Cyberattaques : la confiance, nouvelle frontière de la souveraineté numérique

À l’heure où l’intelligence artificielle permet de falsifier une voix, une image ou une déclaration officielle, la souveraineté des États ne se joue plus seulement dans leurs infrastructures informatiques. Elle dépend aussi de leur capacité à préserver une parole publique authentique, crédible et responsable.

Du 12 au 14 octobre 2026, Rabat a accueilli la Semaine nationale de la cybersécurité, « Morocco CyberSecurity Week ». À son ouverture, Abdeltif Loudyi, ministre délégué auprès du Chef du gouvernement chargé de l’Administration de la Défense nationale, a souligné la nécessité de protéger les systèmes d’information nationaux, de renforcer leur résilience et d’anticiper les risques amplifiés par l’intelligence artificielle. Le communiqué officiel a présenté la cybersécurité comme un pilier essentiel de la confiance nécessaire à la transformation numérique.

Pour la souveraineté numérique du Maroc, cette ambition soulève une question décisive : que devient cette confiance lorsqu’une institution découvre une cyberattaque sans pouvoir immédiatement en expliquer les causes, en mesurer les conséquences ou garantir l’authenticité des informations diffusées en son nom ?

C’est dans cet intervalle que se dessine une nouvelle frontière de la souveraineté numérique.

Quand une intrusion devient une crise de confiance

Le 8 avril 2025, la cyberattaque contre la Caisse nationale de sécurité sociale (CNSS) a montré comment un incident informatique pouvait se transformer en crise institutionnelle.

Des documents attribués à l’organisme ont circulé sur les réseaux sociaux. Dès le 9 avril, la CNSS a publié un communiqué indiquant que ses premières vérifications faisaient apparaître des informations souvent fausses, inexactes ou tronquées. Mais la controverse dépassait déjà l’authenticité des documents : elle concernait la protection des données et la crédibilité des explications publiques.

Dans une tribune publiée le 12 avril 2025 par TelQuel, Houssam Hatim a critiqué le contenu et le caractère tardif de certaines explications institutionnelles. Cette appréciation relève de son analyse de la communication de crise, non d’une expertise technique indépendante. La CNSS avait néanmoins pris publiquement la parole dès le 9 avril.

L’épisode révèle néanmoins une contradiction fondamentale. Les équipes de cybersécurité doivent préserver les preuves, identifier les systèmes compromis et établir les faits. Les réseaux sociaux diffusent, pendant ce temps, documents, accusations et interprétations.

Le temps de l’investigation se compte en heures ou en jours. Celui de la circulation numérique, en minutes. Une déclaration précipitée peut aggraver la crise. Un silence prolongé risque de laisser des récits concurrents occuper l’espace public.

La sécurité des systèmes et la crédibilité de la parole institutionnelle deviennent ainsi deux dimensions d’une même responsabilité.

Le délai de confiance, une responsabilité à organiser

Cet intervalle mérite un nom : le délai de confiance.

Il désigne le temps séparant la détection d’un incident de la première information publique fiable, authentifiable et utile aux personnes concernées.

Il ne s’agit ni d’une norme juridique ni d’un indicateur officiellement reconnu, mais d’un concept permettant de rendre visible une responsabilité souvent dispersée entre techniciens, juristes, communicants et décideurs.

Une institution n’a pas besoin de connaître immédiatement l’origine d’une attaque pour informer. Elle peut reconnaître l’incident, distinguer les faits établis des incertitudes, indiquer les précautions utiles et annoncer les prochaines étapes.

Cette transparence doit préserver les investigations, les données personnelles et les informations sensibles. La confiance ne résulte donc pas de la rapidité seule. Elle repose sur la capacité à communiquer sans fabriquer de certitudes.

Ce que le droit organise, et ce qu’il reste à coordonner

Le Maroc dispose déjà d’un cadre juridique structuré.

L’article 8 de la loi n° 05-20 relative à la cybersécurité impose aux entités concernées de déclarer à l’autorité nationale les incidents affectant leurs systèmes d’information dès qu’elles en prennent connaissance. L’article 9 prévoit des plans de continuité ou de reprise d’activité.

L’article 27 impose, quant à lui, aux catégories d’opérateurs qu’il énumère — notamment les exploitants de réseaux publics de télécommunications, les fournisseurs d’accès à Internet, les prestataires de cybersécurité ou de services numériques et les éditeurs de plateformes — d’informer leurs clients des vulnérabilités ou atteintes susceptibles de les affecter.

Cette obligation ciblée ne saurait être assimilée à une obligation générale, pour toute administration victime d’une cyberattaque, de communiquer publiquement sur l’incident. La loi n° 09-08 relative à la protection des données personnelles relève d’un cadre distinct ; elle ne prévoit pas, à elle seule, un mécanisme général de notification des violations aux personnes concernées comparable à celui du RGPD européen. D’éventuelles obligations sectorielles doivent être appréciées séparément.

