La d\u00e9mo fonctionnelle s’\u00e9tait bien d\u00e9roul\u00e9e, les gestionnaires de contrats \u00e9taient enthousiastes, puis est venue la revue de s\u00e9curit\u00e9. La DSI a pos\u00e9 une seule question : sous quelle juridiction rel\u00e8ve ce fournisseur ? Personne n’avait la r\u00e9ponse. Une demi-proc\u00e9dure d’appel d’offres plus tard, la plateforme a finalement \u00e9t\u00e9 \u00e9cart\u00e9e. Non pas sur les fonctionnalit\u00e9s, mais sur la question de savoir o\u00f9 se trouvent les donn\u00e9es contractuelles et qui peut y acc\u00e9der juridiquement.<\/p>\n\n\n\n
Pour un logiciel de gestion des contrats europ\u00e9en<\/strong>, le choix repose de plus en plus sur la souverainet\u00e9 des donn\u00e9es. Depuis l’entr\u00e9e en vigueur des exigences de cybers\u00e9curit\u00e9, la question de la localisation de vos donn\u00e9es contractuelles est d\u00e9finitivement pass\u00e9e du d\u00e9tail informatique au crit\u00e8re d’appel d’offres. Solution nationale ou internationale, et qu’est-ce que cette diff\u00e9rence signifie concr\u00e8tement pour vos donn\u00e9es ?<\/p>\n\n\n\n Jusqu’\u00e0 r\u00e9cemment, le choix d’un logiciel portait sur les fonctionnalit\u00e9s. La plateforme pouvait-elle suivre les KPI, calculer les indexations, assurer le suivi des actions ? Cela reste important, mais ce n’est plus le premier obstacle. Dans le secteur public, la sant\u00e9 et l’enseignement, c’est de plus en plus la revue de s\u00e9curit\u00e9 qui d\u00e9cide si un fournisseur entre m\u00eame en ligne de compte.<\/p>\n\n\n\n Un cahier des charges pr\u00e9cise aujourd’hui litt\u00e9ralement o\u00f9 les donn\u00e9es peuvent \u00eatre h\u00e9berg\u00e9es, quelles certifications sont obligatoires et qui y a acc\u00e8s. Une collectivit\u00e9 qui r\u00e9dige un appel d’offres pour un logiciel de gestion des contrats doit inscrire la r\u00e9sidence des donn\u00e9es et la garantie RGPD comme exigences. Un \u00e9tablissement d’enseignement sup\u00e9rieur qui exige la norme ISO 27001 pour chaque nouvelle application voit \u00e0 travers les belles d\u00e9mos d\u00e8s que la juridiction reste floue. Le choix n’est pas rejet\u00e9 sur ce que le logiciel sait faire, mais sur l’endroit o\u00f9 vos donn\u00e9es aboutissent.<\/p>\n\n\n\n C’est le c\u0153ur du sujet, et pr\u00e9cis\u00e9ment l\u00e0 o\u00f9 de nombreux fournisseurs restent vagues. La r\u00e9sidence des donn\u00e9es indique o\u00f9 vos donn\u00e9es sont physiquement h\u00e9berg\u00e9es : dans quel centre de donn\u00e9es, dans quel pays. La souverainet\u00e9 des donn\u00e9es va plus loin : sous quel droit rel\u00e8ve la partie qui g\u00e8re ces donn\u00e9es.<\/p>\n\n\n\n Un exemple. Un fournisseur h\u00e9berge vos donn\u00e9es contractuelles dans un centre de donn\u00e9es \u00e0 Francfort. \u00ab Nos donn\u00e9es sont dans l’UE \u00bb, voil\u00e0 qui rassure. Mais si la soci\u00e9t\u00e9 m\u00e8re est am\u00e9ricaine, ce fournisseur rel\u00e8ve du CLOUD Act am\u00e9ricain. Cette loi oblige les entreprises am\u00e9ricaines \u00e0 remettre des donn\u00e9es \u00e0 leurs autorit\u00e9s, peu importe o\u00f9 se trouvent les serveurs. Vos donn\u00e9es sont alors bien en Europe, mais hors de la protection du seul droit europ\u00e9en.<\/p>\n\n\n\n C’est la distinction que fait un bon gardien informatique. \u00ab O\u00f9 se trouvent les donn\u00e9es ? \u00bb est la premi\u00e8re question. \u00ab Sous quelle juridiction rel\u00e8ve la partie qui peut y acc\u00e9der ? \u00bb tranche la question. Un centre de donn\u00e9es situ\u00e9 dans l’UE ne conf\u00e8re pas \u00e0 lui seul la souverainet\u00e9. Ce qui compte, c’est la combinaison de la localisation physique et du contr\u00f4le juridique.