Article 33

Pour pouvoir être agréé, le prestataire de services de confiance doit : 1 - remplir les conditions suivantes : a) être constitué sous forme de société de droit marocain ; b). utiliser des systèmes, matériels et logiciels fiables et assurer leur sécurité technique et la fiabilité des processus pris en charge ; c). employer du personnel, et le cas échéant recourir aux sous-traitants, ayant l’expérience et les qualifications nécessaires dans le domaine de la fourniture des services de confiance ; d). souscrire une assurance afin de couvrir les dommages qui pourraient être causés à toute personne physique ou morale résultant de sa faute professionnelle ; e). disposer d’un plan de continuité d’activités intégrant l’ensemble des solutions de secours pour neutraliser les interruptions des activités, protéger les processus métier des effets causés par les principales défaillances des systèmes ou par des sinistres et garantir une reprise de ces processus dans les meilleurs délais ; 2 - s’engager à : a) informer de manière claire et exhaustive, avant d’établir une relation contractuelle, toute personne désireuse d’utiliser un service de confiance qualifié des conditions relatives à l’utilisation de ce service, y compris toute limite quant à son utilisation ; b) .être en mesure de conserver, éventuellement sous forme électronique, certaines données échangées avec les clients pour la fourniture des services de confiance, de manière que : – l’introduction et la modification des données soient réservées aux seules personnes autorisées à cet effet par le prestataire ; – l’accès du public aux données ne puisse avoir lieu sans le consentement préalable du client concerné ; – toute modification de nature à compromettre la sécurité des données soit détectée ; Outre les conditions et engagements prévues ci-dessus, le prestataire de services de confiance qui entend délivrer des certificats électroniques qualifiés doit : 1) s’engager à vérifier, par des moyens appropriés, l’identité et, le cas échéant, toutes les informations propres à la personne physique ou morale à laquelle il délivre le certificat électronique. Ces informations sont vérifiées: a) .par la présence en personne de la personne physique ou du représentant autorisé par la personne morale ; b) à distance, à l’aide de moyens d’identification électronique dont la délivrance a nécessité la présence physique de la personne physique ou du représentant autorisé de la personne morale devant l’entité ayant délivré ce moyen. Ces moyens sont fixés par voie réglementaire ; c) au moyen d’un certificat électronique qualifié de signature électronique ou de cachet électronique précédemment délivré à une personne dont l’identité a été vérifiée conformément au a) ou b) du présent alinéa ; ou d) à l’aide d’autres méthodes d’identification qui fournissent une garantie jugée équivalente par l’autorité nationale aux moyens précités en terme de fiabilité quant à la présence en personne. Par dérogation aux dispositions de l’article 32 ci-dessus, ces informations peuvent être vérifiées par un tiers dans le cadre d’un contrat de sous-traitance liant ce dernier avec le prestataire concerné et approuvé par l’autorité nationale. 2) .permettre à la personne à qui le certificat électronique a été délivré de révoquer sans délai et avec certitude son certificat, veiller à ce que la date et l’heure de délivrance et de révocation du certificat électronique puissent être déterminées avec précision et publier le statut du certificat dès sa révocation ; 3). fournir à toute partie utilisatrice des informations sur la validité des certificats qualifiés qu’il a délivrés ou le statut de leur révocation et maintenir ces informations disponibles à tout moment et au-delà de la période de validité des certificats. Les modalités d’application du présent article sont fixées par voie réglementaire.