Infogérance mutualisée des systèmes d’information

Le titulaire assure l’exploitation, le maintien en condition opérationnelle et de sécurité, l’assistance technique, l’accompagnement des évolutions et la réversibilité des environnements numériques. Il intervient comme exploitant et opérateur de services, sous le pilotage des membres, qui conservent les décisions stratégiques et les arbitrages.

Le socle courant comprend notamment :

• L’exploitation et l’administration des serveurs physiques ou virtualisés, hyperviseurs, stockage et infrastructures hébergées chez un prestataire, sur site ou en architecture hybride.
• L’administration technique de Microsoft 365 et Entra ID : comptes, groupes, droits, boîtes aux lettres, licences et accès.
• L’administration des plateformes de sécurité, notamment pare-feu, politiques de sécurité, VPN, EDR/XDR et accès distants ; le suivi des alertes, configurations sensibles, vulnérabilités et correctifs.
• L’exploitation des réseaux locaux et inter-sites, du Wi-Fi, des VLAN et des accès VPN, avec supervision, diagnostic et journalisation des changements significatifs.

Sauvegardes, supervision et support

Le titulaire supervise les composants confiés, traite les alertes et incidents, suit les capacités et escalade vers les compétences adaptées. Pour les sauvegardes, il contrôle les tâches et les rétentions, signale les anomalies, réalise des tests de restauration selon la fréquence fixée par la politique validée et participe aux exercices de plan de reprise d’activité. Une tâche de sauvegarde indiquée comme réussie ne suffit pas à établir qu’elle est conforme : une restauration effective doit pouvoir être réalisée selon les modalités définies.

Le dispositif de support comprend un outil de gestion des tickets, une adresse de messagerie si l’outil est indisponible et un numéro de téléphone lorsque les agents n’ont plus de moyens informatiques fonctionnels. La répartition des niveaux N1, N2 interne et N2 externe est définie pour chaque membre au lancement, formalisée dans une matrice de responsabilités et réexaminée en comité trimestriel.

Les objectifs de service prévoient une prise en charge sous une heure ouvrée. Les objectifs de rétablissement ou de contournement sont de 4 heures ouvrées en C1, 8 heures ouvrées en C2, 48 heures ouvrées en C3 et, en C4, un délai planifié n’excédant pas 5 jours ouvrés. Un contournement validé peut répondre à l’objectif lorsque la résolution définitive nécessite davantage de temps.

Prestations complémentaires et gouvernance

Les projets, migrations, évolutions importantes, études, audits, intégrations, interventions sur site et renforts dépassant le fonctionnement courant sont commandés selon les prestations et ressources prévues au BPU. Les profils mobilisables peuvent comprendre technicien, technicien confirmé, ingénieur, architecte ou expert, ainsi que chef de projet technique. Les prestations peuvent être commandées à la journée, à la demi-journée si le BPU le prévoit, ou au forfait mensuel lorsque le besoin récurrent dépasse cinq jours ouvrés par mois pour un même profil ou une même mission ; ce forfait n’est pas automatique. Les ressources complémentaires peuvent inclure processeur, mémoire vive, stockage, sauvegarde, hébergement, licences, réseau, sécurité et supervision.

Le suivi s’appuie sur des comités mensuels d’exploitation, trimestriels de pilotage et de programmation, et annuels stratégiques. Le titulaire fournit notamment les informations de suivi des tickets, délais de service, incidents majeurs, disponibilités, sauvegardes, restaurations testées, vulnérabilités, correctifs et ressources consommées. Les projets commandés donnent lieu à une définition du besoin et du périmètre, un chiffrage, un calendrier et des livrables adaptés.

Sécurité, traçabilité et réversibilité

Le titulaire assure une veille opérationnelle sur les vulnérabilités, propose les mesures de remédiation et met en œuvre les correctifs validés ; les correctifs présentant un risque d’impact significatif sont planifiés avec le pouvoir adjudicateur, tandis que les urgences de sécurité peuvent suivre une procédure accélérée. Il contribue à la maîtrise des comptes privilégiés, à la revue des droits, à l’authentification multifacteur lorsqu’elle est définie comme exigence, et à la journalisation. Tout incident de sécurité significatif doit être signalé par écrit sans délai ; le membre concerné accuse réception dans l’heure ouvrée de ses horaires habituels.

Les modifications significatives sont consignées avec leur date, origine, intervenant, périmètre, description, motif, impact, éventuel retour arrière et validation requise. La documentation minimale utile à l’exploitation et à la reprise comprend notamment schémas, inventaire, procédures de sauvegarde et de restauration, escalade et accès, comptes et rôles d’administration. Les scripts et automatisations spécifiques sont remis dans un format exploitable, documentés et commentés en français. Le titulaire maintient les éléments nécessaires à une réversibilité totale ou partielle et coopère avec le titulaire entrant.

Le périmètre ne comprend pas la responsabilité fonctionnelle des applications métiers, leur paramétrage, l’assistance métier aux utilisateurs, les anomalies exclusivement imputables aux éditeurs ni les développements applicatifs métiers. La fourniture systématique de matériels et de licences n’est pas incluse ; elle peut être sollicitée expressément ou lorsque le membre la juge pertinente, sans pouvoir être imposée comme condition d’exécution. Les contrats opérateurs télécoms et abonnements SaaS métiers sont également exclus, sauf stipulation ou commande prévue.