Article 49

Sans préjudice des sanctions pénales plus graves prévues par la législation en vigueur, est puni d’une amende de 200.000 à 400.000 DH : – tout responsable d’une entité ou d’une infrastructure d’importance vitale qui procède à l’hébergement des données sensibles en dehors du territoire national, en violation des dispositions de l’article 11 ci-dessus ; – tout responsable d’une infrastructure d’importance vitale disposant d’un système d’information sensible ayant mis en exploitation un système d’information sensible sans faire l’objet de l’homologation prévue à l’article 19 ci-dessus ; – tout responsable d’une infrastructure d’importance vitale qui a confié l’audit de la sécurité des systèmes d’information sensibles de ladite infrastructure à un prestataire d’audit non qualifié, en violation des dispositions de l’article 20 ci-dessus ; – quiconque ayant fourni des prestations d’audit de la sécurité des systèmes d’information sensibles des infrastructures d’importance vitale sans être qualifié par l’autorité nationale ou ayant continué à fournir ces prestations malgré le retrait de sa qualification par ladite autorité ; – tout responsable d’une infrastructure d’importance vitale ayant externalisé les services de cybersécurité à un prestataire non qualifié, en violation des dispositions de l’article 25 ci-dessus ; – quiconque ayant fourni des prestations de cybersécurité sans être qualifié par l’autorité nationale ou ayant continué à fournir ces prestations malgré le retrait de sa qualification par ladite autorité.