Public procurement notice: Contract Notice
Published: 2024-01-26
Buyer: SNCF
Country: FR
Contract type: Services
Procedure: Negotiated procedure
CPV classification: 72000000 | 72200000 | 72220000: Systems and technical consultancy services | 72221000: Business analysis consultancy services | 72224000: Project management consultancy services
Estimated value: 150000000 EUR
Submission deadline: 2024-02-19
Award criteria: The most economic tender

Technical requirements: Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη
Destinée à l’ensemble des entités du GPU SNCF, la présente consultation a pour objet la mise en place d’un accord-cadre, constituant un véhicule contractuel de référencement de prestations intellectuelles informatiques, à l’usage des acteurs SSI.​
Cet accord-cadre a vocation à couvrir l’ensemble du cycle de vie des activités de la cybersécurité: phases d’émergence et de stratégie, de conception et de réalisation, de support et de maintien en conditions opérationnelles de sécurité, ainsi que de prestations complémentaires et d’expertises propres à la fonction SSI.
Le lot 1 regroupe les métiers contribuant au pilotage de la démarche de sécurité, ainsi que les métiers visant à mettre en œuvre les projets de sécurité des SI.
Ce lot comprend des missions permettant de couvrir les opérations d’émergence des projets (identification des risques, définition des exigences de sécurité, mise en conformité réglementaire, cadrage contractuel, stratégie de test, recette), de concevoir les solutions adaptées aux besoins (urbanistes, architectes), d’intervenir en expertise sur les solutions mises en place ou d’évaluer des solutions de marché (ingénieur, experts). Des missions d’accompagnement métier (sensibilisation, formation, méthodologie, posture) y sont également couvertes.
On retrouvera également dans ce lot l’ensemble des activités d’Assistance à la Maîtrise d’Ouvrage aussi bien sous un angle gouvernance (conception de la stratégie, cartographie des risques, réalisation de référentiels, évolution de la PSSI, aide à la certification, etc.) que sous un angle technico fonctionnel (outils et solutions SSI dans le cadre de projet d’acquisition, d’intégration ou de développement, de Maintien en Condition Opérationnelle).
Ces missions peuvent être ponctuelles, ou couvrir un besoin pérenne par la mise en œuvre d’un dispositif dédié (Centre de Service et/ou d’expertise) afin de réduire les coûts et d’optimiser les délais de réponse aux demandes des clients internes du Groupe et de ses filiales.
Le lot 2 regroupe les métiers techniques qui assurent la prise en compte de la sécurité dans la conception des SI, l’expertise sur la sécurité d’un domaine particulier, la définition d'architecture sécurisée, l’administration des solutions de sécurité, etc.
Ce lot comprend des missions prenant en compte les aspects de sécurité SI dans le cadre de la conception (design de l’architectures, paramétrages, choix des solutions techniques, des éditeurs, des fournisseurs et des stratégies de tests) et de la réalisation d’un projet informatique ou métier, des missions d’accompagnement et de formation Métier et/ou IT afin de vérifier que les solutions techniques et fonctionnelles proposées répondent aux exigences de sécurité identifiées.
Ce lot comprend également des missions de conseil, d’assistance, d’information, de formation et d’alerte, pouvant intervenir directement sur tout ou partie d’un projet qui relève d’un domaine d’expertise (système, réseau, postes de travail, composants industriels, IoT, Active Directory et IAM, code et solutions de développement, cloud, Intelligence Artificielle, etc.) que ce soit dans les phases d’étude, de mise en œuvre ou de maintien en conditions de sécurité.
On retrouvera également des missions d’audits et de contrôle des processus de sécurité assurant la conformité aux politiques internes et aux réglementations qui s’appliquent à l’organisation ; des missions contrôlant les politiques et règles de sécurité définies pour assurer que le maintien en conditions de sécurité sont mises en œuvre, respectées et efficaces ; des missions identifiant les vulnérabilités et proposant des actions de remédiation ; des missions collaborant avec les juristes et le DPO si le projet intègre le traitement de données à caractère personnel.
Ces missions peuvent être ponctuelles, ou couvrir un besoin pérenne par la mise en œuvre d’un dispositif dédié (Centre de Service et/ou d’expertise) afin de réduire les coûts et d’optimiser les délais de réponse aux demandes des clients internes du Groupe et de ses filiales."
Le lot 3 regroupe des missions d’identification de menaces, de vulnérabilités, sur un objet technique du SI conventionnel (Application Web, Application mobile, Plateforme, environnements, etc.) hébergé OnPremise, dans le Cloud, ou chez un hébergeur partenaire, sur l’ensemble du Groupe et ses filiales.
Ces missions s’appuient sur la réalisation d’audits SSI applicatifs, d’audits de processus et/ou de configuration d’une cible ou d’un périmètre convenu à l’avance lors d’une réunion de cadrage avec le(s) projet(s) concerné(s), à la demande du RSSI/RCS responsable du périmètre SSI.
Les missions donnent lieu à un ou plusieurs livrables, désignant les menaces et vulnérabilités identifiées sur l’objet technique ciblé par l’audit, le score CVSS, la criticité, la priorité, l’exploitabilité et l’impact de chacune d’elles, ainsi que la ou les recommandation(s) associée(s) pour procéder à la mise en œuvre des remédiations.

Eligibility requirements: Les candidats doivent joindre à leur acte de candidature les documents et les renseignements suivants (En cas de candidature groupée, chacune des pièces exigées ci-après doit être transmise par chacun des membres du groupement) : - Justifier de l'existence légale de l'entreprise, avec le numéro d'immatriculation au Registre du Commerce et des Sociétés (ou équivalent) - L'imprimé DC1 intitulé "Lettre de candidature - Désignation du mandataire par ses cotraitants" dûment complété - L'imprimé DC2 intitulé "Déclaration du candidat individuel ou du membre du groupement" dûment complété Ces documents sont à se procurer par internet à l’adresse suivante : https://www2.economie.gouv.fr/daj/formulaires-declaration-du-candidat Si le candidat s'appuie sur les capacités d'un autre opérateur économique, il doit compléter la rubrique H du formulaire DC2 et fournir la preuve des moyens et compétences de l'entreprise tierce dont il se prévaut. Cette preuve doit prendre la forme d'une obligation juridiquement contraignante. Pour les ESAT : l'agrément préfectoral relatif à la création de l'établissement ou pour les EA, le Contrat pluriannuel d’objectifs et de moyens (CPOM) ou le Contrat d’objectif triennal (COT) en cours de validité à la.date limite de remise des offres ou la preuve de la structure équivalente.

Award value: 150000000