Choisir une formation cybersécurité au Maroc, c’est d’abord comprendre pourquoi les employeurs cherchent ces profils. Depuis 2020, la sécurité informatique n’y relève plus seulement de la bonne volonté : un texte de loi précis fixe des obligations, une autorité nationale les contrôle et des amendes sanctionnent les manquements. Cet article part de ce cadre, en tire les métiers qu’il fait naître, recense les voies de formation publiques, puis détaille le Mastère 2 IA et cybersécurité d’AI2, accessible depuis Casablanca, Rabat ou Agadir sans quitter son poste.
Que change la loi 05-20 pour les organisations marocaines ?
La loi n° 05-20 relative à la cybersécurité a été promulguée par le dahir n° 1-20-69 du 25 juillet 2020. Sa version arabe est parue au Bulletin officiel n° 6904 du 30 juillet 2020, sa traduction française au n° 6906 du 6 août 2020. Elle vise trois publics : les « entités » (administrations de l’État, collectivités territoriales, établissements et entreprises publics), les infrastructures d’importance vitale, et les « opérateurs » (réseaux de télécommunications, fournisseurs d’accès à Internet, prestataires de services numériques, éditeurs de plateformes). Elle est entrée en application avec ses textes d’exécution, dont le décret n° 2-21-406 du 15 juillet 2021.
Voici les obligations qui se traduisent directement en postes et en missions :
| Obligation | Article de la loi 05-20 | Qui la porte sur le terrain |
|---|---|---|
| Politique de sécurité, analyse des risques, audit avant toute mise en service d’un système ouvert à des tiers, puis audits réguliers | 4 | Équipe sécurité, auditeurs |
| Classification des données et des systèmes selon leur sensibilité | 5 | Analyste risques, gouvernance |
| Désignation d’un responsable de la sécurité des systèmes d’information (RSSI), interlocuteur de l’autorité nationale | 6 | RSSI |
| Moyens de supervision et de détection des événements de sécurité | 7 | Analyste SOC, ingénieur détection |
| Déclaration des incidents dès qu’ils sont connus | 8, 30 et 33 | Équipe de réponse à incident |
| Plan de continuité ou de reprise d’activité, testé régulièrement | 9 | Responsable continuité |
| Hébergement des données sensibles sur le territoire national | 11 | Architecte cloud, juriste |
| Homologation de chaque système d’information sensible avant sa mise en exploitation | 19 | RSSI, direction |
| Audit des systèmes sensibles par l’autorité ou par des prestataires qualifiés | 20 à 24 | Auditeurs qualifiés |
Les sanctions sont chiffrées. L’article 49 prévoit une amende de 200 000 à 400 000 DH, notamment pour l’hébergement de données sensibles hors du Maroc ou la mise en exploitation d’un système sensible non homologué. L’article 50 punit de 100 000 à 200 000 DH, entre autres, l’absence de déclaration d’un incident. En cas de récidive, ces montants sont doublés (article 52).
DGSSI, maCERT et décrets : qui fait quoi dans la cybersécurité marocaine ?
L’autorité nationale est la Direction générale de la sécurité des systèmes d’information (DGSSI). Elle a élaboré la Stratégie nationale de cybersécurité à l’horizon 2030, organisée en quatre piliers : gouvernance, sécurité et résilience du cyberespace, développement des capacités et sensibilisation, coopération internationale. Le troisième pilier intéresse directement votre projet : il prévoit d’augmenter les cursus en cybersécurité dans les universités et la formation professionnelle, d’encourager la certification professionnelle et d’adapter l’offre de formation aux besoins des métiers.
- Le maCERT (Moroccan Computer Emergency Response Team) est l’une des quatre directions de la DGSSI. Il assure la veille, la détection, l’alerte et la coordination de la réponse aux attaques, et reçoit les déclarations d’incidents des administrations et des infrastructures d’importance vitale.
- Le décret n° 2-21-406 impose à chaque entité de classer ses systèmes d’information selon l’impact d’un incident. Les systèmes des classes A et B sont réputés sensibles, et la classification doit être revue au moins tous les trois ans, selon la page systèmes sensibles des infrastructures d’importance vitale de la DGSSI.
- Le décret n° 2-24-921 encadre le recours au cloud pour les systèmes et données sensibles, avec deux niveaux de qualification des prestataires, qui doivent être des sociétés de droit marocain.
- La DGSSI publie aussi des guides gratuits : sécurité des applications web, sécurité des réseaux, sécurité du serveur Linux, sécurité des systèmes d’information industriels, plan de continuité, audit. Ils sont listés sur son site.
