Pour une entreprise, choisir un prestataire de cybersécurité se joue en quelques rendez-vous, une démonstration et une négociation. Pour une collectivité territoriale, le chemin est différent : le besoin doit être formalisé par écrit, la mise en concurrence est encadrée et les critères de jugement sont connus des candidats avant même la remise des offres.
Ce cadre est souvent vécu comme une contrainte. Il constitue pourtant une occasion de clarifier ce que la collectivité attend réellement de sa protection, à condition que le cahier des charges soit pensé pour la cybersécurité et non recopié d’un achat informatique classique. C’est là que se jouent la plupart des mauvaises surprises : un marché attribué au moins-disant, pour un service de supervision qui ne mobilise en pratique presque personne.
→ Cybersécurité des collectivités territoriales : enjeux et obligations
Pourquoi la cybersécurité ne s’achète pas comme un équipement
Un photocopieur ou un lot de postes de travail se décrivent par leurs caractéristiques et se comparent sur pièces. La cybersécurité, elle, est d’abord un service dont la valeur se mesure surtout le jour où un incident survient. Un cahier des charges qui se contente d’énumérer des outils obtiendra des outils, livrés et installés, sans garantie que quelqu’un les surveille, les règle ou réagisse quand une alerte se déclenche.
Le même raisonnement vaut pour les offres remises. Une liste de produits impressionnante ne dit rien de la capacité du prestataire à interpréter les alertes, à intervenir rapidement ou à accompagner les équipes de la collectivité dans la durée.
Partir du risque avant de rédiger le besoin
La bonne méthode consiste à inverser l’ordre habituel : comprendre d’abord ce qu’il faut protéger, puis décrire le service attendu. Cette logique rejoint celle du RGS, dont la démarche d’homologation commence précisément par une analyse de risques propre à chaque système. Une collectivité qui l’a conduite dispose déjà de la matière nécessaire pour écrire un cahier des charges précis : les services critiques, les données sensibles, les systèmes dont l’indisponibilité paralyserait les usagers.
Lorsque cette analyse n’existe pas, un audit préalable, passé lui-même par une consultation distincte, évite d’acheter à l’aveugle une prestation dimensionnée sur des hypothèses.
→ Audit de cybersécurité : que contient-il vraiment ?
Le besoin gagne ensuite à être exprimé en résultats attendus plutôt qu’en moyens imposés : périmètre couvert, délai de prise en charge d’une alerte, plages horaires de supervision, fréquence et lisibilité des comptes rendus. Un candidat compétent saura proposer les moyens techniques adaptés. Un cahier des charges qui les impose tous fige au contraire une solution parfois dépassée avant même la fin du marché.
Sortir du réflexe du moins-disant
Le prix pèse naturellement dans une décision publique, mais le critère du prix seul se révèle particulièrement trompeur sur une prestation récurrente de cybersécurité. Pour un service de supervision, le coût dépend avant tout des moyens humains mobilisés. Une offre très inférieure aux autres sur ce type de prestation mérite donc d’être questionnée sur ce qui est réellement prévu : combien d’analystes, quelle disponibilité, quel niveau d’expertise.
Une pondération qui accorde un poids substantiel à la valeur technique, appréciée à partir de la méthodologie proposée, des moyens affectés, des délais d’intervention et de la qualité de l’accompagnement, protège la collectivité contre ce risque. Elle l’oblige aussi à décrire ses attentes assez précisément pour que ces critères soient réellement discriminants.
→ Expert cybersécurité PME : comment choisir le bon prestataire
Ce lien détaille les signaux qui distinguent un bon prestataire d’un autre. Ils valent pour une collectivité comme pour une entreprise, avec la contrainte supplémentaire d’avoir à les traduire en critères objectifs, publiés à l’avance.
Qualifications et labels : des repères à situer dans le cadre NIS2
Pour certaines prestations, des repères officiels existent. L’ANSSI qualifie des prestataires d’audit, de détection d’incidents, de réponse à incident et d’accompagnement en sécurité, et Cybermalveillance.gouv.fr décerne le label ExpertCyber à des prestataires de sécurisation, de maintenance et d’assistance. Ces marques attestent qu’un prestataire a été évalué selon un référentiel précis, ce qui les rend utiles pour apprécier un candidat.
Un point mérite d’être suivi de près. Le projet de loi français de transposition de NIS2 prévoit que les exigences spécifiques fixées par le Premier ministre aux administrations concernées, pour les systèmes d’information qui permettent des échanges électroniques avec le public et d’autres administrations, pourront prescrire le recours à des prestataires certifiés, qualifiés ou agréés, ou attacher à ce recours une présomption de conformité. Elles pourront aussi imposer des audits de sécurité réguliers par des organismes indépendants. Le texte est en cours d’examen et ces exigences n’existent pas encore : une collectivité concernée devra les consulter lorsqu’elles seront publiées, avant de rédiger son marché.
