Externalisation serveur : ce que le contrat doit dire

L’externalisation d’un serveur ou d’un système d’information se décide presque toujours sur une comparaison de prix mensuels. C’est le plus mauvais angle possible, parce que ce qui fait la valeur d’un contrat d’infogérance ne figure pas sur le devis : il figure dans quatre clauses, et une seule d’entre elles vous protège vraiment le jour d’une panne. Voici lesquelles, et comment les lire.

GTI et GTR : la confusion la plus coûteuse

C’est le premier piège des contrats français, et il se joue sur deux sigles voisins qui ne promettent pas du tout la même chose.

Sigle	Ce qu’il garantit	Ce qu’il ne garantit pas
GTI, garantie de temps d’intervention	Le délai au bout duquel quelqu’un commence à travailler sur l’incident	Que la panne soit résolue un jour
GTR, garantie de temps de rétablissement	Le délai au bout duquel le service fonctionne à nouveau	Que la cause soit corrigée durablement

Un contrat qui affiche une GTI de deux heures et aucune GTR ne vous promet rien d’autre qu’un accusé de réception rapide. Le prestataire peut ouvrir le dossier en deux heures et y travailler trois jours sans être en faute.

Vérifiez donc trois points sur cette clause : l’existence d’une GTR et pas seulement d’une GTI, les plages horaires couvertes, et le point de départ du décompte. Un engagement en heures ouvrées signifie qu’un incident du vendredi soir démarre son chronomètre le lundi matin.

RTO et RPO : les deux chiffres d’un plan de reprise

Dès qu’il est question de continuité, deux grandeurs doivent apparaître dans le contrat. Elles se confondent tout aussi facilement et elles mesurent des choses opposées.

• Le RPO, objectif de point de reprise, est la quantité de données que vous acceptez de perdre. Un RPO de vingt-quatre heures signifie qu’après un sinistre, vous repartez de la sauvegarde de la veille et que la journée écoulée est perdue.
• Le RTO, objectif de temps de reprise, est la durée d’interruption acceptée avant que le service redevienne disponible.

Ces deux valeurs se déduisent de votre activité, pas de l’offre du prestataire. Posez la question dans l’autre sens : combien d’heures de saisie pouvez-vous refaire, et combien de temps pouvez-vous rester arrêté ? Les réponses donnent le RPO et le RTO à exiger, et donc le prix à payer.

C’est précisément l’objet d’un plan de reprise ou de continuité d’activité, comme les dispositifs de PRA PCA proposés par les opérateurs spécialisés. Un plan qui n’énonce pas ses RTO et RPO n’est pas un plan, c’est une intention. Et la méthode de sauvegarde qui le sous-tend reste la même que celle décrite dans notre guide sur les sauvegardes automatiques d’un serveur.

La réversibilité, la clause qu’on négocie au début

C’est la clause la plus souvent absente et la plus difficile à obtenir après coup. Elle décrit ce qui se passe le jour où vous partez : dans quels formats vos données vous sont rendues, avec quelle documentation, dans quel délai, et à quel prix.

Sans elle, changer de prestataire suppose de reconstruire l’inventaire de votre propre système, souvent sans plans, sans mots de passe à jour et sans historique des modifications. Le coût réel d’une sortie mal préparée dépasse largement l’économie qui avait motivé le changement.

Trois éléments à exiger nommément : la restitution des données dans un format ouvert et exploitable, la documentation technique à jour de l’infrastructure, et une période d’accompagnement pendant le transfert. Le raisonnement est le même que pour la dépendance à un fournisseur de nuage, que nous détaillons dans notre article sur le choix entre sur site et cloud.

Ce que vous ne pouvez pas externaliser

La réserve est essentielle et elle est juridique autant que technique : vous pouvez déléguer l’exploitation, vous ne déléguez jamais la responsabilité.

Sur les données personnelles, le RGPD maintient le donneur d’ordre responsable du traitement. Le prestataire est sous-traitant, ce qui l’oblige, mais c’est vous qui répondez devant l’autorité de contrôle et devant les personnes concernées.

