Telekommunikation, Cloud und KI-Regulierung in Marokko: Was Tech- und Nearshoring-Unternehmen wissen müssen
Das Wichtigste in Kürze: Marokkos Stellung als Nearshoring-Standort für europäische Technologie-, Telekommunikations- und BPO-Unternehmen beruht auf einem zunehmend ausgereiften, aber sich rasch weiterentwickelnden Regulierungsrahmen. Unternehmen, die in Marokko Cloud-Infrastrukturen aufbauen, KI-Systeme einsetzen oder ausgelagerte Engineering-Dienstleistungen erbringen, müssen sich in einem Geflecht überlappender marokkanischer Gesetze und – zunehmend – extraterritorialer EU-Vorschriften zurechtfinden. Dieser Leitfaden gibt einen Überblick über die wesentlichen Regulierungsbereiche.
Telekommunikationslizenzierung: Gesetz 24-96 und die ANRT
Der marokkanische Telekommunikationssektor wird durch das Gesetz Nr. 24-96 über Post- und Telekommunikationsdienste geregelt, das 1997 verkündet und mehrfach novelliert wurde – zuletzt durch das Gesetz Nr. 121-12 im Jahr 2019. Die Agence Nationale de Réglementation des Télécommunications (ANRT), 1998 auf Grundlage dieses Gesetzes gegründet, ist die sektorale Regulierungsbehörde, zuständig für Lizenzierung, Frequenzverwaltung, Zusammenschaltung und Wettbewerbsaufsicht.
Lizenzen vs. Erklärungen (Déclarations)
Gesetz 24-96 etabliert ein zweistufiges Genehmigungsregime. Vollständige Telekommunikationsbetreiber – also solche, die öffentliche Telekommunikationsnetze errichten und betreiben – benötigen eine von der ANRT erteilte Lizenz mit detaillierten Spezifikationen (cahier des charges). Internet-Zugangsanbieter (ISPs) hingegen werden nicht als Telekommunikationsbetreiber eingestuft und müssen lediglich eine Erklärung (déclaration) bei der ANRT einreichen, unterliegen jedoch den allgemeinen Pflichten des Gesetzes 24-96. Der Betrieb eines Telekommunikationsnetzes ohne Lizenz wird nach Artikel 83 mit Freiheitsstrafen von einem Monat bis zwei Jahren und Geldstrafen von 10.000 MAD bis 200.000 MAD geahndet.
VoIP, OTT und MVNOs
VoIP-Dienste bewegen sich in einer rechtlichen Grauzone. Der Generaldirektor der ANRT erließ am 6. April 2004 eine Entscheidung, wonach VoIP-Telefonate gemäß Artikel 2 des Gesetzes 24-96 einer Telekommunikationslizenz bedürfen. Kommentatoren weisen jedoch darauf hin, dass das Gesetz 24-96 Mitte der 1990er Jahre verfasst wurde und nicht für die Regulierung von Over-the-Top-Internetdiensten konzipiert war, sodass die Durchsetzung gegenüber OTT-Anbietern und VPN-Nutzern rechtlich fragwürdig ist. Ein eigenständiger MVNO-Regulierungsrahmen existiert nicht; virtuelle Netzbetreiber müssen den Zugang über kommerzielle Vereinbarungen mit lizenzierten Netzbetreibern unter Aufsicht der ANRT aushandeln.
Reformen 2024–2026 und 5G
Im Rahmen der Strategie Maroc Digital 2030 hat Marokko einen Zeitplan für die 5G-Einführung festgelegt: 25 % territoriale Abdeckung bis 2026 und 70 % bis 2030. Die Mitausrichtung der FIFA-Fußballweltmeisterschaft 2030 hat den Prozess beschleunigt, und die ANRT bereitet Spezifikationen für die 5G-Lizenzvergabe vor, einschließlich eines geplanten Neutral-Host-Modells für Veranstaltungsorte wie Stadien.
Datenhosting, Cloud und grenzüberschreitende Datentransfers
Gesetz 09-08 und die CNDP
Das marokkanische Datenschutzrecht beruht auf dem Gesetz Nr. 09-08 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, das von der Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP) durchgesetzt wird. Jede Datenverarbeitung muss vor ihrem Beginn bei der CNDP angemeldet werden; sensible Daten, biometrische Daten und Datenbankverknüpfungen erfordern eine vorherige Genehmigung anstelle einer einfachen Benachrichtigung.
