Un prestataire informatique ne se juge pas sur sa plaquette commerciale. Le filtre le plus fiable reste la lecture technique du contrat, la vérification du périmètre réel des certifications et la capacité du candidat à documenter ses engagements de sécurité face aux obligations réglementaires du client.
Périmètre des certifications : ce que couvre réellement l’attestation d’un prestataire informatique
Une certification ISO 27001 ou une qualification SecNumCloud affichée par un hébergeur ne garantit rien sur l’infogéreur qui administre le système au quotidien. Chaque attestation couvre un périmètre précis : entités, sites, services. Si le prestataire sous-traite l’hébergement à un tiers certifié mais gère lui-même l’administration, la certification du tiers ne s’étend pas à ses propres pratiques.
Avant de signer, demandez le certificat original et lisez l’annexe de périmètre. Vérifiez que les services vendus dans le devis correspondent aux services listés dans le certificat. Un prestataire sérieux fournit cette information sans hésitation.
Des acteurs comme ProInfo Services structurent leur offre autour de cette transparence, en détaillant les briques techniques couvertes par leurs propres qualifications et celles de leurs partenaires d’hébergement.
Questions à poser sur les certifications
- Quels sites et quels services figurent dans le périmètre audité de votre certification ?
- L’hébergement est-il opéré en propre ou sous-traité, et dans ce cas, le sous-traitant est-il certifié sur le même périmètre ?
- À quelle fréquence l’audit de renouvellement a-t-il lieu, et le dernier rapport est-il consultable ?
Obligations NIS2 et RGPD : responsabilités que l’externalisation ne transfère pas
L’externalisation informatique ne déplace pas la responsabilité juridique du client. En matière de RGPD, l’entreprise reste responsable du traitement des données personnelles, même si c’est le prestataire qui les manipule techniquement. En cas de violation, c’est le client qui doit notifier la CNIL dans un délai contraint.
Le contrat de sous-traitance doit donc organiser la chaîne d’alerte. Le prestataire s’engage à signaler toute violation au client dans un délai défini, avec un niveau de détail suffisant pour que le client puisse remplir ses propres obligations de notification.
Impact de la directive NIS2 sur le choix du prestataire
Un prestataire informatique peut être concerné par NIS2 de manière indirecte. Si l’entreprise cliente est assujettie à cette directive, elle doit obtenir de ses fournisseurs des garanties sur la gestion des accès d’administration, la tenue des journaux d’activité, le traitement des vulnérabilités et la remontée d’incidents.
Concrètement, interrogez le candidat sur trois points : sa politique de journalisation des accès privilégiés, sa procédure de gestion des vulnérabilités (fréquence des scans, délai de correction) et son processus de notification d’incident. Un prestataire qui ne sait pas répondre à ces questions n’est pas prêt à accompagner une entreprise soumise à des exigences sectorielles de cybersécurité.
SLA et engagements de service : lire le contrat d’infogérance au-delà du taux de disponibilité
Le taux de disponibilité affiché (souvent exprimé en pourcentage) ne dit presque rien s’il n’est pas accompagné de trois éléments : la méthode de calcul, les exclusions et les pénalités réelles.
- La méthode de calcul : le temps de maintenance programmée est-il exclu du calcul ? Si oui, un prestataire peut afficher un taux élevé tout en planifiant des fenêtres d’indisponibilité fréquentes.
- Les exclusions : les incidents liés à un fournisseur tiers (opérateur télécom, éditeur logiciel) sont-ils comptabilisés ou exclus du SLA ?
- Les pénalités : un avoir de quelques pourcents sur la facture mensuelle ne compense pas une perte d’exploitation. Vérifiez si le contrat prévoit un mécanisme de compensation proportionnel à l’impact réel.
- Le GTI (garantie de temps d’intervention) et le GTR (garantie de temps de rétablissement) : ces deux indicateurs sont distincts. Le premier mesure le délai avant qu’un technicien prenne en charge le ticket, le second le délai avant la résolution effective. Un GTI court avec un GTR flou n’a pas de valeur opérationnelle.
Nous observons que les contrats les plus robustes distinguent clairement les niveaux de criticité (P1 à P4) avec des GTI et GTR différenciés pour chaque niveau, assortis de pénalités progressives.
Réversibilité et dépendance technique : anticiper la sortie dès la signature
La clause de réversibilité conditionne votre liberté de changer de prestataire. Un contrat d’infogérance sans plan de réversibilité détaillé crée une dépendance technique qui se paie cher en cas de rupture.
La réversibilité couvre trois volets. Le premier est la restitution des données dans un format exploitable, pas un export propriétaire que seul le prestataire sortant sait lire. Le deuxième concerne la documentation technique : schémas réseau, inventaire des configurations, procédures d’exploitation. Le troisième porte sur la période de transition, pendant laquelle le prestataire sortant coopère avec le nouveau pour assurer la continuité de service.
Points de vigilance dans la clause de réversibilité
Vérifiez que le contrat précise le format de restitution des données, le délai maximal de transfert et le coût éventuel de la prestation de réversibilité. Certains prestataires facturent la réversibilité au temps passé sans plafond, ce qui peut représenter un levier de pression en cas de désaccord.
Un prestataire informatique fiable intègre la réversibilité comme un engagement contractuel standard, pas comme une option négociable en fin de discussion. Le plan de réversibilité se négocie avant la signature, quand le rapport de force est encore équilibré.
Le choix d’un prestataire informatique pour accompagner une entreprise au quotidien repose moins sur les promesses affichées que sur la lecture attentive du contrat, la vérification concrète du périmètre des certifications et la capacité du candidat à répondre aux exigences réglementaires du client. Un bon prestataire documente ses engagements, accepte la transparence sur ses limites et prévoit la sortie dès le premier jour.
