Historiquement, la légitimité d’un État souverain s’est toujours mesurée à sa capacité absolue à protéger l’intégrité physique de son territoire et la sécurité de ses citoyens. Au XXIe siècle, ce contrat social archaïque s’est silencieusement métamorphosé. L’administration ne gère plus seulement des corps et des frontières, elle gère des flux massifs de données intimes. C’est précisément cette nouvelle architecture du pouvoir qui tremble aujourd’hui sur ses fondations. L’incident qui a visé l’Office de la Formation Professionnelle et de la Promotion du Travail (OFPPT) n’est absolument pas un événement isolé. Il s’inscrit dans une séquence politique beaucoup plus large et préoccupante, marquée notamment par l’offensive revendiquée le 10 avril 2026 par le groupe de hackers « Jabaroot » contre les serveurs de la CNOPS, menaçant potentiellement l’historique médical de trois millions de fonctionnaires et d’agents publics.
Ces effractions successives démontrent que l’information est devenue le nouveau talon d’Achille des institutions. Selon les relevés établis par des acteurs mondiaux de la sécurité, le premier semestre de l’année 2025 a vu les systèmes nationaux subir plus de 20 millions de tentatives d’intrusions. Nous penchons pour une lecture politique de ces chiffres. Il ne s’agit plus de petits pirates cherchant un exploit technique, mais d’une asymétrie redoutable où l’infrastructure d’un pays se retrouve quotidiennement sondée, testée et parfois percée par des acteurs criminels ou étatiques particulièrement organisés.
Le grand paradoxe de la maturité réglementaire
L’État marocain n’a pourtant pas fait preuve de naïveté face à ce basculement du monde. Très tôt, une doctrine de cyberdéfense a été pensée au plus haut niveau. La promulgation de la loi 05-20 relative à la cybersécurité a marqué une rupture doctrinale décisive, imposant des obligations draconiennes aux administrations et aux opérateurs d’importance vitale (OIV). Classification rigoureuse des actifs, nomination de Responsables de la Sécurité des Systèmes d’Information (RSSI), audits réguliers : le texte de loi offre un bouclier théorique d’une grande solidité.
L’essentiel
- La multiplication des cyberattaques ciblant les institutions publiques (fuites de données à l’OFPPT, attaque contre la CNOPS revendiquée par « Jabaroot ») remet en question la résilience opérationnelle de l’administration marocaine.
- Le cadre juridique est pourtant l’un des plus stricts d’Afrique grâce à la loi 05-20, qui impose aux entités publiques des règles précises de gouvernance et de sécurisation de leurs infrastructures critiques.
- Face à l’urgence, la DGSSI a exigé en début d’année 2026 une déclaration instantanée des incidents de sécurité, afin de ne plus entraver la gestion étatique des crises cybernétiques
D’ailleurs, les instances internationales saluent cette architecture juridique. L’Union Internationale des Télécommunications (UIT) a récemment accordé au Royaume un score stratosphérique de 97,5 sur 100 en matière de maturité cybernétique. Mais il y a un gouffre vertigineux entre la promulgation d’un dahir au Bulletin Officiel et la mise à jour effective d’un serveur obsolète dans les sous-sols d’un ministère de tutelle. Les cyberattaques que l’administration a subi ces derniers mois soulignent cruellement ce paradoxe. Les pirates s’engouffrent invariablement dans les failles de l’exécution opérationnelle, exploitant des mots de passe faibles, des logiciels non rapiécés ou, plus prosaïquement, la négligence d’un agent public cliquant sur un courriel malveillant.
Face à la multiplication des incidents, la Direction Générale de la Sécurité des Systèmes d’Information (DGSSI) a d’ailleurs dû durcir le ton. En janvier 2026, l’institution a émis une injonction claire exigeant des organismes publics une déclaration immédiate des intrusions. La justification officielle, relayée par la presse, est implacable et traduit une certaine exaspération institutionnelle : le retard dans le signalement fait que « l’évaluation du niveau réel de la menace ainsi que la gestion efficace des crises cybernétiques s’en trouvent fortement affectées ».
La souveraineté ne s’achète pas sur étagère
La question qui se pose désormais au sommet de l’État n’est plus seulement juridique, elle est profondément structurelle et humaine. Garantir l’inviolabilité des registres d’état civil, des dossiers de justice ou des immatriculations foncières exige un investissement massif qui dépasse de très loin la simple acquisition de pare-feu étrangers. Un haut fonctionnaire me rappelait récemment que la souveraineté numérique est une chaîne dont le maillon le plus faible est toujours humain.
En Chiffres
- 3 millions : Le nombre d’adhérents à la CNOPS dont les données personnelles ont été potentiellement exposées lors de l’intrusion revendiquée au mois d’avril 2026.
- 20,7 millions : Le nombre ahurissant de tentatives de cyberattaques détectées au Maroc sur le seul premier semestre de l’année 2025, illustrant l’explosion de la menace locale.
- 97,5 / 100 : Le score attribué au Maroc en 2024 par l’Union Internationale des Télécommunications, un paradoxe qui souligne le fossé entre l’excellence théorique du droit et la complexité de l’application sur le terrain.
Le marché de la cybersécurité au Maroc est en pleine explosion, évalué à plus de 144 millions de dollars, mais l’argent ne suffit pas à créer des vocations. Le Royaume fait face à une hémorragie silencieuse de ses meilleurs talents, happés par les salaires des capitales européennes ou nord-américaines. L’indépendance stratégique de l’administration nécessitera fatalement de repenser la valorisation financière de ces sentinelles du code au sein même de la fonction publique.
Finalement, chaque ligne de code défaillante qui expose la vie privée d’un citoyen écorne directement le pacte de confiance entre le gouvernant et le gouverné. Si l’administration dématérialise l’impôt, la santé et l’identité sans garantir un sanctuaire inviolable, elle court le risque politique majeur de voir la population se détourner de la modernité. L’État marocain se trouve à la croisée des chemins. Il a posé les fondations légales de son indépendance numérique ; il lui appartient aujourd’hui de construire les murs épais d’une véritable culture de la sécurité, avant que la prochaine offensive silencieuse ne vienne ébranler une nouvelle institution vitale du pays.
