Les marchés publics de sécurité informatique

Les marchés publics de sécurité informatique

Depuis l’avènement de la société de l’information, la gestion des données et flux informationnels est d’une importance cruciale pour les organisations. Les systèmes d’informations se complexifient, et leur sécurisation devient un véritable impératif face à la sophistication des cyber‑attaques dont ils font l’objet.

Les établissements publics n’échappent pas à ce mouvement, et doivent veiller à l’intégrité des données de leurs usagers. En ce sens, la presse s’est fait l’écho de cyberattaques ayant ciblé respectivement l’hôpital de Corbeil‑Essonnes fin août 2022, et l’hôpital de Versailles au début du mois de décembre 2022. En réponse à cette menace – correspondant à environ une centaine d’attaques par an pour le seul domaine hospitalier - un renforcement des moyens financiers mis à la disposition des établissements de santé pour renforcer leur sécurité informatique a été annoncé.

Ainsi, une task‑force sera mise en place afin de mettre sur pied un nouveau projet de plan cyber pluriannuel massif, et 20 millions d’euros supplémentaires ont été débloqués par le gouvernement, en plus du budget prévu par la stratégie d’accélération pour la cybersécurité de France 2030.

Les acheteurs publics sollicitent un nombre croissant de services liés au fonctionnement et à la gestion de leurs systèmes d’informations, dans un domaine dont la forte technicité favorise le recours à des expertises tierces. Cela se traduit par la mise en ligne d’avis de marchés sur les plateformes dédiées.

En quoi consistent les marchés publics de sécurité informatique ?

Les besoins des systèmes d’informations des acheteurs publics sont variés, et l’on peut trouver des prestations différentes sous un même objet de marché de services ou de fournitures. Cependant, l’on détaillera ici les prestations les plus classiques, qui correspondent aux différents facteurs ayant une influence sur la sécurisation des systèmes d’informations.

Pour commencer, l’acquisition et la maintenance du système d’informations en lui‑même ainsi que des logiciels de protection constituent la base du système d’informations et de l’infrastructure de l’établissement public.

Par exemple, à l’occasion d’une consultation organisée en 2023 dans le cadre d’un groupement de commandes réunissant Citédia G.I.E., la S.P.L. Citédia Métropole, la S.A.E.M. Citédia Services et la S.A. Citédia Sécurité, un marché public avait été passé concernant la fourniture, la maintenance et le support des équipements informatiques réseaux et sécurité, serveurs, stockage et sauvegardes.

De manière générale, le but est d’élever le niveau de sécurité d’une infrastructure afin de répondre aux nouvelles menaces, telles que les ransomware (rançongiciel) et cyptolocker, les APT (Advanced Persistent Threats ou Menaces avancées et persistances) ou encore les malware sans fichiers. Les marchés portent alors spécifiquement sur l’acquisition de solutions de cybersécurité, licences antivirus et services associés, et les prestations comprennent l’installation, le paramétrage, le maintien en conditions opérationnelles et l’assistance.

A titre d’exemple, un marché peut ainsi avoir pour objet la fourniture et l’installation d’une technologie EDR (Endpoint Detection and Response), solution capable de détecter et de répondre aux activités suspectes sur les ordinateurs de bureaux, ordinateurs portables et autres terminaux d’une organisation, avec une analyse paramétrique et volumétrique plus élaborée qu’un pare‑feu classique.

D’autre part, lorsque les dispositifs de systèmes d’informations sont déjà en place, les acheteurs publics peuvent avoir besoin de recourir à un conseil extérieur, afin de mener une évaluation indépendante du niveau de sécurité des systèmes. A ce besoin correspondent de nombreux marchés ayant pour objet des prestations de conseil, d’expertise et d’assistance dans la cybersécurité des systèmes d’information. Il peut s’agir par exemple d’un audit d’architecture, de configuration, de code source, ou bien de tests d’intrusions ou de vulnérabilités, ou encore de faire établir un diagnostic de cybersécurité, à partir duquel l’acheteur public peut décider des mesures à mettre en place.

Pour finir, la sécurisation des systèmes d’information dépend également des moyens humains employés, et de leur capacité à réagir rapidement et adéquatement lors de la survenance d’une cyber‑attaques. Trois leviers peuvent être mentionnés ici.

• Premièrement, de manière croissante, des prestations de formation sont sollicitées par les acheteurs publics, désireux de faire monter en compétence leurs agents en matière de cybersécurité. Sont ainsi passés des marchés permettant des actions de sensibilisation et formation aux risques cyber, de phishing, ou bien de protection des données.

• Deuxièmement, la préparation aux éventuelles attaques passe par la réalisation d’exercices de crise, afin de pouvoir mettre en œuvre les procédures d’urgences dans des conditions analogues à celle d’une véritable cyber‑attaque. A l’aune des récentes cyber‑attaques ayant eu lieu à l’hôpital, de nombreux exercices de crises sont prévus pour renforcer la sécurité informatique des établissements de santé.

• Troisièmement, s’agissant d’un objet spécifique, il existe des marchés publics ayant pour but la mise en place d’un CSIRT (Computer Security Incident Response Team), des équipes d’experts en sécurité informatique à l’échelle d’une organisation ou d’un échelon territorial, chargés de réagir en cas d’incident informatique.         

Quel‑est l’intérêt pour une entreprise de répondre à un marché public de ce type ?

La diversité et le volume croissant des besoins des acheteurs publics en matière de sécurité des systèmes d’informations crée de nombreuses opportunités pour les entrepreneurs du secteur informatique, tant sur le plan du développement et de l’installation de solutions originales, que sur celui de la formation des agents aux nouveaux risques cyber.

Sur quelles plateformes peut‑on trouver ces offres de marchés publics ?

Régulièrement, des acheteurs publics (administrations ou communes par exemple) publient des offres de marchés publics sur des plateformes comme le Bulletin Officiel des Offres des Marchés Publics (BOAMP) ou sur le site marchés-publics.gouv.fr. Ces offres détaillent les conditions du marchés et l’objet précis de la prestation requise.

Quelles est la procédure à suivre pour devenir titulaire de ce type de marchés ?

Après le dépôt dans les délais d’une candidature, l’acheteur public entamera la phase de sélection des candidats pour le ou les lots du marché. L’acheteur public sélectionnera ensuite parmi ces candidats l’offre la plus avantageuse selon plusieurs critères de sélection détaillés dans le l’offre du marché. Lorsque l’offre d’un prestataire privé est retenue pour un ou plusieurs lots, le marché lui est par conséquent attribué, après l’attribution et la signature du marché, une date d’exécution de celui‑ci sera fixée. La bonne exécution du contrat donnera enfin lieu à un paiement des prestations par l’acheteur public.

Le cabinet Julie Giorno Avocat conseille régulièrement les entreprises informatiques de la cybersécurité dans le cadre de la passation et de l’exécution des marchés publics de cybersécurité.