écret n° 2-08-518 du 25 joumada I 1430 pris pour l 'application des articles 13, 14, 15, 21 et 23 de la loi n° 53-05 relative à l'échange él ectronique des données juridiques

Décret n° 2-08-518 du 25 joumada I 1430 pris pour l 'application des articles 13, 14, 15,
21 et 23 de la loi n° 53-05 relative à l'échange él ectronique des données juridiques.
(B.O. n° 5744 du 18 juin 2009).
Vu la loi n° 53-05 relative à l'échange électroniqu e des données juridiques promulguée par le
dahir n° 1-07-129 du 19 kaada 1428 (30 novembre 200 7), notamment ses articles 13, 14, 15,
21 et 23 ;
Vu la loi n° 24-96 relative à la poste et aux téléc ommunications, promulguée par le dahir n°
1-97-162 du 2 rabii II 1418 (7 août 1997), telle qu'elle a été modifiée et complétée par la loi
n° 29-06 promulguée par le dahir n° 1-07-43 du 28 r abii I 1428 (17 avril 2007), notamment
son article 29 ;
Après examen par le conseil des ministres réuni le 11 joumada I 1430 (7 mai 2009),
Chapitre premier : Dispositions générales
Article premier : Les moyens ou prestations de cryptographie ayant pour unique objet
d'authentifier une transmission ou d'assurer l'intégralité des données transmises par voie
électronique visés au a) du premier alinéa de l'article 13 de la loi susvisée n° 53-05, et dont
l'importation, l'exportation, la fourniture, l'exploitation ou l'utilisation est soumise à déclaration
préalable, sont ceux figurant à l'annexe I du présent décret.
Article 2 : Les types de moyens ou de prestations de cryptographie ainsi que les catégories
d'utilisateurs dispensés de toute formalité préalable de déclaration ou d'autorisation en vertu
des dispositions du troisième alinéa de l'article 13 de la loi susvisée n° 53-05, sont ceux
figurant à l'annexe II du présent décret.
Chapitre II : Dispositions relatives aux déclarations préalables d'importation,
d'exportation, de fourniture, d'exploitation ou d'utilisation de moyens ou de
prestations de cryptographie
Article 3 : La déclaration préalable d'importation, d'exportations de fourniture, d'exploitation
ou d'utilisation de moyens ou de prestations de cryptographie est déposée auprès de
l'autorité gouvernementale chargée des nouvelles technologies, contre récépissé revêtu du
numéro d'enregistrement, au moins trente (30) jours avant la date prévue pour la réalisation
de l'opération concernée par cette déclaration ou adressée à ladite autorité
gouvernementale, par lettre recommandée, avec accusé de réception, dans le même délai
précité, qui court à compter de la date portée sur l'accusé de réception.
Cette déclaration préalable, est accompagnée d'un dossier constitué d'une partie
administrative, permettant de s'assurer de l'identité du déclarant, ainsi que de l'objet et de la
nature des ses activités et d'une partie technique comprenant une description du moyen ou
de la prestation de cryptographie et de son mode d'exploitation.
Toute modification de l'un des éléments sur la base desquels la déclaration a été effectuée
doit être communiquée à l'autorité gouvernementale chargée des nouvelles technologies.
Article 4 : La forme de la déclaration préalable et le contenu du dossier l'accompagnant sont
fixés par arrêté de l'autorité gouvernementale chargée des nouvelles technologies, pris sur
proposition de l'Agence nationale de réglementation des télécommunications (ANRT).
Article 5 : Lorsque le dossier réceptionné est incomplet ou si l'une des pièces le constituant
n'est pas conforme aux dispositions de l'arrêté prévu à l'article 4 ci-dessus, le déclarant est
invité, par lettre recommandée avec accusé de réception, dans un délai maximum d'un mois
courant à compter de la réception du dossier de déclaration, à fournir les pièces exigées.
Dans ce cas, le délai prévu à l'article 3 ci-dessus court à compter de la réception desdites
pièces.
A l'expiration du délai mentionné ci-dessus et en cas de silence de l'autorité,
gouvernementale chargée des nouvelles technologies, le déclarant peut effectuer les
opérations ayant fait l'objet de la déclaration.