Côté résultats, la DGSSI indique que le Maroc figure, dans l’édition 2024 du Global Cybersecurity Index de l’UIT, dans le groupe de tête (Tier 1), aux côtés de 45 autres pays.
Quels métiers naissent de ces obligations ?
Chaque article cité plus haut correspond à des tâches qu’il faut confier à quelqu’un, en interne ou chez un prestataire. Les intitulés ci-dessous sont ceux que vous croiserez dans les offres, rapprochés des textes marocains qui les rendent nécessaires.
| Métier | D’où vient le besoin | Ce que vous faites au quotidien |
|---|---|---|
| RSSI | Article 6 de la loi 05-20 | Piloter la politique de sécurité, dialoguer avec la DGSSI, préparer les homologations |
| Analyste SOC | Articles 7 et 8 | Surveiller les journaux, trier les alertes, qualifier et déclarer les incidents |
| Auditeur en sécurité | Articles 20 à 24, référentiel PASSI | Auditer une architecture, une configuration, un code source ou un système industriel |
| Ingénieur sécurité cloud | Article 11 et décret n° 2-24-921 | Concevoir des hébergements conformes, gérer les identités et le chiffrement |
| Consultant risques et conformité | Articles 4, 5 et 9 | Mener l’analyse de risques, classer les systèmes, construire le plan de continuité |
| Ingénieur sécurité de l’IA | Arrivée de l’IA dans les systèmes protégés | Tester les modèles contre l’injection de prompt et l’empoisonnement des données |
Le cas particulier des auditeurs qualifiés (PASSI)
Les audits des systèmes sensibles sont confiés à des prestataires d’audit qualifiés par la DGSSI. Le référentiel de qualification, en version 2.1 depuis novembre 2025, couvre six domaines : audit organisationnel et physique, audit d’architecture, audit de configuration, tests d’intrusion, audit du code source et audit des systèmes industriels. La qualification est accordée à une société de droit marocain, et chaque auditeur qu’elle présente doit remplir des conditions individuelles :
- niveau auditeur : diplôme en technologies de l’information, certificats en sécurité, trois ans d’expérience au moins en systèmes d’information et en sécurité, six missions réalisées dans le domaine demandé (un an d’expérience minimum pour les tests d’intrusion) ;
- niveau responsable de mission : quatre ans d’expérience en sécurité, cinq ans en systèmes d’information, dix missions et une pratique de la gestion d’équipe d’audit.
Le référentiel cite comme atouts des certifications comme ISO 27001 Lead Auditor, CISA, CEH ou OSCP selon le domaine. Un diplôme ne remplace pas cette expérience : il vous donne la base technique pour l’acquérir plus vite.
Où suivre une formation cybersécurité au Maroc ?
Le paysage se découpe en trois familles, à choisir selon votre diplôme et votre situation professionnelle.
- Les écoles d’ingénieurs publiques. L’ENSIAS, à Rabat, propose par exemple une filière d’ingénieur Cybersécurité, Cloud et Informatique Mobile. Ces cycles sont sélectifs et se suivent à temps plein.
- Les formations continues liées à l’État. La DGSSI a lancé avec l’ANRT un Master spécialisé en cybersécurité à l’INPT, sur quatre semestres, du jeudi au samedi matin. Lors de sa 6e édition, il s’adressait aux ingénieurs des administrations, des établissements publics et des opérateurs d’infrastructures d’importance vitale, avec un Bac+5, trois ans d’expérience en informatique et 40 ans au plus.
- Un cursus Bac+5 en ligne, mêlant IA et sécurité. AI2 le propose, et la suite de cet article le détaille. Notre page dédiée à la formation intelligence artificielle au Maroc situe cette option parmi les autres parcours en IA.
Les certifications professionnelles complètent ces trois voies sans les remplacer : la stratégie nationale les encourage pour constituer un vivier d’experts, et le référentiel PASSI les valorise. Si vous hésitez entre université marocaine et cursus en ligne, notre comparatif université marocaine ou formation IA à distance pose les critères.
Mastère 2 IA et cybersécurité : un Bac+5 tourné vers les systèmes industriels
Le Mastère 2 Intelligence artificielle et cybersécurité d’AI2 compte 500 heures sur un an. Il réunit quatre blocs de 56 heures, un parcours cyber de quatre modules de 42 heures, 84 heures de business data et 24 heures d’examens finaux. Son fil conducteur : protéger les systèmes d’information de l’industrie, y compris les modèles d’IA qui s’y intègrent. Le tableau suivant met chaque partie du programme en regard du contexte marocain décrit plus haut.
