Confier son informatique à un prestataire, c’est lui remettre les clés : comptes administrateur, accès à distance, sauvegardes, parfois la messagerie de la direction. C’est souvent la meilleure décision pour une TPE, une association ou une mairie. Mais c’est aussi un risque : selon le rapport DBIR 2026 de Verizon, un tiers (fournisseur, prestataire, partenaire) est impliqué dans 48 % des violations de données. Un prestataire mal sécurisé peut devenir la porte d’entrée vers tous ses clients à la fois. Voici 15 questions à poser avant de signer, et les réponses à attendre.
L’essentiel en 30 secondes
- Évaluez les compétences, mais surtout la sécurité des accès du prestataire à vos systèmes.
- Exigez des comptes nominatifs avec double authentification et la traçabilité des interventions.
- Faites préciser par écrit les délais d’intervention, la sauvegarde, le RGPD et la réversibilité.
- Les labels (ExpertCyber, qualifications de l’ANSSI) sont des repères utiles, pas des garanties absolues.
Compétences et engagements
1. Quels labels ou qualifications détenez-vous ?
Le label ExpertCyber, porté par Cybermalveillance.gouv.fr, distingue les professionnels compétents en sécurité pour les petites structures. Pour un audit ou une réponse à incident de grande ampleur, l’ANSSI qualifie des prestataires (PASSI pour l’audit, PRIS pour la réponse aux incidents).
2. Qui interviendra concrètement chez nous, et sous-traitez-vous ?
Vous devez connaître les intervenants et savoir si une partie du travail est confiée à un tiers, qui aura lui aussi accès à vos systèmes.
3. Quels sont vos délais d’intervention garantis ?
Délais écrits selon la gravité (blocage total, panne partielle, demande simple), horaires couverts et existence d’une astreinte.
4. Êtes-vous assuré en responsabilité civile professionnelle, et contre le risque cyber ?
Demandez l’attestation. Une erreur de manipulation ou une compromission du prestataire peut avoir des conséquences lourdes.
Sécurité de ses accès à vos systèmes
5. Comment accédez-vous à nos systèmes à distance ?
Réponse attendue : un outil de prise en main ou un VPN avec double authentification, sans port ouvert en permanence sur Internet, et si possible une acceptation de votre part pour chaque session.
6. Vos techniciens utilisent-ils des comptes nominatifs ?
Un compte « admin » partagé par toute l’équipe du prestataire empêche de savoir qui a fait quoi. Exigez des comptes individuels.
7. Où et comment stockez-vous nos mots de passe ?
Dans un coffre-fort de mots de passe chiffré, avec double authentification et droits limités aux techniciens concernés. Jamais dans un tableur partagé.
8. Comment sécurisez-vous votre propre système d’information ?
Les attaquants ciblent les prestataires pour atteindre leurs clients (voir l’attaque par le prestataire informatique). Interrogez le prestataire sur ses propres mesures : EDR, MFA, sauvegardes, sensibilisation.
9. Nous préviendrez-vous si vous êtes vous-même victime d’un incident ?
L’engagement de notification sans délai doit figurer au contrat.
Sauvegardes, mises à jour et incidents
10. Comment sont faites et testées nos sauvegardes ?
Réponse attendue : plusieurs copies dont une hors ligne ou immuable, des tests de restauration réguliers et un rapport (voir tester réellement la restauration).
11. Quelle est votre politique de mises à jour ?
Délais d’application des correctifs critiques, suivi des systèmes en fin de support, rapport périodique.
12. Que se passe-t-il en cas de cyberattaque ?
Qui fait quoi, dans quels délais, avec quels coûts ? Le prestataire doit pouvoir s’inscrire dans votre plan de réponse à incident.
Contrat, données et réversibilité
13. Le contrat comporte-t-il les clauses de sous-traitance RGPD ?
Dès que le prestataire peut accéder à des données personnelles, un contrat conforme à l’article 28 du RGPD est obligatoire (voir sous-traitance informatique et RGPD).
14. Qui détient la documentation de notre système ?
Inventaire, schéma réseau, mots de passe, procédures : vous devez y avoir accès à tout moment, et en recevoir une copie à jour.
15. Comment se passe la fin du contrat ?
La réversibilité prévoit la restitution des accès, de la documentation et des données, la suppression des accès du prestataire et une période de transition.
Les signaux d’alerte
| Réponse entendue | Pourquoi s’inquiéter |
|---|---|
| « On utilise le même mot de passe administrateur chez tous nos clients, c’est plus simple. » | Une seule fuite compromet tous les clients |
| « La double authentification, ça nous ralentit. » | Accès privilégiés protégés par un simple mot de passe |
| « Pas besoin de contrat, on se fait confiance. » | Aucun engagement de délai, de sécurité ni de réversibilité |
| « Les sauvegardes marchent, on n’a jamais eu de problème. » | Sauvegardes probablement jamais testées |
| « La documentation, c’est dans ma tête. » | Dépendance totale à une personne |
Questions fréquentes
Un prestataire local est-il préférable ?
La proximité permet des interventions sur site rapides et une meilleure connaissance de votre contexte. Elle ne dispense pas des mêmes exigences de sécurité.
Faut-il un audit avant de changer de prestataire ?
Un état des lieux est très utile : il fixe un point de départ objectif et facilite la passation. Le dispositif MonAideCyber de l’ANSSI propose aussi un premier diagnostic gratuit aux petites structures.
Peut-on garder la main sur certains accès ?
Oui, et c’est recommandé : conservez un compte d’administration « bris de glace » sous votre contrôle, mis sous scellé et testé périodiquement.
À quelle fréquence revoir la relation ?
Une revue annuelle des engagements, des accès et des incidents est un bon rythme.
Sources
- Verizon, Data Breach Investigations Report 2026.
- Cybermalveillance.gouv.fr, label ExpertCyber et prestataires référencés.
- ANSSI, catalogue des produits et services qualifiés.
- ANSSI, MonAideCyber.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous répondons volontiers à ces 15 questions : contactez-nous. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
