Infogérance et DSI externalisée

Le marché confie à un prestataire unique l’exploitation courante du SI, le support des utilisateurs, l’administration des systèmes et infrastructures, le suivi de la sécurité et la coordination des intervenants techniques. Le périmètre combine un RUN récurrent et des projets ou transformations commandés séparément.

Le RUN couvre notamment les postes, les comptes et habilitations Active Directory, le tenant Microsoft 365, les serveurs, les réseaux relevant du périmètre, la supervision, les incidents et demandes, les installations, mises à jour et correctifs, ainsi que la gestion du parc, des garanties, des capacités et des performances. L’administration Microsoft 365 comprend notamment les comptes, groupes, licences, rôles privilégiés, Exchange Online et Teams; OneDrive et SharePoint sont administrés selon le périmètre retenu. Les usages Microsoft 365 des enseignants ne doivent pas être étendus au-delà du périmètre autorisé.

Le support est un guichet unique accessible par portail de tickets, courriel ou téléphone. Le système de tickets permet qualification, priorisation, affectation et escalade vers un tiers sans renvoyer l’utilisateur, traçabilité, échanges et notifications, clôture et statistiques. Des droits différenciés, des workflows de validation ou de contrôle et des tableaux de bord par statut, ancienneté, délais, cause, site, service et priorité sont prévus.

Infrastructures, sécurité et continuité

L’administration des serveurs comprend supervision, mises à jour, gestion des ressources et journaux, sauvegarde des configurations, diagnostic et traitement des incidents. L’existant décrit notamment un serveur HPE ProLiant DL380 Gen10 sous Windows Server 2022 Standard avec Hyper-V, des VM d’infrastructure et de fichiers, GLPI, des services d’impression, des applications métiers et une infrastructure RDP/TSE. Le réseau mairie/centre technique comprend notamment adressage, VLAN, équipements actifs, Wi-Fi, pare-feu, interconnexions, documentation et sauvegarde des configurations; les références de matériel existant ne sont pas des prescriptions de marque.

Au démarrage, les réseaux scolaires restent exploités par le prestataire spécialisé existant : le titulaire assure le diagnostic de premier niveau, la qualification, l’ouverture et le suivi des tickets, les relances, l’information de l’utilisateur et la validation du rétablissement. Une reprise ultérieure de leur administration doit rester possible. Pour les équipements EDR/antivirus, les copieurs, la téléphonie mobile, la téléphonie Teams, les équipements pédagogiques et les applications métiers, le rôle initial porte notamment sur la coordination avec les prestataires ou éditeurs concernés.

La cybersécurité comprend le suivi des correctifs et vulnérabilités, des dispositifs de sécurité, des comptes privilégiés, habilitations, accès distants et MFA, l’alerte et le traitement des incidents, la contribution aux procédures de crise et la sensibilisation des utilisateurs. Les équipements hors réseau restent dans le périmètre de maintien en conditions opérationnelles et de sécurité : inventaire, contrôles adaptés à leur isolement, mises à jour manuelles lorsque nécessaires, traçabilité et signalement des vulnérabilités résiduelles. Les comptes Active Directory ou Microsoft 365 sans poste attribué sont également administrés; cela n’étend pas la responsabilité du titulaire aux équipements personnels.

Les sauvegardes font l’objet d’une supervision et d’un contrôle quotidiens, d’un rapport journalier de statut, du traitement des anomalies et d’au moins un test de restauration par an avec compte rendu. Le titulaire documente les périmètres sauvegardés, rétentions, RPO et RTO, contribue au PRA et maintient une copie des données et systèmes essentiels protégée contre la modification ou suppression malveillante, par sauvegarde hors ligne ou dispositif immuable d’un niveau équivalent.

Support de proximité, parc et coordination

La présence sur site est obligatoire : deux journées hebdomadaires en mairie pendant le premier mois, puis une journée hebdomadaire en mairie, ainsi qu’un passage mensuel dans chaque école et chaque structure périscolaire ou centre de loisirs. Les passages donnent lieu à un relevé synthétique; une intervention hors permanence doit rester possible lorsque la criticité le justifie.

La gestion du parc inclut inventaire détaillé (équipement, série, modèle, utilisateur, service, site, acquisition, garantie, état, âge et renouvellement), préparation et affectation des postes, restitutions, stocks, matériel de secours, effacement sécurisé, réaffectation, sortie de parc et recyclage ou seconde vie. Pour les acquisitions ou renouvellements, le titulaire recherche et présente, sauf impossibilité justifiée, trois devis comparables; la commande est passée par la collectivité. Un plan pluriannuel de renouvellement est produit annuellement.