| Ce que vous travaillez | Outils et méthodes | Où vous le retrouvez au Maroc |
|---|---|---|
| Analyse des risques cyber (bloc 1) | EBIOS RM, MITRE ATT&CK for ICS, IEC 62443 | Analyse des risques exigée par l’article 4, classification du décret n° 2-21-406 |
| Architecture sécurisée (bloc 2) | IAM, PKI, zero trust, séparation IT et OT, TLS 1.3 et mTLS | Hébergement des données sensibles, qualification cloud |
| Simulation d’attaques (bloc 3) | Cyber range, jumeau numérique industriel | Tests d’intrusion, l’un des six domaines PASSI |
| IA pour la détection (bloc 4) | Détection d’intrusions et d’anomalies, explicabilité des alertes | Supervision et détection prévues à l’article 7 |
| SOC, SIEM et réponse à incident | Règles SIEM, playbooks, bases de forensique, continuité | Déclaration des incidents et plans de continuité |
| Cryptographie appliquée, threat intelligence | Gestion des clés, OSINT, indicateurs de compromission | Bulletins de sécurité et alertes du maCERT |
| Sécurité des systèmes d’IA | Machine learning adverse, injection de prompt, empoisonnement | Sécurité des assistants IA déployés en entreprise |
Cette correspondance reste indicative. Un jury évalue chaque bloc à partir d’études de cas, et la note minimale est de 10/20 par bloc ; un projet professionnel clôt l’année sur une situation de sécurité réelle. Cisco Networking Academy, IBM SkillsBuild et DataCamp sont aussi ouverts aux inscrits.
Les horaires depuis le Maroc, passé à GMT toute l’année
Le Maroc a quitté l’heure GMT+1 le 20 septembre 2026 à 2 h : le décret n° 2.26.530 du 25 juin 2026, publié au Bulletin officiel n° 7521, rétablit l’heure GMT et abroge le décret de 2018. La base de fuseaux horaires IANA n’enregistre plus aucun changement d’heure pour le Maroc après cette date, ramadan compris. Seul le passage de la France à l’heure d’été modifie donc l’écart avec Paris.
| Séance en ligne | Heure de Paris | Au Maroc jusqu’au 27 mars 2027 | Au Maroc du 28 mars au 30 octobre 2027 |
|---|---|---|---|
| Mardi, mercredi, jeudi | 18 h à 20 h | 17 h à 19 h | 16 h à 18 h |
| Samedi, session longue | 9 h à 17 h 30 | 8 h à 16 h 30 | 7 h à 15 h 30 |
Chaque séance reste disponible en enregistrement : une réunion qui déborde à Tanger ou un trajet retardé à Marrakech ne vous fait rien perdre. À distance, vous suivez le même programme qu’au campus parisien d’Écouen, pour le même titre et le même prix, sans demande de visa.
Quel titre à la clé ?
Le Mastère vise un titre de niveau 7 (Bac+5), le RNCP39978 « Architecte des systèmes d’information dans les processus industriels », assorti d’une spécialisation AI2 en cybersécurité ; son certificateur est DATAKOO, société mère d’AI2 (même groupe). Comme pour ses autres cursus, AI2 prépare ce titre, enregistré au RNCP et reconnu par l’État (certification professionnelle), et délivre en plus son propre diplôme d’établissement. Côté qualité, AI2 détient la certification Qualiopi QUA008116.
Le coût en dirhams
Les frais s’élèvent à 9 000 € par an, en ligne comme au campus. Au cours moyen publié par Bank Al-Maghrib pour le 29 octobre 2026 (1 € = 10,9614 MAD), cela représente environ 98 700 MAD. Pour le budget complet, frais Campus France compris si vous visez Écouen, voyez le tarif d’une formation IA au Maroc, poste par poste. L’alternance, possible au second semestre, se déroule uniquement en France et suppose un titre de séjour qui l’autorise : l’entreprise et son OPCO paient alors la formation, et l’étudiant perçoit un salaire.
Comment préparer votre entrée depuis le Maroc ?
L’admission en Mastère 2 demande un Bac+4 validé dans l’informatique, les réseaux, la data ou une discipline proche, et l’entretien vérifie vos bases de Python et de machine learning. Votre diplôme marocain détermine le point d’entrée :
- licence, licence professionnelle ou autre Bac+3 : commencez par le Mastère 1 Data Science et IA, facturé 7 500 € (environ 82 200 MAD), qui pose Python, SQL, machine learning et cloud, puis choisissez la spécialisation cybersécurité en Mastère 2 ;
- master, diplôme d’ingénieur d’État ou Bac+4 validé : candidatez directement au Mastère 2, après étude du dossier.
Master marocain ou Mastère : notre guide sur le master en intelligence artificielle depuis le Maroc fait la distinction. Avant la rentrée, travaillez quatre points :
- Programmer en Python, jusqu’à lire et filtrer des fichiers de journaux avec pandas. Notre article formation Python au Maroc propose un plan sur trois mois.
