Choisir un prestataire informatique se joue sur douze critères vérifiables : labels et qualifications officielles, compétences nommées, SLA écrit, capacité d'intervention sur site, plan d'assurance sécurité, contrat de sous-traitance RGPD, localisation des données, sauvegardes testées, exigences NIS2, réversibilité, procédure d'incident et solidité de l'entreprise. Tout le reste est commercial.
Quels sont les 12 critères à vérifier ?
- Solidité vérifiable : ancienneté, immatriculation, taille du parc géré.
- Labels et qualifications délivrés par un tiers : ExpertCyber, visa et qualifications ANSSI.
- Compétences nommées : qui intervient réellement, avec quelles certifications.
- SLA écrit : délai de prise en compte, délai de rétablissement, plages horaires, niveaux de criticité.
- Capacité d'intervention sur site et délai de déplacement contractuel.
- Plan d'assurance sécurité : accès distants, comptes d'administration, départ d'un salarié.
- Contrat de sous-traitance conforme à l'article 28 du RGPD.
- Localisation des données et des sauvegardes, juridiction applicable.
- Sauvegardes déconnectées, multipliées sur des supports distincts et testées en restauration.
- Prise en compte de NIS2 dans la chaîne de sous-traitance.
- Réversibilité : propriété des licences, documentation, restitution des accès.
- Procédure d'incident : chaîne d'appel, préservation des preuves, notification, escalade.
Le prestataire est-il solide et vérifiable ?
Vérifiez trois choses avant tout le reste : l'ancienneté, l'immatriculation et la taille du parc géré. Un numéro SIREN consultable, des comptes déposés et une date de création vous en disent plus qu'une plaquette. Demandez le nombre de clients professionnels suivis et le nombre d'appareils sous contrat : ce sont des ordres de grandeur qu'un prestataire sérieux donne sans hésiter. BISPRO, par exemple, est immatriculée depuis 2012 et suit 215 clients professionnels et 5 000 appareils, pour environ 5 000 interventions par an.
Quels labels et qualifications faut-il exiger ?
Exigez au minimum un label contrôlé par un tiers. Le label ExpertCyber est délivré après audit du dossier par AFNOR Certification, sur un référentiel construit par Cybermalveillance.gouv.fr et les syndicats professionnels du secteur. Il couvre la sécurisation, le maintien en condition opérationnelle et de sécurité, et l'assistance technique en cas d'incident, et il est valable deux ans. Vous pouvez vérifier vous-même la présence d'un prestataire dans l'annuaire de Cybermalveillance.gouv.fr, sans passer par lui. Pour des besoins plus réglementés, l'ANSSI délivre par ailleurs un visa de sécurité et qualifie des prestataires spécialisés : audit de sécurité (PASSI), réponse à incident (PRIS), détection d'incident (PDIS), informatique en nuage (SecNumCloud). BISPRO est labellisée ExpertCyber et référencée sur Cybermalveillance.gouv.fr.
Qui va réellement intervenir sur mon système ?
Demandez des noms et des certifications, pas un pôle d'experts anonyme. Les certifications constructeurs sont nominatives et vérifiables : elles attestent qu'une personne précise sait configurer l'équipement que vous allez lui confier. Trois questions suffisent : qui administrera mon pare-feu, quelle certification détient cette personne, qui prend le relais pendant les congés. Chez BISPRO, le dirigeant fondateur Nicolas Bourcier est certifié Stormshield CSNA et CSNE.
Faut-il exiger un SLA contractuel ?
Oui, écrit dans le contrat et non dans un e-mail commercial. Un SLA utile distingue le délai de prise en compte (GTI) du délai de rétablissement (GTR), précise les plages horaires couvertes, définit les niveaux de criticité et prévoit ce qui se passe quand l'engagement n'est pas tenu. Sans ces quatre éléments, la mention support réactif n'engage à rien. Demandez aussi le mode de suivi : un rapport mensuel d'interventions se vérifie, une promesse orale non.
Le prestataire peut-il intervenir sur site, et en combien de temps ?
Beaucoup de pannes ne se règlent pas à distance : commutateur mort, coupure d'accès opérateur, serveur qui ne redémarre pas, caméra hors ligne. Demandez la distance réelle entre votre site et le technicien le plus proche, puis faites inscrire un délai de déplacement dans le SLA. Pour une PME de Moselle ou une collectivité du bassin houiller, un prestataire installé dans le Grand Est peut intervenir dans la journée ; un centre de support à 600 kilomètres ne le fera pas.
Le contrat prévoit-il un plan d'assurance sécurité ?
C'est le document qui décrit comment le prestataire sécurise son propre accès à votre système. Le guide de l'ANSSI sur l'externalisation identifie trois risques majeurs : la perte de maîtrise du système d'information, les interventions à distance et l'hébergement mutualisé. Il recommande d'y répondre par un plan d'assurance sécurité et par des clauses contractuelles types intégrées au cahier des charges. Vérifiez au minimum comment les accès distants sont authentifiés, qui détient les comptes d'administration, et comment les accès d'un salarié qui quitte le prestataire sont révoqués.
Le contrat de sous-traitance RGPD est-il signé ?
Il est obligatoire dès que le prestataire touche à des données personnelles, ce qui est le cas de toute infogérance. L'article 28 du RGPD impose un contrat écrit prévoyant notamment : traitement sur instruction documentée, engagement de confidentialité du personnel, mesures de sécurité, autorisation écrite préalable avant de recruter un sous-traitant ultérieur, assistance pour répondre aux demandes d'exercice des droits, suppression ou restitution des données en fin de contrat, et mise à disposition des éléments nécessaires à vos audits et inspections. La CNIL publie des exemples de clauses réutilisables. Si l'on vous répond que c'est dans les conditions générales, demandez à voir le passage.
