Guide_Securite_PEC_022024.pdf — page 44

44
POLE D'EXCELLENCE CYBER
FICHE N°12
........................................
EXTERNALISATION
Diverses raisons peuvent motiver une collectivité à externaliser (confier) la gestion de tout ou partie de son système d’information 
à des organismes sous-traitants, par exemple, l’absence des compétences nécessaires en informatique en interne ou pour des 
raisons budgétaires. Toutefois, le recours à la sous-traitance n'est pas une option sans risque, notamment en ce qui concerne la 
gestion des données à caractère personnel. En effet, la collectivité est responsable des données qu’elle détient et cela même si 
elle a un recours à un sous-traitant. Elle est donc dans l’obligation de s’assurer du bon traitement de ces données par ses sous-
traitants, aussi dans le strict cadre du règlement RGPD.
Les recommandations suivantes permettront aux collectivités de bien démarrer leur processus d’externalisation :
• Réaliser une analyse de risques  R1  : vous pourrez ainsi exiger du prestataire qu'il applique les mesures de sécurité appropriées, 
à mettre en œuvre au sein de la collectivité, qui découlent de cette analyse (voir le chapitre final « Mener une analyse de risques »).
• Définir clairement les ressources à externaliser  R2  : identifier les équipements, les outils logiciels et les données qui sont 
concernés par la sous-traitance, définir les différents niveaux de services attendus, dans le but de convenir d'un budget de référence.
• Demander explicitement aux prestataires répondant à l’appel d’offres un plan d’assurance sécurité (PAS1)   R3   ce document, à 
la fois juridique et technique, décrit l'ensemble des dispositions spécifiques que la société sous-traitante s'engage à mettre en œuvre 
pour garantir le respect des règles de sécurité informatique imposées par le client. Il facilite également la comparaison des offres. Une 
fois le prestataire retenu, le PAS doit être annexé au contrat et peut alors remplacer les clauses génériques de sécurité de ce dernier.
• Choisir un prestataire  R4  : faites appel à des sous-traitants qui sont soumis à la règlementation de l’Union européenne et au respect 
des principes européens en matière de protection des données personnelles, et de la loi Informatique et Libertés.
Privilégiez les prestataires qualifiés par l'ANSSI pour chaque typologie de besoins, par exemple SecNumCloud pour le stockage 
des données sensibles en externe.
Lorsqu’il s’agit d’externaliser le traitement des données de santé2 , le sous-traitant doit être titulaire d’un certificat de conformité délivré 
par des organismes de certification accrédités par l'instance française d'accréditation : la certification Hébergement des Données de 
Santé (HDS).
• Établir un contrat clair et précis  R5  : on désigne un contrat de sous-traitance informatique par le terme d’infogérance. Comme 
dans tout contrat qui se forme entre deux parties, le contrat d’infogérance doit définir :
- L’identification du prestataire et du client ;
- La date de formation, la durée initiale, le renouvellement et les modalités de résiliation ; 
- La facturation, les modalités de règlement et l’évolution tarifaire ; 
- Les responsabilités des deux parties ainsi que des clauses particulières.
1 https://www.ssi.gouv.fr/uploads/IMG/pdf/2010-12-03_Plaquette_Externalisation.pdf
2 Le traitement des données de santé est encadré par l’article L 1111-8 du Code de la santé publique et par le RGPD.