Sur la cybersécurité, la directive européenne NIS2, adoptée en 2022 avec une transposition attendue à l’automne 2024, élargit considérablement le périmètre des entités soumises à des obligations et introduit deux éléments qui changent la donne pour l’externalisation : la responsabilité de la chaîne d’approvisionnement, qui vous rend comptable du niveau de sécurité de vos prestataires, et l’engagement de la responsabilité des dirigeants. Contractualiser ne suffit donc plus : il faut pouvoir démontrer que l’on a vérifié.

Concrètement, cela signifie demander des preuves plutôt que des déclarations : rapports d’audit, certifications en cours de validité, comptes rendus de tests de restauration. Les mesures attendues du prestataire sont celles que nous décrivons dans notre article sur la sécurité d’un serveur.

Les quatre formes d’externalisation, et leur coût réel

• L’hébergement seul. Le prestataire fournit la machine et le réseau, vous administrez. Le moins cher, et celui qui suppose de garder la compétence en interne.
• L’infogérance d’infrastructure. Il administre le système, applique les correctifs, supervise. Vous gardez la main sur les applications.
• L’infogérance globale. Il prend aussi les applications métier. C’est là que la clause de réversibilité devient vitale.
• La maintenance applicative. Périmètre limité à un logiciel, souvent facturée au forfait avec un volume d’interventions plafonné : vérifiez ce plafond.

Le comparatif de prix doit porter sur le même périmètre, ce qui est rarement le cas d’un devis à l’autre. Ajoutez systématiquement les postes hors forfait : interventions sur site, projets d’évolution, dépassements de volume, et surtout astreinte de nuit et de week-end si votre activité l’exige.

Les questions à poser avant de signer

1. Y a-t-il une GTR, et pas seulement une GTI, et sur quelles plages horaires ?
2. Quels sont les RTO et RPO engagés, et quand a eu lieu le dernier test de restauration réel ?
3. Que prévoit la clause de réversibilité, en format, en délai et en prix ?
4. Qui détient les accès administrateur, et disposez-vous d’un accès de secours indépendant du prestataire ?
5. Quels postes sortent du forfait, et à quel tarif ?
6. Quelles preuves de sécurité le prestataire peut-il fournir, au-delà de ses déclarations ?

La quatrième question est celle qui embarrasse le plus, et c’est un bon indicateur. Une entreprise qui ne détient plus les accès à son propre système d’information n’a pas externalisé : elle a cédé. Les mécanismes de cloisonnement qui permettent de garder cette main sont ceux que nous décrivons dans notre article sur le rôle des pare-feu en entreprise.

Questions fréquentes sur l'externalisation informatique

Quelle différence entre GTI et GTR dans un contrat d'infogérance ?

La GTI garantit le délai au bout duquel le prestataire commence à traiter l’incident, la GTR le délai au bout duquel le service fonctionne à nouveau. Un contrat sans GTR ne promet donc qu’une prise en charge rapide, pas une résolution.

Que signifient RTO et RPO ?

Le RPO est la quantité de données que vous acceptez de perdre en cas de sinistre, le RTO la durée d’interruption acceptée avant retour du service. Ces deux valeurs se déduisent de votre activité et déterminent le niveau de plan de reprise à exiger.

Externaliser son informatique transfère-t-il la responsabilité ?

Non. Sur les données personnelles, le RGPD maintient le donneur d’ordre responsable du traitement, le prestataire n’étant que sous-traitant. La directive NIS2 ajoute une responsabilité sur la chaîne d’approvisionnement et engage les dirigeants.

Qu'est-ce qu'une clause de réversibilité ?

La clause qui décrit ce qui se passe à la fin du contrat : format de restitution des données, documentation technique remise, délai et prix de l’opération. Elle se négocie à la signature, jamais au moment du départ.

Combien coûte réellement une infogérance ?

Le forfait ne suffit pas à répondre. Il faut y ajouter les postes hors forfait : interventions sur site, projets d’évolution, dépassements de volume et astreinte de nuit ou de week-end, qui pèsent souvent davantage que l’écart entre deux devis.