S'il s'avère, lors de l'examen du dossier, que le moyen ou la prestation de cryptographie
déclaré(e) relève du régime de l'autorisation préalable, le déclarant est invité, par lettre
recommandée avec accusé de réception, dans le délai d'un mois courant à compter de la
date à laquelle le dossier a été reçu ou complété, à faire une demande d'autorisation
préalable dans les conditions fixées au chapitre III du présent décret.
Article 6 : La déclaration préalable d'importation, d'exportation, de fourniture, d'exploitation
ou d'utilisation de moyens ou de prestations de cryptographie peut être accompagnée d'une
déclaration d'utilisation générale, qui précise le domaine d'utilisation prévu du moyen ou de
la prestation de cryptographie, ainsi que les éventuelles catégories d'utilisateurs auxquelles
le moyen ou la prestation est destiné (e).
Au sens du présent article, on entend par « déclaration d'utilisation générale », la déclaration
qui permet à toute personne physique ou morale autre que le déclarant, d'utiliser un moyen
ou une prestation de cryptographie ayant fait l'objet d'une déclaration préalable.
Article 7 : La déclaration préalable de fourniture de moyens ou de prestations de
cryptographie, est effectuée une seule fois pour un moyen ou une prestation de
cryptographie donné (e), même si ce moyen ou cette prestation a plusieurs fournisseurs ou
fait l'objet de plusieurs livraisons. Elle est souscrite un mois au moins avant la première
livraison, que cette livraison soit effectuée à titre gratuit ou onéreux.
Cette déclaration préalable, lorsqu'elle est effectuée conformément aux dispositions du
présent chapitre, vaut déclaration pour les intermédiaires qui assurent, le cas échéant, la
diffusion du moyen de cryptographie fourni par le déclarant.
Chapitre III : Modalités de délivrance des autorisations préalables d'importation,
d'exportation, de fourniture, d'exploitation ou d'utilisation de moyens ou de
prestations de cryptographie
Article 8 : La demande d'autorisation préalable d'importation, d'exportation, de fourniture,
d'exploitation ou d'utilisation de moyens ou de prestations de cryptographie est déposée
auprès de l'autorité gouvernementale chargée des nouvelles technologies, contre récépissé
revêtu du numéro d'enregistrement de ladite demande, au moins soixante (60) jours avant la
date prévue pour la réalisation de l'opération, ou adressée à ladite autorité gouvernementale,
par lettre recommandée, avec accusé de réception, dans le même délai précité, qui court à
compter de la date portée sur l'accusé de réception.
Cette demande est accompagnée d'un dossier comportant une partie administrative et une
partie technique.
La partie administrative du dossier permet de s'assurer de l'identité du demandeur et précise
le domaine d'utilisation prévu du moyen ou de la prestation, son lieu d'implantation ainsi que,
pour une demande d'autorisation préalable d'utilisation générale, les éventuelles catégories
d'utilisateurs auxquelles le moyen ou la prestation est destiné (e).
La partie technique du dossier est une description complète du moyen ou de la prestation de
cryptographie et de son mode d'exploitation.
Article 9 : Lorsque le dossier de la demande d'autorisation préalable est complet, notification
de la décision prise au sujet de cette demande est adressée au demandeur, par lettre
recommandée avec accusé de réception, dans un délai de soixante (60) jours courant à
compter de la date de délivrance du récépissé de dépôt de la demande visé à l'article 8 cidessus.
Le dossier est réputé complet si, dans le délai de soixante (60) jours sus-indiqué le
demandeur n'a pas été invité, par lettre recommandée avec accusé de réception, à fournir
des pièces complémentaires. Dans ce dernier cas, le délai de soixante (60) jours fixé à
l'alinéa précédent court à compter de la date de réception des pièces exigées pour compléter
le dossier.
Article 10 : La forme et le contenu de la demande d'autorisation préalable et du dossier
l'accompagnant sont fixés par arrêté de l'autorité gouvernementale chargée des nouvelles
technologies, pris sur proposition de l'ANRT.
Article 11 : Toute demande d'autorisation préalable d'importation, d'exportation, de
fourniture, d'exploitation ou d'utilisation de moyens ou de prestations de cryptographie
précise la durée pour laquelle l'autorisation préalable est demandée, laquelle ne peut
excéder cinq (5) ans.
La demande d'autorisation préalable d'exploitation ou d'utilisation générale d'un moyen ou
d'une prestation de cryptographie est formulée par le titulaire d'une autorisation préalable de
fourniture de ce moyen ou de cette prestation, les deux demandes pouvant être déposées
simultanément.
