La relation entre un donneur d’ordre et son sous-traitant exige une vigilance contractuelle constante pour protéger les systèmes et les données. La gestion des serveurs, la cybersécurité et la conformité légale sont des éléments qui structurent cette relation.
Pour sécuriser un accord de sous-traitance, il faut formaliser les obligations de sécurité et la responsabilité du prestataire. Les éléments qui suivent précisent les clauses, preuves et démarches à privilégier.
A retenir :
- Clause de sécurité serveur et chiffrement des données
- Responsabilité financière et gestion des incidents
- Vérifications administratives et conformité régulière
- Propriété intellectuelle et licences d’exploitation
Sécurité des serveurs et obligation de sécurité du sous-traitant
Après ces repères, il convient d’examiner l’obligation de sécurité qui pèse sur le sous-traitant concernant les serveurs et les traitements. L’évaluation doit couvrir l’architecture serveur, la protection des accès et la capacité de détection des incidents.
Selon la CNIL, le sous-traitant doit fournir des garanties techniques et organisationnelles adaptées au risque de chaque traitement. Selon Legifrance, la loi impose aussi des règles sur la responsabilité contractuelle en cas de manquement graves.
Le point opérationnel suppose un plan de conformité et des preuves documentées, avec audits réguliers et rapports de tests. Cette préparation facilite le passage vers les clauses techniques et les obligations de conformité légale suivantes.
Documents à collecter :
- Extrait Kbis récent et preuve d’existence légale
- Attestation de vigilance URSSAF valide à la signature
- Preuve d’assurance responsabilité civile professionnelle
- Politique de sécurité informatique et registre des traitements
Élément
Objectif
Responsable
Preuve attendue
Cahier des charges
Définir périmètre fonctionnel
Donneur d’ordre
Annexe technique signée
Configuration serveurs
Sécuriser accès et stockage
Sous-traitant
Rapport de configuration
Plan de continuité
Assurer disponibilité des services
Sous-traitant
Tests de restauration
Registre des traitements
Traçabilité des opérations
Sous-traitant
Registre à jour
« J’ai vu un prestataire corriger ses procédures après un audit, la sécurité des serveurs s’en est trouvée renforcée. »
Alice D.
Clauses contractuelles prioritaires pour encadrer la responsabilité
En continuité de l’évaluation technique, la rédaction contractuelle doit préciser la responsabilité du sous-traitant pour chaque risque identifié. Les clauses doivent définir sanctions, assurances et modalités de réparation en cas d’incident majeur.
Selon URSSAF, la vigilance sur le statut du sous-traitant protège le donneur d’ordre contre des redressements éventuels et des risques financiers. Selon la CNIL, les clauses relatives à la protection des données renforcent la conformité légale et opérationnelle.
Cette section détaille les clauses à négocier, avec exemples et options contractuelles. L’enjeu est de couvrir à la fois la sécurité informatique et les risques juridiques liés aux serveurs.
Mesures techniques :
- Chiffrement des données au repos et en transit
- Gestion des accès basée sur les rôles et journaux d’accès
- Authentification multifacteur pour accès sensibles
- Surveillance continue et alerting centralisé
Protection des données et conformité RGPD
Ce point reprend l’obligation de sécurité en matière de protection des données, appliquée au traitement sur serveurs. Le contrat doit inclure engagements sur transferts hors UE et tenue du registre des traitements.
Un accord de sous-traitance bien rédigé impose des clauses précises sur la notification des violations et sur l’assistance au responsable de traitement. Ces clauses facilitent la gestion des risques après un incident.
« Nous avons intégré une clause de notification en trente-six heures, cela a changé la réactivité lors d’un incident. »
Marc T.
Propriété intellectuelle et licences d’exploitation
Ce volet explique qui détient les droits sur les logiciels et livrables développés pour le client. Il convient de distinguer briques préexistantes et développements sur mesure.
En pratique, le client doit obtenir une licence d’exploitation ou une cession des droits, et le contrat doit mentionner restrictions d’usage pour le sous-traitant. Cette précision évite les litiges futurs.
Organisation opérationnelle, gestion des risques et preuves
À la suite des clauses, il faut organiser la gouvernance opérationnelle pour aligner les équipes sur la sécurité et la conformité. La gouvernance couvre les plans d’action, les audits et la documentation exigée.
Selon la CNIL, les preuves d’audit et les tests d’intrusion comptent parmi les éléments justificatifs essentiels pour démontrer la conformité. Selon Legifrance, la loi impose des obligations spécifiques selon les secteurs d’activité.
Ce chapitre propose méthodes pratiques de contrôle, indicateurs et outils de suivi pour réduire l’exposition aux risques cybernétiques. L’objectif est d’assurer une traçabilité et une capacité d’intervention rapide en cas d’incident.
Contrôles périodiques recommandés :
- Audits de sécurité annuels et rapports d’exploitation
- Tests d’intrusion externes avec restitution corrective
- Vérification semestrielle des attestations administratives
- Revue des droits d’accès et des sauvegardes
Plan de continuité et réponse aux incidents
Ce segment détaille les étapes de réponse en cas d’incident affectant les serveurs et les données. Il décrit les rôles, les délais et les procédures de restaurations à mettre en place.
Exemple concret : une PME a remis en place un PRA après une panne majeure, réduisant les interruptions de service. Cette démarche prouve l’efficacité d’un plan formalisé et testé.
« Après la mise en place du PRA, nos temps d’arrêt ont chuté significativement lors d’une panne serveur. »
Sophie L.
Tableau comparatif des mesures de cybersécurité
Mesure
But
Fréquence
Impact attendu
Chiffrement complet
Protéger données au repos
Permanent
Réduction fuite
Authentification forte
Limiter accès non autorisé
Permanent
Réduction compromission
Sauvegardes régulières
Assurer restauration
Quotidien
Réduction perte
Monitoring et alerting
Détection précoce
Continu
Réduction impact
« La clause de pénalité nous a protégés financièrement après une faille importante, l’impact a été limité. »
Paul N.
Clauses recommandées :
- Clause de confidentialité et durée post-contractuelle
- Clause de cession des droits pour livrables spécifiques
- Clause d’audit et accès aux preuves
- Clause de résiliation pour manquement grave
Source : CNIL, « Sécurité : gérer la sous-traitance », CNIL, 2021 ; Legifrance, « Loi relative à la sous-traitance », Legifrance, 1975 ; URSSAF, « Attestation de vigilance », URSSAF, 2023.