En dehors de ce cadre, une qualification reste un repère parmi d’autres. Elle porte sur une catégorie de prestation précise et ne dit rien, à elle seule, de l’adéquation d’une offre au contexte de la collectivité. Le plus sûr consiste à décider, prestation par prestation, si un tel repère est proportionné au besoin, puis à l’apprécier avec l’ensemble des autres critères. Les listes à jour sont publiées par l’ANSSI sur cyber.gouv.fr et par Cybermalveillance.gouv.fr.
Durée du marché et évolution des menaces
Un marché pluriannuel apporte de la stabilité, mais il engage la collectivité sur une période pendant laquelle les menaces, les outils et le système d’information évoluent. Un contrat figé sur un périmètre et des prestations définis à la signature risque de devenir inadapté bien avant son terme.
Plusieurs précautions limitent ce risque : prévoir la possibilité d’ajuster le périmètre en cours de marché, organiser un point de revoyure régulier sur les résultats obtenus, et choisir des modalités contractuelles qui permettent d’ajouter des prestations sans relancer une procédure complète. La réversibilité mérite aussi d’être anticipée dès la rédaction : à la fin du contrat, la collectivité doit pouvoir récupérer ses configurations, ses journaux et la documentation de son environnement pour ne pas dépendre durablement d’un seul prestataire.
Données, localisation et confidentialité
Une collectivité manipule des données qui concernent directement ses administrés : état civil, situations sociales, informations scolaires. Un prestataire de supervision accède, par construction, à des journaux d’événements qui reflètent l’activité de ce système d’information.
Quelques questions méritent d’être posées explicitement dans la consultation : où sont analysées et conservées ces données, quelles équipes y ont accès, selon quelles habilitations, et depuis quel lieu la supervision est assurée. Ces réponses pèsent dans l’évaluation de la confiance qu’une collectivité peut accorder à un prestataire, et elles se vérifient plus aisément lorsqu’elles sont demandées dès le départ plutôt qu’en cours d’exécution.
Prestataire et risque supply chain
Un prestataire de cybersécurité dispose, pour exercer sa mission, d’accès étendus au système d’information de son client. Il constitue donc lui-même un tiers de confiance dont la compromission aurait des conséquences importantes, ce qui place son choix dans la logique des attaques par la chaîne d’approvisionnement.
→ Cyberattaques supply chain : un risque sous-estimé
Cette réalité justifie d’inclure dans le marché des exigences sur la sécurité du prestataire lui-même : gestion de ses accès, cloisonnement entre ses différents clients, procédures en cas d’incident le concernant. Elle prend un relief particulier pour les collectivités concernées par NIS2 : le projet de loi de transposition prévoit que les mesures de sécurité couvrent aussi le recours à la sous-traitance.
→ NIS2 : quelles obligations et comment s’y préparer
Lots séparés ou prestation globale, seul ou à plusieurs
Deux choix d’organisation influencent fortement la qualité des réponses. Le premier concerne l’allotissement : distinguer l’audit, la supervision et la sensibilisation permet d’ouvrir la consultation à des acteurs spécialisés, mais multiplie les interlocuteurs et complique la coordination. Une prestation globale simplifie le pilotage, au risque de limiter la concurrence ou de diluer l’expertise. Il n’existe pas de réponse universelle : la taille de la collectivité, ses ressources internes et la maturité de son système d’information orientent la décision.
Le second concerne la mutualisation. Pour les communes de taille modeste, qui ne justifient pas à elles seules un marché dédié, le groupement de commandes ou le recours à une structure intercommunale ou à un centre de gestion permet d’accéder à des prestations qui resteraient hors de portée individuellement.
Anticiper plutôt que subir
Une collectivité qui lance son marché après un incident le fait dans les pires conditions : l’urgence réduit la marge de manœuvre pour comparer sérieusement les offres, et la pression politique pousse à décider vite. Intégrer la cybersécurité à la planification budgétaire pluriannuelle, comme n’importe quelle dépense de continuité de service, évite cette situation et permet de consacrer le temps nécessaire à un cahier des charges soigné.
→ Coût et ROI de la cybersécurité : comment raisonner son budget
Ce qu’il faut retenir
Réussir un marché de cybersécurité tient moins à la maîtrise des procédures qu’à la qualité de la réflexion qui les précède. Partir du risque réel, exprimer le besoin en résultats, accorder à la valeur technique un poids qui compte face au prix, anticiper la fin de contrat et interroger le prestataire sur son propre niveau de sécurité : chacune de ces étapes se prépare avant la publication de la consultation, jamais après.
Une collectivité qui y consacre ce temps obtient un partenaire capable de la protéger dans la durée. Celle qui se contente d’une liste d’outils au meilleur prix obtient, le plus souvent, un équipement supplémentaire que personne ne surveille.