Les ordres de grandeur indicatifs mentionnent environ 50 postes d’agents municipaux; l’annexe distingue 50 postes fixes et 20 portables. Sont aussi indiqués 30 PC enseignants, 30 classes, environ 10 copieurs, 10 téléphones mobiles, un serveur principal et un ancien serveur de secours, environ 6 machines virtuelles, environ 12 sites et 10 à 15 éditeurs métiers. Le périmètre comprend 148 comptes Microsoft 365; les licences mentionnées sont 79 online plan 1, 67 basic, 1 standard, 37 Microsoft Teams Phone et 1 Project Planner. Les équipements hors réseau, comptes sans poste et équipements nécessitant des mises à jour manuelles sont à inventorier lors de la reprise. Ces volumes sont indicatifs et doivent être consolidés.

La coordination des prestataires et éditeurs comprend qualification, identification du responsable, collecte et transmission des informations, ouverture et suivi des dossiers, relances, organisation des échanges, tests, information de la collectivité et clôture documentée. Le titulaire maintient un dossier d’exploitation du SI couvrant notamment architecture, réseaux, serveurs, parc, applications, sécurité, sauvegardes/PRA, prestataires, procédures et historique; les changements significatifs entraînent sa mise à jour et une revue formelle de cohérence est réalisée au minimum annuellement.

Transition, projets et engagements de service

La reprise comprend réunion de lancement, collecte des contrats, licences et accès, inventaires matériels et logiciels, analyses Microsoft 365, Active Directory, réseau et sauvegardes, revue des comptes privilégiés et accès distants, cartographie des responsabilités, recensement des tiers et éditeurs, analyse des risques et obsolescences et préparation de la communication. Les livrables comprennent notamment inventaire consolidé, cartographies, état des comptes et habilitations, état Microsoft 365, matrice des applications, état des sauvegardes, résultat d’au moins un test de restauration documenté, analyses des risques et obsolescences, plan d’actions priorisé et première version du dossier de référence SI.

Les migrations, refontes d’infrastructure, déploiements massifs, déménagements informatiques, transformations réseau, projets de cybersécurité ou Microsoft 365, migrations applicatives, reprises de périmètre et audits techniques spécifiques sont cadrés avec objectifs, périmètre, livrables, charge, planning, responsabilités, risques, prérequis et recette. Une prestation n’est pas hors RUN du seul fait de sa complexité, de sa durée ou des compétences nécessaires; toute prestation hors forfait doit être justifiée comme évolution ou transformation distincte et validée au préalable. Des interventions exceptionnelles peuvent concerner les horaires nocturnes, samedis, dimanches, jours fériés, astreintes, crises ou présences exceptionnelles; le besoin potentiel est estimé à environ 8 jours par an.

Les minima de service prévoient, pour P1 critique, une prise en compte sous 30 minutes et un rétablissement ou contournement sous 4 heures ouvrées, ou une mobilisation continue jusqu’au contournement; pour P2 majeure, une prise en compte sous 1 heure ouvrée et un rétablissement sous 1 jour ouvré; pour P3 standard, une prise en compte indiquée à « 4 ouvrées » et un rétablissement sous 2 jours ouvrés; pour P4, une prise en compte sous 1 jour ouvré et un délai de résolution convenu. Les délais sont calculés sur la plage de service contractuelle. Lorsque le traitement dépend d’un tiers, le titulaire reste tenu au diagnostic, à la transmission, à l’escalade, aux relances, au suivi et à l’information; les délais imputables au tiers font l’objet d’un indicateur distinct.

Le reporting mensuel est mis à disposition au plus tard trois jours ouvrés après la fin du mois; il suit notamment tickets, SLA, incidents récurrents, délais tiers, disponibilité, sauvegardes, tests de restauration, parc, obsolescences, correctifs, alertes de sécurité, licences, projets, risques et décisions attendues. La réversibilité comprend inventaires, documentation, configurations, historiques, procédures, données de ticketing et de supervision nécessaires, informations Microsoft 365 et éléments de sauvegarde; le titulaire coopère au transfert et restitue ou supprime les données selon les instructions de la collectivité.