Grenzüberschreitende Transfers und EU-Angemessenheit
Gemäß den Artikeln 43 und 44 des Gesetzes 09-08 dürfen personenbezogene Daten nur in ein Drittland übermittelt werden, wenn dieses Land nach Einschätzung der CNDP ein angemessenes Schutzniveau gewährleistet. Fehlt eine solche Angemessenheitsfeststellung, bedarf die Übermittlung einer vorherigen Genehmigung der CNDP, die erteilt werden kann, wenn ausreichende Garantien bestehen – etwa Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules). Wesentlich ist: Marokko verfügt bislang nicht über einen EU-DSGVO-Angemessenheitsbeschluss, obwohl es die Konvention 108 des Europarats im September 2019 ratifiziert hat und auf die Konvention 108+ hinarbeitet. Die CNDP erkennt eine begrenzte Liste von Ländern mit angemessenem Datenschutzniveau an, darunter die EU, die Schweiz, Kanada, Island, Norwegen und Liechtenstein. Bei Verstößen drohen Verwaltungsgeldbußen von 10.000 MAD bis 300.000 MAD pro Verstoß sowie Freiheitsstrafen von bis zu zwei Jahren.
Souveräne Cloud und DGSSI-Anforderungen
Das Dekret Nr. 2-24-921 etabliert einen Qualifizierungsrahmen für Cloud-Dienstleister, die sensible Informationssysteme im Sinne des Gesetzes 05-20 betreiben. Der Rahmen operiert auf zwei Stufen: Die Qualifizierung der Stufe 1 ist erforderlich, wenn verantwortliche Stellen und kritische Infrastrukturen Cloud-Dienste zur Bereitstellung oder Verwaltung sensibler Informationssysteme nutzen. Stufe 2 stellt zusätzliche rechtliche und technische Bedingungen auf und ist obligatorisch für den Umgang mit sensiblen Daten – sie stellt sicher, dass solche Daten auf Infrastrukturen verarbeitet werden, die von Einrichtungen kontrolliert werden, die ausschließlich der nationalen Gesetzgebung unterliegen. Hyperscaler-Implementierungen (AWS, Azure, ausländische SaaS-Anbieter), die marokkanische Regierungs- oder kritische Infrastrukturdaten hosten, müssen diesen Rahmen einhalten.
Cybersicherheit: Gesetz 05-20
Das Gesetz Nr. 05-20 über Cybersicherheit, verkündet im Jahr 2020, legt Sicherheitsvorschriften für staatliche Verwaltungen, öffentliche Einrichtungen und Betreiber vitaler Infrastrukturen (OIVs) mit sensiblen Informationssystemen fest. Die Direction Générale de la Sécurité des Systèmes d'Information (DGSSI), Marokkos nationale Cybersicherheitsbehörde unter der Nationalen Verteidigungsverwaltung, setzt das Gesetz und die DNSSI-Durchführungsrichtlinie durch.
Zu den wesentlichen Pflichten für OIVs gehören: Führung eines Verzeichnisses der Informationssysteme, das der DGSSI zur Verfügung steht; Durchführung von Audits sensibler Systeme mindestens alle zwei Jahre durch DGSSI-qualifizierte Prüfer; Ernennung eines dedizierten Beauftragten für die Sicherheit der Informationssysteme (RSSI); sowie die Erstellung von Geschäftskontinuitäts- und Notfallwiederherstellungsplänen. Telekommunikationsbetreiber, ISPs, Cybersicherheitsdienstleister, Anbieter digitaler Dienste und Online-Plattformbetreiber unterliegen ebenfalls den Pflichten des Gesetzes 05-20. Bei Nichteinhaltung können Strafen bis zu 1.000.000 MAD verhängt werden.
