Guide_Securite_PEC_022024.pdf — page 45

45
POLE D'EXCELLENCE CYBER
Certains contrats de prestataires n’offrent pas les garanties nécessaires, d’autres refusent toute négociation quant aux clauses du 
contrat : pour rester en conformité avec la législation en vigueur il ne faudra en aucun cas sélectionner de tels prestataires ! En amont 
de la signature, les collectivités peuvent faire analyser le contrat par des spécialistes techniques et juridiques. Rappelez-vous qu’il s’agit 
d’un contrat par lequel vous autorisez une société tierce à entrer dans votre système informatique et à manipuler vos données et celles 
de vos administrés.  
• Inclure des clauses de sécurité dans le contrat  R6  :
- Les clauses liées aux contraintes légales : la localisation des données, la garantie de sécurité et de confidentialité, les réglementations 
spécifiques à certains types de données, notamment dans le cadre de traitement par un sous-traitant des données à caractère personnel 
les mentions particulières obligatoires1  doivent être incluses dans le contrat ; 
- Les clauses liées aux contraintes pratiques : les délais de prise en compte des incidents, les moyens d’intervention, d’assistance 
(hotline, téléphonique, présentiel), les horaires et les jours d’intervention, les tarifications supplémentaires ;
- La clause de transparence : si le prestataire fait appel lui-même à un sous-traitant, une autorisation explicite doit être demandée à la 
collectivité ;
- La clause de réversibilité et de résiliation du contrat : permet de changer de prestataire plus simplement.
En outre, il est recommandé de se référer à l’arrêté en date du 8 septembre 2018 portant approbation du cahier des clauses simplifiées 
de cybersécurité (CCSC2) , lequel contient un certain nombre de clauses auxquelles l’acheteur public peut décider de se soumettre 
volontairement. Le cahier des clauses simplifiées de cybersécurité est applicable, si le marché y fait référence, pour l’encadrement du 
contenu du plan d’assurance sécurité du Titulaire3 .
Les contrats d’hébergement souscrits par des entités publiques bénéficient d’un droit de rupture anticipée4, tel que prévu par le 
Cahier des clauses administratives générales (CCAG) relatif aux Techniques de l’Information et de la Communication (TIC). Il ne faut 
pas hésiter à changer de prestataire si celui-ci ne correspond pas aux exigences de la collectivité.
Pour aller plus loin, les collectivités peuvent s’appuyer sur le guide « Maitriser les risques de l’infogérance5 »  rédigé par l’ANSSI. 
Cette fiche contient  6  recommandations.
Références : 
https://www.cnil.fr/sites/cnil/files/typo/document/Recommandations_pour_les_entreprises_qui_envisagent_de_souscrire_a_des_
services_de_Cloud.pdf  
https://www.ssi.gouv.fr/guide/securite-numerique-des-collectivites-territoriales-lessentiel-de-la-reglementation/
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000037436658 
https://www.ssi.gouv.fr/uploads/IMG/pdf/2010-12-03_Plaquette_Externalisation.pdf
1 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28
2 https://www.marche-public.fr/Marches-publics/Definitions/Entrees/CCSC.htm
3 https://www.code-commande-publique.com/plan-dassurance-securite-pas/
4 https://www.decision-achats.fr/Thematique/achats-publics-1230/Breves/Tribune-Quelle-strategie-Cloud-secteur-public-333910.htm
5 https://www.ssi.gouv.fr/uploads/IMG/pdf/2010-12-03_Guide_externalisation.pdf