Construire le registre d'information

Ce qu'est réellement le registre

Ce n'est pas une liste de fournisseurs. C'est un ensemble de tables reliées, alimentant un modèle défini par les autorités européennes, qui décrit :

• les entités du groupe qui contractent ;
• les accords contractuels, avec leurs caractéristiques ;
• les prestataires, identifiés par un identifiant d'entité juridique ;
• les fonctions supportées, avec leur criticité ;
• les chaînes de sous-traitance pour les fonctions critiques ;
• les liens entre tous ces objets.

Le volume réel dépasse largement ce que la plupart des organisations anticipent : plusieurs dizaines de champs, une granularité au niveau du contrat et de la fonction, et une transmission annuelle à l'autorité compétente.

La méthode de construction

Étape 1 — Recenser les accords. Tous les contrats portant sur l'utilisation de services TIC, pas seulement l'externalisation au sens classique. Une licence logicielle en mode service est un accord TIC. Un hébergement, un service de messagerie, un outil de signature électronique également.

Étape 2 — Rattacher aux fonctions. Chaque accord est relié aux fonctions qu'il supporte, via la cartographie de l'article 8. Les accords ne supportant aucune fonction critique restent au registre mais avec un niveau d'exigence contractuelle allégé.

Étape 3 — Qualifier la criticité. Le contrat supporte-t-il une fonction critique ou importante ? Cette qualification détermine l'application des exigences renforcées de l'article 30.

Étape 4 — Tracer la sous-traitance. Pour les fonctions critiques, identifier les sous-traitants du prestataire. Cette information s'obtient par le contrat — elle doit y être exigée — ou par questionnaire.

Étape 5 — Identifier les prestataires. Chaque prestataire doit porter son identifiant d'entité juridique. C'est ce qui permet aux autorités d'agréger les dépendances à l'échelle européenne et d'identifier les prestataires critiques.

L'article 30 : les clauses obligatoires

Tous les contrats TIC doivent comporter un socle : description des services, lieux de traitement, dispositions sur les données, accès et restitution en cas de résolution, obligations de coopération avec les autorités, droits de résiliation, préavis.

Pour les fonctions critiques s'y ajoutent notamment :

• des niveaux de service quantitatifs et qualitatifs, avec objectifs précis ;
• des droits d'accès, d'inspection et d'audit sans restriction, y compris sur site ;
• l'obligation de participer aux tests de résilience, TLPT inclus ;
• une stratégie de sortie documentée ;
• des obligations d'assistance en cas d'incident, sans coût additionnel ou à coût prédéfini.

La mise à niveau d'un portefeuille existant prend généralement douze à dix-huit mois, car elle suppose de renégocier. La priorisation se fait par criticité de fonction, pas par montant de contrat.

La stratégie de sortie

Elle doit être documentée avant la signature et pouvoir s'exécuter sans interrompre la fonction critique. Quatre éléments :

1. Le scénario déclencheur : défaillance, résiliation, dégradation, changement réglementaire ;
2. La solution de repli : autre prestataire qualifié, internalisation, mode dégradé ;
3. Le délai estimé et les ressources nécessaires ;
4. La récupération des données : format, délai, vérification d'exploitabilité.

Le point 4 est le plus souvent défaillant. Récupérer un export dans un format propriétaire non documenté équivaut à ne rien récupérer. La clause doit exiger un format exploitable et, idéalement, un test de restitution périodique.