La demande d'autorisation préalable d'exploitation ou d'utilisation personnelle est formulée
par la personne physique ou morale qui souhaite exploiter ou utiliser un moyen ou une
prestation de cryptographie et qui ne bénéficie pas d'une autorisation préalable d'exploitation
ou d'utilisation générale.
Article 12 : L'autorisation préalable d'exploitation ou d'utilisation de moyens ou de
prestations de cryptographie est, soit une autorisation préalable d'exploitation ou d'utilisation
générale, valable pour toute personne physique ou morale, soit une autorisation préalable
d'exploitation ou d'utilisation personnelle, valable pour son seul titulaire.
L'autorisation préalable peut être renouvelée, à la demande de son bénéficiaire, dans les
mêmes conditions que celles de sa délivrance initiale. Dans ce cas, la demande de
renouvellement doit être déposée au moins soixante (60) jours avant la date d'expiration de
l'autorisation préalable en cours de validité.
Article 13 : L'autorisation préalable d'importation, d'exportation, de fourniture, d'exploitation
ou d'utilisation de moyens ou de prestations de cryptographie, porte les mentions propres à
identifier son bénéficiaire et indique le numéro de l'autorisation préalable, la date de sa
délivrance et sa durée de validité ainsi que les moyens ou les prestations de cryptographie
pour lesquels elle est délivrée.
Tout refus de délivrance d'une autorisation préalable doit être notifié, par lettre
recommandée avec accusé de réception, au demandeur, avec mention des motifs du refus.
Article 14 : L'autorisation préalable de fourniture, d'exploitation ou d'utilisation d'un moyen
ou d'une prestation de cryptographie peut être suspendue pour une durée qui ne peut
excéder 3 mois en cas de modification des prescriptions ayant permis la délivrance de ladite
autorisation préalable. Dans ce cas, la décision de suspension indique les modifications
devant être apportées ainsi que le délai durant lequel lesdites modifications doivent être
faites pour que le bénéficiaire de l'autorisation préalable puisse satisfaire aux prescriptions
nécessaires au maintien de celle-ci.
Article 15 : L'autorisation préalable est retirée dans les cas suivants :
- en cas de fausse déclaration donnée pour l'obtention de ladite autorisation préalable ;
- lorsque le bénéficiaire de l'autorisation préalable n'a pas respecté la législation et la
réglementation relative à la cryptographie ;
- lorsque, à l'issue du délai fixé dans la décision de suspension, il ne s'est pas conformé aux
prescriptions indiquées dans la décision de suspension ;
- lorsque le bénéficiaire de l'autorisation préalable cesse l'exercice de l'activité pour laquelle
lui a été délivrée l'autorisation préalable ;
- en cas de retrait de l'agrément, lorsque le bénéficiaire de l'autorisation préalable est un
fournisseur de moyens ou de prestations de cryptographie.
Chapitre IV : Dispositions relatives à l'agrément des personnes qui entendent fournir
des prestations de cryptographie soumises à autorisation
Article 16 : En application des dispositions de l'article 14 de la loi n° 53-05 précitée, les
personnes qui entendent fournir des moyens ou des prestations de cryptographie soumises
à autorisation doivent, au préalable, avoir été agréées en qualité de prestataires de services
de certification électronique conformément aux dispositions prévues par le chapitre V cidessous.
Toutefois, les personnes ne disposant pas de l'agrément de prestataires de services de
certification électronique et qui entendent fournir des prestations de cryptographie soumises
à autorisation doivent être agréées à cette fin par l'autorité gouvernementale chargée des
nouvelles technologies.
A cet effet, lesdites personnes doivent déposer auprès des services de ladite autorité, contre
récépissé, une demande assortie d'un cahier des charges établi selon les prescriptions du
modèle élaboré à cette fin par l'ANRT et approuvé par arrêté de l'autorité gouvernementale
chargée des nouvelles technologies, publié au « Bulletin officiel ».