Déclarer un incident à l’autorité, protéger les données, informer les clients et communiquer avec les citoyens constituent donc des responsabilités différentes. L’enjeu stratégique consiste à mieux les articuler, sans supposer que le droit existant serait dépourvu de mécanismes d’information.

La réponse ne nécessite pas forcément de nouvelles structures. Elle exige surtout que les responsabilités soient définies avant la crise : qui valide une déclaration lorsque les faits restent incomplets ? Qui suspend un compte officiel compromis ? Quel canal utiliser si le site institutionnel devient inaccessible ?

Ces questions devraient figurer dans les exercices de résilience, au même titre que la restauration des systèmes.

L’intelligence artificielle rend l’autorité falsifiable

L’intelligence artificielle transforme profondément cette vulnérabilité.

Une vidéo attribuée à un responsable public, un enregistrement reproduisant sa voix ou un communiqué imitant les codes graphiques d’une administration peuvent désormais être fabriqués avec une facilité croissante. Le problème ne concerne plus seulement la véracité d’un message, mais l’authenticité de son origine.

L’émergence d’agents d’intelligence artificielle capables d’interagir avec des plateformes pourrait ajouter un risque supplémentaire : des autorisations excessives ou une compromission pourraient entraîner la diffusion de messages non autorisés à grande échelle.

Les institutions doivent donc protéger leurs identités numériques, leurs procédures de validation et leurs canaux de communication autant que leurs bases de données.

Cette vigilance comporte toutefois une limite démocratique essentielle. Une enquête journalistique, une critique politique ou une contestation citoyenne ne constituent pas, par nature, des opérations de manipulation. La cybersécurité ne doit pas devenir un prétexte pour disqualifier les informations défavorables aux institutions.

Protéger l’authenticité de la parole publique ne signifie pas contrôler le débat public. La sécurité de l’information doit permettre de vérifier les faits, non décider à la place des citoyens ce qu’ils peuvent penser.

La souveraineté dépasse la localisation des serveurs

La Stratégie nationale de cybersécurité du Maroc à l’horizon 2030 repose sur quatre piliers : gouvernance, sécurité et résilience, développement des capacités et sensibilisation, et coopération régionale et internationale.

Elle constitue un socle pour approfondir une dimension encore insuffisamment explicite : la continuité de la communication institutionnelle en situation de crise. Car la souveraineté numérique ne se résume pas à l’hébergement national des données.

Une administration peut disposer de serveurs sécurisés sur son territoire tout en dépendant, pour informer les citoyens, de plateformes étrangères dont elle ne maîtrise ni les algorithmes de diffusion ni les règles de suspension des comptes.

Les services cloud et les technologies d’intelligence artificielle créent également des dépendances susceptibles de devenir critiques. La souveraineté ne signifie pas l’autarcie technologique. Elle suppose la capacité de connaître ces dépendances, de diversifier les solutions et de conserver des moyens alternatifs de décision et de communication.

Cette approche pourrait renforcer le positionnement international du Maroc. La coopération avec ses partenaires africains, arabes et européens pourrait intégrer davantage l’authentification des communications officielles, la coordination des réponses aux crises numériques et le partage des compétences en communication institutionnelle.

La confiance deviendrait ainsi un domaine de coopération stratégique, au-delà de la protection technique des réseaux.

La confiance, véritable mesure de la maturité numérique

Pendant longtemps, la communication digitale a été évaluée à travers l’audience, la visibilité et la rapidité de diffusion. Ces indicateurs ne disent pourtant presque rien de la capacité d’une institution à préserver sa crédibilité lorsqu’elle est attaquée.

La maturité numérique devrait désormais associer quatre capacités : protéger les infrastructures, authentifier la parole officielle, maintenir l’information en situation dégradée et reconnaître les erreurs lorsqu’elles sont établies.

Cette dernière exigence est probablement la plus difficile. Dans des environnements où l’autorité est souvent associée à une maîtrise permanente, reconnaître une incertitude peut sembler fragiliser la position institutionnelle. Pourtant, une parole qui admet ses limites peut être plus crédible qu’une affirmation prématurée démentie quelques heures plus tard.

La confiance ne se décrète pas. Elle se construit dans la cohérence entre les faits, les déclarations et les décisions.

À mesure que l’intelligence artificielle facilite la fabrication de fausses apparences d’autorité, cette cohérence devient une nécessité stratégique autant qu’une exigence démocratique.

La prochaine frontière de la souveraineté numérique ne sera donc pas seulement la défense des réseaux. Elle sera la capacité des États à préserver, même dans l’incertitude, une relation de confiance vérifiable avec la société.

Une cyberattaque peut interrompre un service pendant quelques heures. Une confiance détruite peut demander des années pour être reconstruite.