<\/p>\n\n\n\n Pour une entreprise commerciale sans donn\u00e9es sensibles, une solution internationale convient souvent parfaitement. Pour le secteur public, la sant\u00e9 et l’enseignement, la situation est diff\u00e9rente. Ces secteurs g\u00e8rent des informations sensibles et rendent des comptes \u00e0 des autorit\u00e9s de contr\u00f4le, \u00e0 un service de conformit\u00e9 interne ou \u00e0 un conseil municipal.<\/p>\n\n\n\n Prenons un gestionnaire de contrats dans un \u00e9tablissement de sant\u00e9 comptant 12 sites et 40 contrats externalis\u00e9s. Il doit pouvoir expliquer \u00e0 l’auditeur pourquoi un fournisseur a \u00e9t\u00e9 choisi. Les contrats comportent des liens fournisseurs vers des processus li\u00e9s aux patients. Si l’autorit\u00e9 de contr\u00f4le ou le service de conformit\u00e9 interne demande o\u00f9 se trouvent ces donn\u00e9es et qui peut y acc\u00e9der, \u00ab quelque part dans l’UE, je pense \u00bb n’est pas une r\u00e9ponse acceptable. La justification doit \u00eatre d\u00e9montrable, pas une supposition. Vous trouverez davantage d’exigences propres au secteur sur la page d\u00e9di\u00e9e \u00e0 la sant\u00e9<\/a>.<\/p>\n\n\n\n Ici, une position claire s’impose. Pour ces secteurs, la souverainet\u00e9 des donn\u00e9es n’est pas un luxe que l’on r\u00e8gle plus tard, mais une exigence que vous fixez d\u00e8s le d\u00e9but du parcours. Un fournisseur qui n’\u00e9choue qu’au stade de la revue de s\u00e9curit\u00e9 vous co\u00fbte des semaines, parfois une ann\u00e9e enti\u00e8re d’appel d’offres. Utilisez la question de la juridiction comme premier filtre, avant m\u00eame la d\u00e9mo fonctionnelle.<\/p>\n\n\n\n Il existe un angle mort dans de nombreux processus de s\u00e9lection. Vous achetez un logiciel de gestion des contrats pour ma\u00eetriser les risques fournisseurs, mais ce logiciel est lui-m\u00eame un fournisseur de votre cha\u00eene. La partie qui traite vos donn\u00e9es contractuelles est un maillon dont vous devez pouvoir rendre compte.<\/p>\n\n\n\n Les obligations de cybers\u00e9curit\u00e9 issues de la NIS2 s’appliquent d\u00e9sormais, sans d\u00e9lai de transition g\u00e9n\u00e9ral. Des milliers d’organisations y sont directement soumises. La r\u00e9glementation vous oblige \u00e0 ma\u00eetriser de mani\u00e8re d\u00e9montrable les cyberrisques de votre cha\u00eene de fournisseurs : savoir quels fournisseurs interviennent, quelles exigences figurent dans les contrats et quels engagements restent ouverts.<\/p>\n\n\n\n Un cadrage honn\u00eate s’impose : GRIP n’est pas un outil de cybers\u00e9curit\u00e9 ou de conformit\u00e9<\/a> et ne rend personne \u00ab conforme \u00e0 la NIS2 \u00bb. Ce que GRIP fait, c’est vous donner une prise sur le volet contractuel de ce devoir de vigilance. Et le logiciel avec lequel vous le faites doit lui-m\u00eame r\u00e9pondre aux m\u00eames exigences que celles que vous imposez \u00e0 vos autres fournisseurs.<\/p>\n\n\n\n Une courte liste de contr\u00f4le qui anticipe une revue de s\u00e9curit\u00e9 t\u00f4t dans le parcours plut\u00f4t que tard.<\/p>\n\n\n\nPourquoi la question \u00ab national ou international ? \u00bb compte soudainement<\/h2>\n\n\n\n
La r\u00e9sidence des donn\u00e9es n’est pas la souverainet\u00e9 des donn\u00e9es<\/h2>\n\n\n\n
Ce que cela signifie pour le secteur public, la sant\u00e9 et l’enseignement<\/h2>\n\n\n\n
Votre logiciel de gestion des contrats est lui-m\u00eame un fournisseur de votre cha\u00eene<\/h2>\n\n\n\n
Les questions \u00e0 poser \u00e0 chaque fournisseur<\/h2>\n\n\n\n
\n