Le verdict en trois phrases
Une application web métier qui manipule des données clients au Maroc doit satisfaire deux cadres à la fois : le RGPD (dès lors que vous traitez des clients UE) et la loi 09-08 supervisée par la CNDP. Le socle sécurité se chiffre : audit 4 000-9 000 EUR HT (35 000-90 000 MAD), pentest annuel 5 000-12 000 EUR, hébergement UE conforme 100-350 EUR/mois. La bonne nouvelle : ces exigences se cadrent dès le cahier des charges et se documentent avec un registre des traitements.
Le socle technique minimum en 2026
La sécurité ne se "rajoute" pas après coup : elle se conçoit. Voici les briques attendues pour une application métier B2B et leur ordre de grandeur budgétaire.
| Brique sécurité | Exigence 2026 | Budget HT |
|---|---|---|
| Chiffrement en transit | TLS 1.3 partout | inclus |
| Chiffrement au repos | Base + backups chiffrés | 1 000-3 000 EUR |
| RBAC (rôles & permissions) | Moindre privilege | 3 000-7 000 EUR |
| Journalisation (audit logs) | Traçabilité des accès | 2 000-5 000 EUR |
| Audit sécurité initial | Revue code + config | 4 000-9 000 EUR (35 000-90 000 MAD) |
| Pentest annuel | Test d'intrusion | 5 000-12 000 EUR |
| Hébergement UE conforme | Region UE, backups | 100-350 EUR/mois |
Le RBAC et la journalisation sont les deux briques les plus souvent oubliées dans les devis "pas chers" — et les deux premières exigées en cas de contrôle CNDP ou d'audit client. Le chiffrement au repos protège aussi vos sauvegardes, cible fréquente des fuites.
Conformité RGPD + loi 09-08 : la checklist
Le double cadre n'est pas redondant : la loi 09-08 impose notamment une déclaration/autorisation auprès de la CNDP selon la nature du traitement, tandis que le RGPD exige un registre et une base légale.
| Obligation | RGPD (UE) | Loi 09-08 (CNDP) |
|---|---|---|
| Registre des traitements | Obligatoire | Recommandé |
| Base légale / consentement | Obligatoire | Obligatoire |
| Déclaration préalable | Non (registre) | Oui, selon traitement |
| Droit d'accès/rectification | Obligatoire | Obligatoire |
| Notification de violation | 72 h | Vers la CNDP |
| Transfert hors zone | Clauses types | Autorisation CNDP |
| DPO / point de contact | Selon cas | Recommandé |
En pratique, hébergez les données des clients UE dans une région UE, tenez un registre des traitements unique couvrant les deux cadres, et formalisez la notification de violation sous 72 h. Pour les transferts de données hors zone, prévoyez des clauses contractuelles types et, côté Maroc, vérifiez le régime d'autorisation CNDP.
Mini cas pratique
M. Alaoui dirige une PME de services à Rabat qui gère 12 000 fiches clients, dont 3 000 en Europe. Devis de mise en conformité : audit initial 6 000 EUR (60 000 MAD), RBAC + journalisation 8 000 EUR, migration vers un hébergement UE conforme 250 EUR/mois, pentest annuel 7 000 EUR. Investissement initial : 21 000 EUR HT, plus 10 000 EUR/an récurrents (pentest + hébergement). Face à une amende RGPD pouvant atteindre 4 % du chiffre d'affaires et au risque réputationnel d'une fuite, le calcul de risque justifie l'investissement dès la première année.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Le RGPD s'applique-t-il à une entreprise basée au Maroc ?
Oui, dès que vous traitez des données de personnes situées dans l'UE (clients, prospects, salariés). Le RGPD est extraterritorial ; il s'ajoute à la loi 09-08 locale supervisée par la CNDP.
Un pentest annuel est-il vraiment nécessaire ?
Pour une application manipulant des données clients, oui. Un test d'intrusion (5 000-12 000 EUR) révèle les failles avant les attaquants et rassure vos clients grands comptes lors des audits fournisseurs.
Où héberger pour être conforme ?
Pour des clients UE, une région UE d'un cloud reconnu (100-350 EUR/mois) simplifie la conformité. Documentez la localisation dans le registre et sécurisez les backups par chiffrement.
Combien coûte la mise en conformité initiale ?
Comptez un ordre de grandeur 2026 de 15 000 à 25 000 EUR HT (150 000-250 000 MAD) pour une application métier de taille moyenne, selon le volume de données et le niveau de RBAC exigé.
Qui doit tenir le registre des traitements ?
Le responsable de traitement (votre entreprise). C'est un document vivant listant chaque traitement, sa finalité, sa base légale et sa durée de conservation ; il est exigible en cas de contrôle.
Parlons de votre projet. Indiquez le volume de données, la part de clients UE et vos intégrations : nous cadrons un plan de conformité chiffré (audit, RBAC, hébergement). Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