Kostenloses Erstgespräch buchen
KI: Marokkos entstehende Regulierung und die Reichweite der EU-KI-Verordnung
Marokkos Nationale KI-Strategie
Marokko verfügt noch über kein spezifisches KI-Gesetz, doch der Rahmen wird zügig aufgebaut. Die Roadmap „Maroc IA 2030", die im Anschluss an die Nationale Konferenz für Künstliche Intelligenz im Juli 2025 veröffentlicht wurde, zielt darauf ab, Marokko als regionales KI-Zentrum zu positionieren, mit Schwerpunkten auf Datensouveränität, Kompetenzentwicklung und KI-Integration in Schlüsselsektoren. Eine Nationale Agentur für KI-Governance wird für Ende 2026 erwartet, und die Einführung einer Nationalen Souveränen Cloud-Architektur wird neue Compliance-Anforderungen für KI-Entwickler in Bezug auf Datenresidenz mit sich bringen. Die CNDP veröffentlichte im März 2025 ein Kommuniqué, in dem sie signalisierte, dass KI-Verarbeitung unter dem bestehenden Gesetz 09-08 besondere Aufmerksamkeit hinsichtlich der Grundsätze der Transparenz, Fairness und Nichtdiskriminierung erfordert.
EU-KI-Verordnung: Extraterritoriale Reichweite nach Marokko
Nach Artikel 2 Absatz 1 Buchstabe c der EU-KI-Verordnung gilt diese für Anbieter und Betreiber von KI-Systemen, die in einem Drittland ansässig sind, wenn die vom KI-System erzeugten Ergebnisse in der Union verwendet werden. Dies hat unmittelbare Auswirkungen auf marokkanische Nearshoring- und BPO-Dienstleister, die EU-Kunden bedienen.
Anbieter, die KI-Systeme auf dem EU-Markt in Verkehr bringen oder in Betrieb nehmen, müssen die Verordnung einhalten – unabhängig von ihrem Niederlassungsort. Drittlandanbieter von Hochrisiko-KI-Systemen müssen einen Bevollmächtigten in der EU benennen.
Betreiber (Deployer) mit Sitz außerhalb der EU werden erfasst, wenn die Ergebnisse des KI-Systems im Hoheitsgebiet der EU verwendet werden.
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, dem KI-Büro technische Dokumentation vorlegen und das EU-Urheberrecht einhalten – unabhängig davon, wo das Modelltraining stattfindet. Die GPAI-Anforderungen traten am 2. August 2025 in Kraft.
Vertragliche Zuweisung in BPO-/Engineering-Verträgen
Nearshoring-Dienstleister müssen die Risikoverteilung nach der EU-KI-Verordnung in ihren Dienstleistungsverträgen regeln. Wesentliche Vertragsklauseln sollten Folgendes klären: ob der marokkanische Dienstleister als Anbieter oder Betreiber handelt; wer die Kosten der Konformitätsbewertung und Registrierung für Hochrisikosysteme trägt; die Zuweisung der Pflicht zur Benennung eines Bevollmächtigten; und wie die Dokumentations- und Urheberrechts-Compliance-Pflichten bei GPAI-Modellen zwischen den Parteien aufgeteilt werden. Wenn ein Betreiber ein Hochrisiko-KI-System wesentlich verändert oder seinen Namen darauf anbringt, wird er zum Anbieter und muss die Anbieterpflichten übernehmen.
Elektronische Signatur und E-Commerce
Gesetz 43-20 (Ersetzt Gesetz 53-05)
Das Gesetz Nr. 43-20 über Vertrauensdienste für elektronische Transaktionen, in Kraft seit dem 13. Juli 2023, hebt das Gesetz 53-05 über den elektronischen Austausch rechtlicher Daten auf und ersetzt es. Angelehnt an die EU-eIDAS-Verordnung erkennt es drei Stufen der elektronischen Signatur an – einfach, fortgeschritten und qualifiziert – sowie elektronische Siegel, Zeitstempel und Zustelldienste. Die DGSSI ist nun die nationale Behörde für Vertrauensdienste (und löst in dieser Rolle die ANRT ab), zuständig für die Zulassung qualifizierter Vertrauensdiensteanbieter (PSCos). Eine qualifizierte elektronische Signatur hat dieselbe Rechtswirkung wie eine handschriftliche Unterschrift.
Compliance-Checkliste für Tech- und Nearshoring-Unternehmen
Dieser Leitfaden dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. Die regulatorische Entwicklung in Marokko ist im Fluss – Unternehmen sollten vor Compliance-Entscheidungen qualifizierten Rechtsrat einholen.