Où seront hébergées mes données ?
Demandez le pays, le nom du centre de données et l'identité de l'hébergeur final, y compris pour les sous-traitants du sous-traitant. Le chapitre V du RGPD encadre tout transfert hors Union européenne : en l'absence de décision d'adéquation de la Commission, il faut des garanties appropriées, par exemple des clauses contractuelles types. Un prestataire incapable de vous dire où sont vos sauvegardes ne pourra pas davantage documenter ce point le jour d'un contrôle. Posez la même question pour la téléphonie, la vidéosurveillance et la messagerie, pas seulement pour les fichiers bureautiques.
Les sauvegardes sont-elles déconnectées et testées ?
C'est le critère qui décide de votre survie après un rançongiciel. Cybermalveillance.gouv.fr recommande de déconnecter le support de sauvegarde après usage, car une sauvegarde restée branchée au réseau peut être détruite avec le reste ; de multiplier les copies sur des supports différents ; d'en conserver une dans un lieu distinct des données d'origine ; et de tester régulièrement la restauration. Deux questions tranchent le sujet : quand a eu lieu le dernier test de restauration réussi, et combien de temps a-t-il pris. Une sauvegarde jamais restaurée n'est pas une sauvegarde.
Le prestataire tient-il compte de NIS2 ?
Si votre structure entre dans le périmètre NIS2, votre prestataire devient une pièce de votre conformité. La directive (UE) 2022/2555 impose, à son article 21 paragraphe 2, un socle de mesures minimales qui inclut la sécurité de la chaîne d'approvisionnement, et notamment les aspects de sécurité des relations entre l'entité et ses fournisseurs ou prestataires de services directs (point d), ainsi que la continuité d'activité et la gestion des sauvegardes (point c). En France, la loi de transposition n'était pas promulguée à la date de rédaction de cet article ; l'ANSSI publie l'état d'avancement sur son espace MonEspaceNIS2. Un prestataire qui découvre le sujet devant vous ne vous aidera pas à documenter cette exigence.
Pourrai-je changer de prestataire sans tout perdre ?
Traitez la sortie avant l'entrée. Faites inscrire au contrat : la propriété des licences et des noms de domaine, la remise de la documentation technique et de l'inventaire du parc, la restitution des comptes d'administration et des mots de passe, la durée de la période de réversibilité et son coût. Un prestataire qui refuse de vous remettre les identifiants administrateur de vos propres équipements crée une dépendance, pas une relation de service. Le RGPD impose de son côté la suppression ou la restitution des données personnelles au terme de la prestation.
Que se passe-t-il pendant une cyberattaque ?
Demandez la procédure écrite, pas une intention. Qui appelez-vous à trois heures du matin, sur quel numéro, et qui décide d'isoler le réseau ? Le prestataire sait-il préserver les traces techniques avant de tout réinstaller, ce qui conditionne votre dépôt de plainte ? Vous aide-t-il à notifier la CNIL lorsque des données personnelles sont concernées ? Sait-il escalader vers un prestataire qualifié PRIS quand l'incident dépasse son périmètre ? Faites tester la chaîne d'appel une fois par an, hors incident réel.
Faut-il un seul prestataire ou plusieurs ?
Un interlocuteur unique réduit les zones grises, à condition que le périmètre soit réellement couvert. Le scénario classique du multi-prestataires : la téléphonie IP tombe, l'opérateur accuse le réseau local, l'intégrateur accuse l'opérateur, et personne ne se déplace. Listez ce que vous devez couvrir — postes de travail, serveurs, réseau, téléphonie IP, accès opérateur, hébergement, vidéosurveillance, alarme, sensibilisation des équipes — puis regardez ligne par ligne qui répond. BISPRO couvre ces domaines et est également opérateur télécom, ce qui supprime un renvoi de responsabilité fréquent.
Combien de temps faut-il pour vérifier tout cela ?
Une heure, si vous réclamez les pièces en amont. Demandez par écrit, avant tout devis : le contrat-cadre et ses annexes SLA, le plan d'assurance sécurité, le contrat de sous-traitance RGPD, l'attestation d'assurance responsabilité civile professionnelle, et la liste des labels et qualifications avec leurs dates de validité. Les prestataires capables d'envoyer ces cinq documents en quarante-huit heures constituent déjà une présélection utile.
Où vérifier ces informations vous-même ?
- Label ExpertCyber et annuaire des prestataires : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/label-expertcyber/decouvrir-le-label-expertcyber
- Comment trouver un professionnel qualifié (Cybermalveillance.gouv.fr) : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie
- Bonnes pratiques de sauvegarde (Cybermalveillance.gouv.fr) : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes
- Guide ANSSI sur l'externalisation et la sécurité des systèmes d'information : https://messervices.cyber.gouv.fr/guides/externalisation-et-securite-des-systemes-dinformation-un-guide-pour-maitriser-les
- Visa de sécurité et qualifications ANSSI : https://cyber.gouv.fr/le-visa-de-securite
- Article 28 du RGPD, obligations du sous-traitant (CNIL) : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- Exemples de clauses de sous-traitance (CNIL) : https://www.cnil.fr/fr/sous-traitance-exemple-de-clauses
- Transferts de données hors Union européenne, chapitre V du RGPD (CNIL) : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5
- Directive NIS2 (UE) 2022/2555, article 21 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32022L2555
- État d'avancement de la transposition NIS2 en France (ANSSI) : https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/