Clauses de sécurité dans un contrat informatique
Un contrat informatique solide ne remplace pas la sécurité du fournisseur, mais il fixe ce qu'on peut exiger, vérifier et réclamer. Voici les clauses qui comptent, par ordre d'importance, et les pièges de rédaction.
Les clauses de sécurité d’un contrat informatique sont souvent des paragraphes d’annexe que personne n’a lus au moment de signer et que tout le monde cherche le jour de l’incident. À ce moment-là, la question n’est plus de savoir si le fournisseur est sérieux, mais ce que le contrat permet d’exiger. Ces clauses de sécurité du contrat sont donc un instrument de pilotage, pas une formalité juridique.
Le guide qui suit s’adresse aux acheteurs, aux directions informatiques et aux juristes qui négocient avec un éditeur, un hébergeur ou un prestataire de services. Il ne remplace pas l’avis d’un juriste, qui reste nécessaire pour la rédaction finale.
Le principe : une clause qu’on ne peut pas vérifier ne vaut rien
« Le prestataire met en œuvre les mesures de sécurité appropriées » ne protège personne. La formule est vraie quoi qu’il arrive et n’est jamais vérifiable. Une bonne clause répond à trois questions : quoi (le niveau de sécurité attendu), comment le prouver (livrable, rapport, audit), et que se passe-t-il sinon (correction, pénalité, résiliation).
Les clauses indispensables
1. La notification des incidents
Le contrat doit fixer un délai court pour prévenir l’acheteur d’un incident affectant ses données ou son service, quelle que soit la cause. Le délai se compte en heures et non en jours. Il doit tenir compte de vos propres obligations : le RGPD oblige un responsable de traitement à notifier une violation de données personnelles à l’autorité de contrôle dans les 72 heures. Un sous-traitant qui vous informe au bout de cinq jours vous met hors délai.
Précisez le contenu minimal de la notification (nature de l’incident, données concernées, mesures prises) et un point de contact joignable en continu.
2. Le droit d’audit
L’acheteur doit pouvoir vérifier, directement ou par un tiers indépendant, que les mesures promises existent. Les fournisseurs de services mutualisés refusent souvent les audits sur site pour chaque client. Un compromis courant consiste à accepter les rapports d’audit indépendants (ISO 27001, rapports de type SOC 2) comme mode de preuve normal, en réservant l’audit direct aux cas d’incident, de doute sérieux ou de demande d’une autorité.
3. La sous-traitance en chaîne
Un fournisseur s’appuie presque toujours sur d’autres : hébergeur, support, outils de supervision. Le contrat doit obliger le fournisseur à vous en informer, à vous permettre de vous opposer à un changement significatif, et à répercuter sur ses sous-traitants les mêmes exigences de sécurité. L’article 28 du RGPD l’impose pour les traitements de données personnelles.
4. La localisation et l’accès aux données
Précisez où les données sont hébergées, où elles sont administrées, et qui peut y accéder à distance. Une donnée stockée dans l’Union européenne mais administrée depuis un pays tiers est soumise à des risques d’accès distincts. Pour les données sensibles, l’ANSSI propose le référentiel SecNumCloud pour les services d’informatique en nuage, utile comme point de comparaison même lorsqu’on ne l’exige pas.
5. Le chiffrement et la gestion des clés
Exigez le chiffrement des données au repos et en transit, et clarifiez qui détient les clés. Un chiffrement dont le fournisseur garde seul les clés protège du vol de disque, non de l’accès par le fournisseur lui-même.
6. La réversibilité et la fin de contrat
Le contrat doit indiquer dans quel format et sous quel délai les données sont restituées, pendant combien de temps le fournisseur continue d’assurer le service pendant la transition, et comment les données sont ensuite détruites, avec attestation. Cette clause se discute à la signature, quand le rapport de force est le plus favorable, et jamais au moment de partir.
7. La continuité et les sauvegardes
Fixez les objectifs de disponibilité, de temps de reprise et de perte de données acceptables, et l’obligation de tester la restauration. Une sauvegarde qu’on n’a jamais restaurée est une hypothèse.
Un niveau de service sans sanction ni preuve est un vœu. Associez chaque engagement à un indicateur mesuré, à une fréquence de rapport, et à une conséquence en cas de manquement répété.
Ce que la réglementation impose à certains acheteurs
| Texte | Qui est concerné | Effet sur le contrat |
|---|---|---|
| RGPD, article 28 | Tout responsable de traitement qui confie des données à un sous-traitant | Contrat écrit avec des mentions obligatoires : instructions, sécurité, sous-traitants, restitution ou suppression |
| NIS 2, article 21 | Entités essentielles et importantes | Gestion des risques liés à la chaîne d’approvisionnement, dont la sécurité des relations avec les fournisseurs |
| DORA, article 30 | Entités financières | Dispositions contractuelles détaillées pour les services TIC : niveaux de service, audit, résiliation, sortie |
La directive NIS 2 est en cours de transposition dans les États membres ; vérifiez le texte national applicable à votre organisation avant d’en tirer des obligations précises.
Négocier sans bloquer le projet
- Hiérarchiser Séparez les clauses non négociables (notification, sous-traitance, réversibilité) des clauses d’amélioration.
- Demander les preuves d’abord Rapports d’audit, politique de sécurité, plan de continuité : leur lecture indique ce que le fournisseur est prêt à s’engager à tenir.
- Adapter au risque Un outil de réservation de salles n’appelle pas les mêmes clauses qu’un système de paie.
- Prévoir le suivi Désigner côté acheteur la personne qui reçoit les rapports et vérifie qu’ils arrivent.
Une liste de contrôle avant signature
- Délai de notification d’incident exprimé en heures, avec contact permanent
- Droit d’audit ou accès aux rapports indépendants, avec périmètre précis
- Liste des sous-traitants et procédure de changement
- Lieux d’hébergement, d’administration et d’accès à distance
- Chiffrement et détention des clés
- Restitution et destruction des données à la sortie, format et délai
- Objectifs de reprise et test de restauration
- Conséquences chiffrées ou procédurales en cas de manquement
Pour préparer ces négociations avec une lecture indépendante du marché, notre expertise en neutralité et conseil indépendant décrit comment nous accompagnons les acheteurs, et la page gouvernance présente notre approche des référentiels et des politiques de sécurité.
Questions fréquentes
Un contrat doit-il imposer une certification ISO 27001 ?
Elle est un signal utile, mais le périmètre certifié doit couvrir le service acheté. Elle se complète par un droit d'audit et par la remise des rapports pertinents.
Quel délai de notification d'incident exiger ?
Le délai doit permettre à l'acheteur de respecter ses propres obligations. Le RGPD impose de notifier une violation de données à l'autorité sous 72 heures, ce qui oblige le sous-traitant à prévenir le responsable de traitement sans délai. Le contrat fixe une durée courte, en heures.
Que prévoit le RGPD pour les contrats avec un sous-traitant ?
L'article 28 impose un contrat écrit précisant l'objet, la durée, la nature du traitement, les obligations de sécurité, le recours à des sous-traitants ultérieurs, l'aide aux demandes des personnes et le sort des données en fin de contrat.
La réversibilité est-elle une obligation légale ?
Pas de manière générale. Elle est exigée dans certains secteurs, comme les entités financières soumises à DORA, et reste une bonne pratique partout ailleurs. Elle doit figurer au contrat.