécurité et le renforcement de la sécurité de leurs systèmes d’information ; – « Prestataire de services numériques » : toute personne physique ou morale qui fournit à distance, par voie électronique et à la demande d’un destinataire, l’un des services ci-après : • un service numérique qui permet à des consommateurs ou à des professionnels de conclure des contrats de vente ou de service en ligne ; • un service numérique qui permet aux utilisateurs d’effectuer des recherches sur les sites Internet ; • un service numérique qui permet l’accès à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris les hébergeurs de données et/ou systèmes d’information (Datacenter) et les prestataires des services d’informatique en nuage (Cloud) ; – « Hébergement » : toute prestation de stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournie, à titre onéreux ou gratuit, par des prestataires de services numériques ; – « Externalisation d’un système d’information » : toute opération qui consiste à confier, en partie ou en totalité, le système d’information d’une entité à un prestataire dans le cadre d’un contrat fixant de façon précise notamment le niveau de services et la durée de l’externalisation ; – « Homologation des systèmes d’information » : document par lequel le responsable d’une infrastructure d’importance vitale atteste de sa connaissance du système d’information et des mesures de sécurité techniques, organisationnelles ou juridiques mises en œuvre et accepte les risques résiduels ; – « Incident de cybersécurité» : un ou plusieurs événements indésirables ou inattendus liés à la sécurité des systèmes d’information et présentant une forte probabilité de compromettre les activités d’une entité, d’une infrastructure d’importance vitale ou d’un opérateur ou de menacer la sécurité de leurs systèmes d’information ; – « Crise cybernétique » : l’état résultant de l’occurrence d’un ou plusieurs événements de cybersécurité pouvant avoir un impact grave sur la vie des populations, l’exercice de l’autorité de l’Etat, le fonctionnement de l’économie, ou sur le maintien des capacités de sécurité et de défense du pays ; – « Gestion des incidents de cybersécurité » : le processus de détection, de signalement et d’évaluation des incidents de cybersécurité, ainsi que les mesures d’intervention et de traitement y afférentes. Chapitre II Du dispositif de sécurité des systèmes d’information Section première. – Dispositions propres aux entités