- Maîtriser les réseaux : TCP/IP, routage, DNS, HTTP, TLS, et savoir ouvrir une capture de trafic.
- Pratiquer Linux en ligne de commande : utilisateurs, droits, services, journaux.
- Lire les guides de la DGSSI : celui sur la sécurité du serveur Linux et celui sur les applications web sont gratuits, en français, et donnent le vocabulaire attendu en entretien.
Vous travaillez déjà et craignez de ne pas tenir le rythme ? Nos conseils pour une reconversion dans l’IA depuis le Maroc aident à organiser ses semaines autour des séances du soir.
Candidater : les étapes et les rentrées 2027
La candidature en ligne est gratuite. L’équipe étudie ensuite votre parcours et votre motivation, puis vous invite à un entretien de motivation, parfois accompagné d’un test technique. Une fois accepté, il reste à finaliser l’inscription. Calendrier 2027 : mai ou septembre pour le Mastère 2 ; janvier, mai ou septembre pour le Mastère 1.
📘 À lire aussi : Se former à l’IoT depuis le Maroc.
Questions fréquentes sur la formation cybersécurité au Maroc
Quelle loi encadre la cybersécurité au Maroc ?
La loi n° 05-20 relative à la cybersécurité, promulguée par le dahir n° 1-20-69 du 25 juillet 2020, complétée notamment par le décret n° 2-21-406 du 15 juillet 2021. La DGSSI est l’autorité nationale chargée de l’appliquer.
Quel est le rôle du maCERT ?
C’est le centre de veille, de détection et de réponse aux attaques informatiques de la DGSSI. Il publie des alertes et reçoit les déclarations d’incidents des administrations et des infrastructures d’importance vitale.
Que risque une organisation qui ne déclare pas un incident ?
L’article 50 de la loi 05-20 prévoit une amende de 100 000 à 200 000 DH, doublée en cas de récidive.
Quelle formation cybersécurité au Maroc choisir avec une licence ?
Avec une licence, le parcours AI2 en ligne prend deux ans : une année de Mastère 1 Data Science et IA, puis la spécialisation cybersécurité en Mastère 2. Les écoles d’ingénieurs publiques fixent, elles, leurs propres conditions d’admission.
À quelle heure ont lieu les cours en ligne depuis le Maroc ?
De 17 h à 19 h le mardi, le mercredi et le jeudi jusqu’au 27 mars 2027, puis de 16 h à 18 h pendant l’heure d’été française, plus une session le samedi ; chaque séance peut être revue en différé.
Quel budget en dirhams pour le Mastère 2 IA et cybersécurité ?
9 000 € par an, en ligne comme au campus, soit environ 98 700 MAD au cours moyen de Bank Al-Maghrib du 29 octobre 2026.
Ce Mastère permet-il de devenir auditeur PASSI ?
Il apporte la base technique. La qualification PASSI est délivrée par la DGSSI à une société de droit marocain, et chaque auditeur doit justifier d’au moins trois ans d’expérience, de certificats en sécurité et de missions réalisées.
Quel titre obtient-on à la fin du Mastère 2 ?
Le titre RNCP39978 de niveau 7, enregistré au RNCP et reconnu par l’État, avec une spécialisation en cybersécurité, ainsi que le diplôme d’établissement d’AI2.
Sources consultées le 29 octobre 2026 : DGSSI, loi n° 05-20 relative à la cybersécurité (Bulletin officiel n° 6906) ; DGSSI, page de la loi 05-20 et guides ; DGSSI, textes législatifs et réglementaires ; DGSSI, Stratégie nationale de cybersécurité 2030 ; DGSSI, maCERT ; DGSSI, déclaration d’incidents ; DGSSI, systèmes sensibles des infrastructures d’importance vitale ; DGSSI, décret n° 2-24-921 sur le cloud ; DGSSI, référentiel de qualification des prestataires d’audit (v2.1) ; DGSSI, Global Cybersecurity Index 2024 ; DGSSI, Master spécialisé en cybersécurité à l’INPT ; ENSIAS, filière Cybersécurité, Cloud et Informatique Mobile ; Bulletin officiel n° 7521 du 29 juin 2026, décret n° 2.26.530 relatif à l’heure légale ; IANA, base de fuseaux horaires (Africa/Casablanca) ; Bank Al-Maghrib, cours de change du 29 octobre 2026 ; AI2, page du Mastère 2 IA et cybersécurité (programme, tarif, admission).
Un Bac+5 en ligne, menant à un titre RNCP de niveau 7. Deux rentrées en 2027 : mai ou septembre.