Cybersécurité au Maroc : avancées stratégiques et vulnérabilités persistantes

La troisième édition de l’AUSIMètre, publiée par l’AUSIM et le cabinet PwC, dresse un état des lieux contrasté de la cybersécurité au sein des entreprises marocaines. Malgré une progression notable de la gouvernance et des investissements, plusieurs fragilités structurelles continuent de freiner la montée en maturité du tissu économique.

L’édition 2026 du baromètre AUSIMètre, publié en juillet, indique une amélioration significative de la posture cyber des organisations. L’indice global de maturité est passé de 49 % en 2025 à 56 % en 2026, traduisant une transition vers un niveau qualifié de « défini ». Cette évolution est principalement liée à l’implication croissante des directions générales, désormais engagées dans les décisions stratégiques de sécurité numérique. Selon l’étude, 74 % des Directions Générales participent activement à la gouvernance cyber, contre 55 % un an plus tôt.

L’effort budgétaire accompagne cette dynamique. Plus de la moitié des entreprises consacrent désormais plus de 5 % de leur budget IT à la sécurité, et une part croissante dépasse le seuil des 7 %. Toutefois, près de 30 % des organisations demeurent sous‑investies ou dépourvues de budget dédié, ce qui crée une disparité notable dans la capacité de résilience.

La réglementation nationale, notamment la loi 05‑20, joue également un rôle structurant. Pour 44 % des entreprises, elle constitue un cadre de référence permettant de renforcer la gouvernance avant même d’accroître les investissements.

Une pénurie de talents

Malgré ces avancées, la disponibilité des compétences reste le principal obstacle. Le Maroc fait face à une pénurie particulièrement marquée : 84 % des entreprises déclarent manquer de talents spécialisés, un taux nettement supérieur à la moyenne mondiale de 63 %. Pour 29 % d’entre elles, la situation est jugée critique.

Lire aussi. Cybersécurité: la DGSSI alerte sur de graves failles dans plusieurs extensions WordPress

Face à la difficulté de recruter des profils qualifiés, les organisations privilégient la formation interne et la montée en compétences. Plus de la moitié d’entre elles misent sur le développement de leurs ressources existantes. L’externalisation s’impose également comme une réponse courante : 93 % des entreprises délèguent au moins une fonction cyber, notamment la surveillance continue et les tests d’intrusion. Les experts soulignent toutefois que si certaines opérations techniques peuvent être externalisées, la gouvernance et la prise de décision doivent impérativement rester internes.

L’étude met en évidence deux zones de vulnérabilité liées à l’adoption rapide de nouvelles technologies. L’intelligence artificielle est perçue comme un levier d’efficacité par 87 % des entreprises, notamment pour l’automatisation de la détection des incidents. Cependant, les mécanismes de contrôle restent insuffisants. Seules 30 % des organisations disposent de règles d’usage formalisées et 18 % n’ont désigné aucun responsable chargé de superviser ces outils. Les incidents liés à l’IA sont déjà observés : 40 % des entreprises rapportent des attaques d’ingénierie sociale amplifiées par ces technologies et 25 % évoquent des fuites de données.

Une dépendance croissante au Cloud

Le recours au Cloud s’intensifie dans le cadre de la transformation numérique, mais il s’accompagne d’une dépendance accrue aux fournisseurs externes. Selon l’AUSIMètre, 60 % des entreprises présentent une dépendance moyenne à critique. Plus préoccupant encore, 70 % ne disposent d’aucune stratégie de réversibilité formalisée, ce qui les expose à une perte de contrôle en cas de défaillance du prestataire ou de crise majeure.

Lire aussi. Cybersécurité au Maroc: ce qu’il faut retenir du baromètre 2025 de l’AUSIM

Le rapport souligne également un manque d’anticipation concernant la menace liée à l’informatique quantique. Près de 64 % des entreprises considèrent ce risque comme lointain, alors que les experts rappellent que certaines données sensibles sont déjà interceptées dans une logique de « récolter maintenant, déchiffrer plus tard ». Seule une minorité d’organisations, environ 30 %, a engagé des démarches de crypto‑agilité pour préparer la transition vers des standards post‑quantiques.

Pour renforcer la résilience nationale, l’AUSIM et PwC identifient trois axes prioritaires. Le premier consiste à encadrer l’usage de l’IA et à sécuriser les environnements Cloud, en intégrant des règles d’usage strictes et des plans de réversibilité dès la contractualisation. Le deuxième vise à répondre à la pénurie de talents par la reconversion de profils non techniques vers les métiers de la gestion du risque cyber, tout en utilisant l’IA comme outil d’appui. Le troisième concerne la préparation à l’ère post‑quantique, en cartographiant les actifs cryptographiques et en intégrant des exigences de crypto‑agilité dans les appels d’offres.