Maintenance des installations et logiciels de sûreté

Le marché couvre le système d’information de sûreté et ses équipements physiques : vidéoprotection (VMS, caméras, enregistrement et encodage), contrôle d’accès (contrôleurs, lecteurs, badges, obstacles et verrouillages), détection d’intrusion, interphonie et radiocommunication UHF. Sont également concernés les câblages et alimentations relevant du périmètre, les asservissements et interfaces avec la sécurité incendie, les outils de supervision, les serveurs physiques ou virtuels, les postes dédiés et les logiciels associés.

Prise en charge et maintenance forfaitaire

La mise en place prévoit une reprise progressive, l’initialisation ou la mise à jour de la GMAO, l’organisation des demandes d’intervention, les outils de reporting, la vérification de la documentation et des accès aux applications, ainsi que l’état des lieux contradictoire. Les livrables comprennent notamment les plans d’assurance qualité et de sécurité (PAQ, PAS), la procédure d’exploitation sécurisée (PES), les plans de continuité et de reprise informatique (PCI/PRI), la CMDB, l’inventaire des pièces et le planning des maintenances. Un état des lieux de la conformité aux recommandations ANSSI doit formuler des préconisations, avec difficulté, charge estimée et planning de mise en œuvre.

Le forfait comprend la maintenance de niveaux 1 à 4 : préventive périodique ou conditionnelle, corrective, logicielle corrective et adaptative, dépannage, réparations, échanges standard et opérations relevant des garanties. Chaque équipement, système ou dispositif doit faire l’objet d’au moins une visite de maintenance préventive par an, avec compte rendu. Le nettoyage des équipements et des locaux techniques ou baies concernés est inclus. La maintenance logicielle corrective s’applique sans limitation du nombre ni de la durée des interventions.

Les mises à jour et changements doivent être testés avant déploiement et suivre des étapes de test, d’intégration, de pilote et de généralisation, avec validation de l’AMF et contrôle de non-régression. Les versions majeures nécessitent une recette usine et une validation explicite ; les versions mineures suivent une procédure allégée.

Maintien en condition de sécurité et exploitation

Le maintien en condition de sécurité comprend la veille sur les vulnérabilités, l’application des mesures de sécurité du SI de sûreté, la tenue des PAS et PES et la mise à jour de la documentation technique. La fréquence des opérations est proposée par le titulaire et validée par l’AMF ; le périmètre prévoit une fréquence minimale semestrielle pour le MCS et une veille-conseil sur les vulnérabilités critiques. Les délais de mise à jour des systèmes d’exploitation sont d’un mois au maximum pour les vulnérabilités critiques et de trois mois pour les autres ; les autres équipements, dont UTL et caméras, sont mis à jour trimestriellement. Les définitions antivirus sont actualisées chaque semaine. La revue des comptes et des droits est mensuelle, de même que la mise à jour de la CMDB ; un test du PCI/PRI est réalisé au moins une fois par an.

Les opérations incluent également l’administration et la supervision afin de maintenir la disponibilité de l’architecture 24 h/24 et 7 j/7, le contrôle des ressources et sauvegardes, les tests de restauration, l’extraction de données vidéo à la demande et l’assistance aux opérations d’exploitation. Le forfait intègre un arrêt technique par bâtiment, avec présence du responsable de site pendant 11 heures, généralement de 06 h à 17 h un samedi, un dimanche ou un jour férié ; les coupures électriques ont lieu une à deux fois par an et par bâtiment.

Prestations à bons de commande, stocks et réversibilité

Les commandes peuvent porter sur le dimensionnement et l’approvisionnement du stock, le paramétrage des systèmes, la maintenance logicielle évolutive, l’extension ou la modification des installations et les travaux associés. Une proposition détaillée est à remettre dans les cinq jours ouvrés suivant la demande ; elle précise notamment la prestation, les intervenants et la planification. Les travaux d’extension ne peuvent être réalisés sans validation de l’AMF et ne doivent pas perturber le fonctionnement des installations. Les prestations doivent respecter les exigences de cybersécurité et les choix d’architecture comme les livrables projet sont soumis à validation.

Le titulaire gère le stock mis à disposition, son inventaire mensuel et son réapprovisionnement, et remplace les pièces utilisées. Il tient le planning de maintenance, fournit semestriellement un rapport de préconisations sur les travaux et équipements à prévoir, et réalise les travaux relevant du marché à la suite des vérifications des organismes de contrôle. Les interventions de tiers nécessaires à ces contrôles, y compris leur préparation et la remise en état, sont prises en compte.

La réversibilité comprend le maintien des niveaux de service, le transfert de compétences, la restitution des matériels et documents, l’extraction ou la destruction des données selon les instructions reçues et l’assistance à la reprise par l’AMF ou un tiers.

Délais, gouvernance et contraintes d’intervention

Les GTI et GTR sont respectivement de 2 h et 4 h calendaires pour un incident critique, de 4 h et 8 h pour un incident bloquant, et d’un jour calendaire et 5 jours calendaires pour un incident non bloquant. Un rapport d’incident documentant notamment la chronologie, le périmètre affecté, les investigations et le plan d’action est transmis au plus tard 48 h après résolution. Une astreinte corrective doit être joignable à toute heure. Aucune présence minimale sur site n’est imposée ; l’accès normal est prévu les jours ouvrés de 07 h 30 à 20 h 30, et les interventions hors de ces horaires nécessitent un accord préalable.

Le titulaire organise les comités de pilotage et de sécurité, mensuels ou à la demande. Ils s’appuient notamment sur les rapports d’activité, les indicateurs d’incidents et de disponibilité, l’état des vulnérabilités et des accès, les inventaires, la CMDB et les plans d’amélioration. Le matériel neuf est soumis à l’agrément des représentants de l’AMF avant pose ou approvisionnement. Les déchets issus des interventions suivent les procédures de tri, d’utilisation de sacs spécifiques et de dépôt dans des contenants adaptés.