Un contrat de prestation informatique standard traite du prix, des délais et de la responsabilité générale. Il ne traite presque jamais de ce qui se passe quand le prestataire est compromis.
Voici les clauses qui manquent le plus souvent, et celles qui sont désormais obligatoires.
Ce que le RGPD impose déjà
Dès qu’un prestataire traite des données personnelles pour votre compte, l’article 28 du RGPD impose un contrat écrit prévoyant notamment : l’objet et la durée du traitement, l’obligation de n’agir que sur instruction, la confidentialité des personnes autorisées, les mesures de sécurité de l’article 32, l’encadrement de la sous-traitance ultérieure, l’assistance en cas de violation, le sort des données en fin de contrat et la mise à disposition des éléments d’audit.
Ces mentions sont obligatoires. Leur absence est un manquement en soi, indépendamment de tout incident.
Les clauses qui manquent le plus souvent
La notification d’incident
Sans clause, vous apprendrez la compromission de votre prestataire quand il le décidera — parfois par la presse.
Ce qu’il faut préciser : le délai (en heures, pas « dans les meilleurs délais »), le canal, le contenu minimal, et le fait que la notification est due même en cas de simple suspicion. Cette exigence conditionne votre capacité à tenir vos propres délais réglementaires.
Le droit d’audit — ou son substitut
Beaucoup de prestataires refusent un audit sur site, ce qui se comprend à grande échelle. Le substitut acceptable : fourniture d’un rapport de certification en cours de validité, résultats de tests d’intrusion, réponse à un questionnaire avec justificatifs.
Ce qui n’est pas acceptable : aucune des deux options.
L’encadrement de la sous-traitance en cascade
Votre prestataire sous-traite. Son sous-traitant aussi. La clause doit prévoir une information préalable, un droit d’objection, et la répercussion des mêmes obligations tout au long de la chaîne.
C’est exactement ce que vise l’article 21.2 d) de NIS 2 sur la chaîne d’approvisionnement.
La réversibilité
Que récupérez-vous, sous quel format, dans quel délai, à quel coût ? Et qu’advient-il des copies résiduelles ?
Une clause de réversibilité sans format ni délai précis est inapplicable le jour où vous en avez besoin — c’est-à-dire quand la relation est déjà dégradée.
La localisation des données et des traitements
Y compris pour le support et l’administration. Un hébergement en Europe avec une équipe d’exploitation hors Union européenne est un transfert.
Les accès techniques
Le contrat doit acter que les accès sont nominatifs, ouverts à la demande pour une durée déterminée, soumis à authentification renforcée et journalisés. Sans cela, la mesure est difficile à imposer après la signature.
Les clauses qu’on écrit mal
« Le prestataire met en œuvre les mesures de sécurité conformes à l’état de l’art. » Inapplicable : personne ne saura trancher un désaccord. Préférez un référentiel nommé et un engagement vérifiable.
« En cas d’incident, le prestataire informera le client dans les meilleurs délais. » Aucun délai n’est opposable.
Une limitation de responsabilité au montant du contrat annuel. Fréquente, souvent acceptée sans discussion. Face au coût réel d’une compromission majeure, elle transfère l’essentiel du risque chez vous. Au minimum, exclure de ce plafond les manquements à la confidentialité.
Le cas des contrats en cours
Renégocier l’ensemble d’un portefeuille est irréaliste. La démarche proportionnée consiste à traiter en priorité les prestataires disposant d’un accès privilégié ou d’un service indispensable — critère de criticité, pas de montant facturé.
Pour les autres, un avenant type au renouvellement suffit.
Un point souvent oublié
Ces exigences fonctionnent dans les deux sens. Si vous vendez à des entités assujetties, vous recevrez ces clauses. Préparer un dossier de preuves réutilisable — politique, certifications, résultats de tests, plan de continuité — coûte moins cher que d’y répondre à chaque appel d’offres.
Sources
- Règlement (UE) 2016/679 (RGPD), article 28
- Directive (UE) 2022/2555 (NIS 2), article 21.2 d)
- ISO/IEC 27002:2022, mesures 5.19 à 5.23
- CNIL — guide de la sous-traitance
Aller plus loin
La revue contractuelle et la construction d’un référentiel d’exigences fournisseurs relèvent de nos missions de gouvernance, risques et conformité.