Public procurement notice: Contract Notice
Published: 2025-12-18
Buyer: REGION NORMANDIE
Country: FR
Region: FRK24
Contract type: Services
Procedure: Open procedure
CPV classification: 72220000: Systems and technical consultancy services | 72810000: Computer audit services | 80533100
Estimated value: 1800000 EUR
Submission deadline: 2026-01-23

Technical requirements: L'accord cadre a pour objet la fourniture de prestations d'analyses, audits, conseils, sensibilisation sur la sécurité des systèmes d'information et des données (cf. CCTP).
Les titulaires d'un marché en cours de fournitures de matériels, systèmes, applications ou autres dispositifs de la Région Normandie susceptibles d'être audités dans le cadre de ce marché ne pourront pas être candidats sur le lot 1 et/ou le lot 2.
Attribution d'un accord-cadre mono attributaire pour chaque lot. Les lots 1 et 2 donneront lieu à la conclusion de marchés subséquents et à l'émission de bons de commande. Le lot 3 donnera lieu à l'émission de bons de commande
Dume ou Dc1/Dc2 (www.economie.gouv.fr)
Déclaration concernant le chiffre d'affaires global et le chiffre d'affaires concernant les prestations objet du contrat, réalisées au cours des trois derniers exercices disponibles
Pour les lots 1 et 2 : Une déclaration du fait que les prestataires n'ont pas subi d'intrusion sur leur Si, ni de fuite de données au cours des 36 mois précédant la date d'ouverture des plis (mois en cours compris). Cette mesure ne concerne pas uniquement le Si utilisé pour les prestations mais l'ensemble du Si de l'entité.Si le candidat a subi une intrusion ou une fuite de données au cours des 36 derniers mois, il devra fournir :- Un rapport d'analyse rédigé par un tiers indépendant décrivant les causes et/ou non-conformités aux guides Anssi ayant provoqué l'incident. Le rapport devra proposer les mesures à mettre en oeuvre pour éviter une nouvelle défaillance ;- Un rapport d'audit par un tiers indépendant attestant que toutes les mesures préconisées par le rapport d'analyse ont bien été mises en oeuvre.Ces rapports seront mis à disposition du Rssi et du Dssi de la Région Normandie et pourront faire l'objet d'une clause de non-divulgation.Pour les lots 1 et 2 : Liste des principales prestations effectuées au cours des trois dernières années, indiquant le montant, la date et le destinataire. Elles sont prouvées par des attestations du destinataire ou, à défaut, par une déclaration du candidat
Consultation comportant des conditions d'exécution à caractère environnemental détaillées dans le CCAP. Début d'exécution de l'accord-cadre à compter de la date de notification du contrat. Prestations réglées par des prix unitaires. Prix révisables annuellement. Avance de 5,00 % accordée dans les conditions prévues au contrat. Délai global de paiement des prestations de 30 jours. Modalités de financement des prestations : sur fonds propres. Aucune clause de garantie financière prévue. Aucune garantie financière prévue en contrepartie du versement de l'avance
Attestation d'une assurance couvrant les risques liés à des prestations de test d'intrusion

Eligibility requirements: Dume ou Dc1/Dc2 (www.economie.gouv.fr)
Déclaration concernant le chiffre d'affaires global et le chiffre d'affaires concernant les prestations objet du contrat, réalisées au cours des trois derniers exercices disponibles
Pour les lots 1 et 2 : Une déclaration du fait que les prestataires n'ont pas subi d'intrusion sur leur Si, ni de fuite de données au cours des 36 mois précédant la date d'ouverture des plis (mois en cours compris). Cette mesure ne concerne pas uniquement le Si utilisé pour les prestations mais l'ensemble du Si de l'entité.Si le candidat a subi une intrusion ou une fuite de données au cours des 36 derniers mois, il devra fournir :- Un rapport d'analyse rédigé par un tiers indépendant décrivant les causes et/ou non-conformités aux guides Anssi ayant provoqué l'incident. Le rapport devra proposer les mesures à mettre en oeuvre pour éviter une nouvelle défaillance ;- Un rapport d'audit par un tiers indépendant attestant que toutes les mesures préconisées par le rapport d'analyse ont bien été mises en oeuvre.Ces rapports seront mis à disposition du Rssi et du Dssi de la Région Normandie et pourront faire l'objet d'une clause de non-divulgation.Pour les lots 1 et 2 : Liste des principales prestations effectuées au cours des trois dernières années, indiquant le montant, la date et le destinataire. Elles sont prouvées par des attestations du destinataire ou, à défaut, par une déclaration du candidat
Consultation comportant des conditions d'exécution à caractère environnemental détaillées dans le CCAP. Début d'exécution de l'accord-cadre à compter de la date de notification du contrat. Prestations réglées par des prix unitaires. Prix révisables annuellement. Avance de 5,00 % accordée dans les conditions prévues au contrat. Délai global de paiement des prestations de 30 jours. Modalités de financement des prestations : sur fonds propres. Aucune clause de garantie financière prévue. Aucune garantie financière prévue en contrepartie du versement de l'avance
Analyses, études, conseil et accompagnement
Attestation d'une assurance couvrant les risques liés à des prestations de test d'intrusion
Dume ou Dc1/Dc2 (www.economie.gouv.fr)Déclaration concernant le chiffre d'affaires global et le chiffre d'affaires concernant les prestations objet du contrat, réalisées au cours des trois derniers exercices disponibles
Les candidats doivent être en mesure de réaliser sur demande des prestations qualifiées Passi de niveau élevé ne relevant pas de la sécurité nationale.  En conséquence :  - Pour les prestations d'audit (lot 2) les candidats devront être inscrits sur la liste des prestataires qualifiés « Passi» niveau élevé de l'Anssi (Agence Nationale de Sécurité des Systèmes d'Information) sur les cinq domaines principaux (Audit d'Architecture, Audit de configuration, Audit de code source, Tests d'intrusion, Audit Organisationnel et physique).   Les candidats pourront également se prévaloir d'une qualification européenne équivalente, cette équivalence devant avoir été validée par l'Anssi ou l'Agence de l'Union européenne pour la cybersécurité (Enisa). Le candidat devra mentionner et fournir la décision d'équivalence. / Une déclaration du fait que les prestataires n'ont pas subi d'intrusion sur leur Si, ni de fuite de données au cours des 36 mois précédant la date d'ouverture des plis (mois en cours compris).  Cette mesure ne concerne pas uniquement le Si utilisé pour les prestations mais l'ensemble du Si de l'entité.  Si le candidat a subi une intrusion ou une fuite de données au cours des 36 derniers mois, il devra fournir : - Un rapport d'analyse rédigé par un tiers indépendant décrivant les causes et/ou non-conformités aux guides Anssi ayant provoqué l'incident. Le rapport devra proposer les mesures à mettre en oeuvre pour éviter une nouvelle défaillance ; - Un rapport d'audit par un tiers indépendant attestant que toutes les mesures préconisées par le rapport d'analyse ont bien été mises en oeuvre. Ces rapports seront mis à disposition du Rssi et du Dssi de la Région Normandie et pourront faire l'objet d'une clause de non-divulgation. /Liste des principales prestations effectuées au cours des trois dernières années, indiquant le montant, la date et le destinataire. Elles sont prouvées par des attestations du destinataire ou, à défaut, par une déclaration du candidat
Prestations d'audits
Liste des prestations similaires à la sensibilisation au hameçonnage pour des structures équivalentes (multisites, plus de 1 500 salariés)
Sensibilisation à l'hameçonnage

Winner: Tribunal administratif de Caen