Article 17 : Le cahier des charges prévu à l'article 16 ci-dessus, comprend notamment :
* les informations sur l'identité et les compétences du personnel chargé de la fourniture de
ces prestations et les qualifications dont il dispose en la matière ;
* les conditions techniques ou administratives garantissant le respect des obligations qui
incombent au prestataire en vertu des dispositions de la loi susvisée n° 53-05 et des textes
pris pour son application ;
* l'énumération des prestations de cryptographie que le prestataire entend fournir ;
* la liste des moyens de cryptographie que le prestataire entend utiliser ou exploiter à cet
effet ;
* la description des procédures et des moyens qui seront mis en oeuvre pour la fourniture
des prestations ;
* les caractéristiques techniques des équipements et des dispositifs à utiliser pour la
fourniture des services ;
* les conditions dans lesquelles sont remises à un autre organisme agréé les conventions
secrètes de cryptographie, en cas de cessation d'activité ou à la demande de l'utilisateur ;
* les conditions techniques d'utilisation des conventions secrètes, des moyens ou des
prestations de cryptographie et les mesures nécessaires pour assurer leur intégrité et leur
sécurité ;
* le format électronique standardisé dans lequel doivent être transcrites les conventions
secrètes, en cas de cessation d'activité ou de retrait de l'agrément.
Article 18 : L'autorité gouvernementale chargée des nouvelles technologies statue
valablement sur la demande d'agrément, dans un délai maximum de 60 jours, courant à
compter de la date du dépôt, attestée par la délivrance à l'intéressé d'un récépissé revêtu du
numéro d'enregistrement de ladite demande.
Elle établit la décision d'agrément qui doit notamment indiquer le nom du fournisseur des
prestations concerné, le numéro dudit agrément, la date de sa délivrance, la dénomination et
l'adresse de la société, qui doivent être portés sur tous les documents émanant d'elle, ainsi
que les prestations objet de l'agrément et la durée de validité de l'agrément de l'agrément qui
ne doit pas dépasser cinq (5) ans.
Toute modification de l'un des éléments sur la base desquels l'agrément a été délivré doit
être communiquée, sans délai, à l'autorité gouvernementale chargée des nouvelles
technologies.
En cas de refus d'octroi de l'agrément, le demandeur doit être avisé, par l'autorité
gouvernementale chargée des nouvelles technologies, des motifs de ce refus, par lettre
recommandée avec accusé de réception.
Article 19 : L'agrément peut être renouvelé, à la demande de son bénéficiaire, dans les
mêmes conditions que celles de sa délivrance initiale. Dans ce cas, la demande de
renouvellement doit être déposée auprès de l'autorité gouvernementale chargée des
nouvelles technologies, au moins soixante (60) jours avant la date d'expiration de l'agrément
initial.
Article 20 : Lorsque, à la suite des vérifications effectuées par les agents ou experts
commissionnés à cet effet, l'autorité gouvernementale chargée des nouvelles technologies
constate que le bénéficiaire de l'agrément ne répond plus à l'une des conditions prévues au
cahier des charges visé à l'article 17 ci-dessus ou que ses activités ne sont plus conformes
aux dispositions de la loi précitée n° 53-05 ou des règlements pris pour son application, elle
invite le bénéficiaire de cet agrément à se conformer auxdites conditions ou dispositions,
dans le délai qu'elle détermine.
Passé ce délai, si le bénéficiaire de l'agrément ne s'y est pas conformé, l'autorité
gouvernementale :
- soit décide la suspension de l'agrément pour un délai maximum de 3 mois, en mettant
l'intéressé en demeure de se conformer aux prescriptions indiquées dans la décision de
suspension ;
- soit procède au retrait de l'agrément, lorsque, à l'issue du délai fixé dans la décision de
suspension, il ne s'est pas conformé aux prescriptions indiquées dans la décision de
suspension.
Chapitre V : Dispositions relatives à l'agrément des prestataires de services de
certification électronique et au contrôle de leurs activités
Article 21 : Seules les personnes répondant aux conditions fixées par les dispositions de
l'article 21 de la loi n° 53-05 précitée peuvent dé poser, auprès de l'ANRT, une demande en
vue d'émettre et de délivrer des certificats électroniques sécurisés et de gérer les services
qui y sont afférents. Cette demande est assortie d'un cahier des charges établi selon les
prescriptions du modèle élaboré à cet effet par l'ANRT et approuvé par arrêté de l'autorité
gouvernementale chargée des nouvelles technologies, publié au « Bulletin officiel ».
Tout dossier de demande d'agrément incomplet fait l'objet d'un rejet motivé à l'occasion de
son dépôt.
