L'achat de biens et services numériques par les administrations expose l'organisation à des risques technologiques et de conformité qui doivent être gérés dès la rédaction de l'appel d'offres et incorporés au contrat. Cet article fournit une checklist pratique, des principes à inclure et des exemples de clauses à adapter.

Pourquoi intégrer des clauses de cybersécurité dans les marchés

  • Réduire le risque opérationnel et la surface d'attaque liée aux fournisseurs et tiers.
  • Assurer le respect des cadres réglementaires applicables (par exemple GDPR, NIS2, règles européennes de résilience) par les prestataires.
  • Définir responsabilités, niveaux de service et mécanismes de contrôle pour les incidents, vulnérabilités et traitement des données.

Public cible

Services achats, gestionnaires de contrats, autorités contractantes, DPO, RSSI et équipes juridiques des administrations publiques et organismes qui lancent des marchés ou concluent des contrats informatiques.

Principes clés à insérer dans le cahier des charges

  • Security by contract : la conformité en matière de sécurité doit être une exigence contractuelle.
  • Proportionnalité : adapter les exigences au niveau de risque du service ou produit acheté.
  • Transparence de la chaîne d'approvisionnement : définir les responsabilités en cas de sous-traitance.
  • Vérifiabilité : prévoir le droit d'audit et d'inspection de l'autorité contractante.
  • Continuité et résilience : obligations concernant sauvegarde, continuité et restauration.
  • Protection des données et notification des incidents alignées sur les obligations légales.

Checklist opérationnelle pour la préparation du marché

  1. Identifier les actifs, données et processus critiques couverts par le contrat.
  2. Évaluer la catégorie de risque et définir des exigences de sécurité minimales.
  3. Spécifier les obligations réglementaires applicables à faire respecter par le fournisseur.
  4. Inclure des obligations de gestion des vulnérabilités (scans, correctifs, divulgation).
  5. Exiger des plans de réponse aux incidents et des délais maximaux de notification.
  6. Définir les droits d'audit et de test (y compris pen tests) avec conditions et limites.
  7. Réguler la sous-traitance : obligation pour le fournisseur de transmettre les mêmes exigences.
  8. Définir des SLA de sécurité mesurables (temps de restauration, temps de détection, taux de patching).
  9. Mettre en place des mécanismes de contrôle, formats de reporting et fréquences de revue.
  10. Prévoir des recours contractuels en cas de non-conformité (pénalités, résiliation, mitigation obligatoire).

Contrôles techniques et organisationnels à considérer

  • Contrôles d'accès et gestion des identités (principe du moindre privilège).
  • Journalisation et supervision avec conservation adaptée pour les enquêtes.
  • Chiffrement des données en transit et au repos lorsque nécessaire.
  • Configuration sécurisée et durcissement des systèmes.
  • Gestion des correctifs avec délais définis pour les mises à jour critiques.
  • Sauvegardes, plan de reprise d'activité et tests réguliers.
  • Protection de la chaîne d'approvisionnement logicielle (vérification des signatures, gestion des dépendances, SBOM si possible).
  • Programmes de formation pour le personnel du fournisseur et contrôle des accès physiques.

Exemples de clauses pratiques (à adapter et valider juridiquement)

  • Clause de conformité

    • « Le Fournisseur garantit le respect des lois applicables en matière de protection des données personnelles et de sécurité des réseaux et systèmes d'information, et fournira des preuves documentaires sur demande. »

  • Clause de notification d'incident

    • « Le Fournisseur informera l'Autorité contractante de tout incident de sécurité pertinent dans un délai de [temps proportionné, ex. 24/72 heures] après sa découverte, en précisant la nature, les impacts, les mesures prises et le plan de mitigation. »

  • Clause de gestion des vulnérabilités

    • « Le Fournisseur réalisera des scans périodiques, signalera les vulnérabilités critiques et appliquera les correctifs dans les délais convenus. Des rapports de remédiation seront fournis sur demande. »

  • Clause d'audit et de tests

    • « L'Autorité contractante a le droit d'effectuer des audits, inspections et tests d'intrusion, avec préavis raisonnable, ou de mandater des tiers autorisés ; le Fournisseur coopérera à ces opérations. »

  • Clause sur la sous-traitance et la supply chain

    • « Le Fournisseur reste responsable du respect des obligations de sécurité par ses sous-traitants et communiquera tout sous-traitant critique à l'Autorité contractante. »

  • Clause de responsabilité et pénalités

    • « En cas de manquement aux obligations de sécurité causant un préjudice à l'Autorité contractante, le Fournisseur sera tenu responsable et soumis à des pénalités contractuelles et obligations d'indemnisation, dans les limites du contrat et du droit applicable. »

Gestion du cycle de vie et post-marché

  • Prévoir des revues périodiques du contrat pour tenir compte de l'évolution des risques.
  • Imposer des procédures de sortie sécurisées (restitution/effacement des données, certification de suppression).
  • Définir des modes d'exit pour minimiser les impacts opérationnels et sécuritaires.

Recommandations rapides

  • Insérer les exigences de sécurité dès la conception de l'appel d'offres.
  • Rédiger des clauses claires, mesurables et vérifiables : l'imprécision crée des conflits.
  • Faire travailler conjointe-ment les services achats, la sécurité et le juridique pour calibrer les exigences.
  • Faire valider les clauses finales par le service juridique et le DPO/RSSI.

Adapter les clauses proposées au contexte spécifique et les soumettre à validation juridique et conformité. L'objectif est d'utiliser le procurement comme levier de réduction du risque numérique, pas seulement comme une formalité administrative.