Article 22 : Le cahier des charges prévu à l'article 21 ci-dessus, comprend :
* les informations sur l'identité et les compétences du personnel chargé de la certification
électronique et les qualifications dont il dispose en la matière ;
* les conditions techniques ou administratives garantissant le respect des obligations qui
incombent au prestataire en vertu des dispositions de la loi susvisée n° 53-05 et des textes
pris pour son application ;
* l'énumération des moyens ou des prestations de cryptographie que le prestataire peut
fournir, utiliser ou exploiter ;
* les caractéristiques techniques des équipements et des dispositifs à utiliser pour la
fourniture des services ;
* la description des procédures et des moyens qui seront mis en oeuvre pour émettre des
certificats électroniques ;
* la ou les polices d'assurance à contracter pour couvrir la responsabilité civile pour les
prestations de service de certification ;
* les conditions techniques et organisationnelles relatives à la gestion des certificats
électroniques sécurisés par ledit prestataire ;
* les éléments techniques nécessaires à la vérification de la validité des certificats ;
* les moyens ou les prestations de cryptographie dont le prestataire agréé est autorisé à
gérer les conventions secrètes ;
* les conditions techniques d'utilisation des conventions secrètes, des moyens ou des
prestations de cryptographie et les mesures nécessaires pour assurer leur intégrité et leur
sécurité ;
* le format électronique standardisé dans lequel doivent être transcrites les conventions
secrètes, en cas de cessation d'activité ou de retrait de l'agrément ;
* les conditions dans lesquelles sont remises à un autre organisme agréé les conventions
secrètes de cryptographie, en cas de cessation d'activité ou à la demande de l'utilisateur ;
* les conditions dans lesquelles la gestion des certificats électroniques sécurisés et les
services y afférents est confiée à un autre prestataire de services de certification
électronique agréé, en cas de retrait de l'agrément conformément aux dispositions de l'article
39 de la loi précitée n° 53-05 ;
* les conditions dans lesquelles les titulaires des certificats électroniques sécurisés sont
avertis du transfert de la gestion desdits certificats ou de leur révocation.
Article 23 : L'ANRT est tenue de statuer sur la demande d'agrément dont le dossier est
accepté, dans un délai maximum de soixante (60) jours, courant à compter de la date du
dépôt, attestée par la délivrance à l'intéressé d'un récépissé revêtu du numéro
d'enregistrement de ladite demande.
Elle établit la décision d'agrément qui doit notamment indiquer le nom du prestataire
concerné, le numéro dudit agrément, la date de sa délivrance, la dénomination et l'adresse
de la société qui doivent être portés sur tous les documents émanant d'elle, ainsi que les
prestations de services objet de l'agrément et la durée de validité de l'agrément qui ne doit
pas dépasser cinq (5) ans.
En cas de refus d'octroi de l'agrément, le demandeur doit être avisé, par l'ANRT, des motifs
de ce refus, par lettre recommandée avec accusé de réception.
Toute modification de l'un des éléments sur la base desquels l'agrément a été délivré doit
être communiquée, sans délai, à l'ANRT.
Article 24 : L'agrément peut être renouvelé, à la demande de son bénéficiaire, dans les
mêmes conditions que celles de sa délivrance initiale. Dans ce cas, la demande de
renouvellement doit être déposée auprès de l'ANRT soixante (60) jours au moins avant la
date d'expiration de l'agrément.
Article 25 : En application des dispositions de l'article 23 de la loi n° 53-05 précitée, le
prestataire de services de certification électronique agréé :
a) adresse, dans les délais prévus audit article 23, à l'autorité gouvernementale chargée des
nouvelles technologies, par lettre recommandée avec accusé de réception ; ou dépose
auprès de celle-ci, contre récépissé, un avis l'informant de son intention de mettre fin à ses
activités. L'ANRT est informée par ladite autorité gouvernementale de l'intention de tout
prestataire de services de certification électronique de mettre fin à ses activités ;
b) informe, sans délai, l'ANRT de l'arrêt de ses activités en cas de liquidation judiciaire, en lui
communiquant par lettre recommandée avec accusé de réception, ou en déposant auprès
de celle-ci, contre récépissé, une copie de la notification du jugement prononçant ladite
liquidation judiciaire.
Article 26 : Le ministre de l'industrie, du commerce et des nouvelles technologies est chargé
de l'exécution du présent décret qui sera publié au Bulletin officiel.