Fourniture et services HSM réseau

La prestation porte sur une solution d’infrastructure cryptographique comprenant les HSM réseau, leurs logiciels et licences, leur installation, leur support et leur maintenance. Elle est organisée en une tranche ferme et trois tranches optionnelles :

• Tranche ferme : ateliers de conception, fourniture et installation initiales de l’infrastructure et de GOLD phase 1, licences clientes, deux ans de support et maintenance matériels et deux ans de support logiciels.
• Tranche optionnelle 1 : GOLD phase 2, remplacement de batteries des équipements concernés, licences additionnelles, support et maintenance annuels du matériel et des logiciels, et expertise pour les tests de performance.
• Tranche optionnelle 2 : bundles additionnels de licences clientes et leur support, commandés à l’unité.
• Tranche optionnelle 3 : capacité GOLD, licences, support et maintenance pour le composant « Offline Issuance », ainsi que remplacement des batteries. Elle dépend de demandes de changement de la BCE et de leurs approbations par la BCE et les comités européens compétents.

Livraison, installation et recettes

Les HSM doivent être livrés dans les 35 jours ouvrés suivant la commande. Au moins une semaine avant livraison, le titulaire transmet les numéros de série et la destination ou l’usage de chaque équipement ; les informations logistiques sont communiquées au moins deux jours ouvrés avant la livraison. Les livraisons initiales peuvent être adaptées à l’état de préparation des centres d’hébergement ; les équipements prévus pour certaines zones de disponibilité peuvent être livrés provisoirement dans le centre de données AZ1 de leur région.

L’installation comprend la mise sous tension, la configuration initiale (réseau, partitions, utilisateurs), les tests de validation sous contrôle de la banque concernée et un procès-verbal de VABF signé par les parties. En règle générale, les équipes de la Banque de France et de la Bundesbank réalisent l’installation physique, avec possibilité pour le titulaire de la demander ; pour la Banca d’Italia, le titulaire réalise l’installation physique et le contrôle des équipements avec l’équipe locale. Après validation de l’installation, une période de vérification de service régulier d’un mois s’applique ; tout incident en retarde la fin du temps nécessaire à sa résolution.

Les ateliers, pilotés par le titulaire, affinent l’architecture, la configuration des HSM au regard des exigences de sécurité et de performance, et les tests de recevabilité. Les interventions sur site sont couvertes par un prix contractuel incluant leurs coûts logistiques.

Architecture et performances

La solution doit s’insérer dans une infrastructure de trois régions et trois zones de disponibilité par région. Les plateformes d’application sont autonomes : SILVER pour le développement et la recette, GOLD-NP pour la préproduction et GOLD-P pour la production. Les exigences de partitions ou conteneurs sont respectivement de 4 sur 6 sites, 4 sur 9 sites et 2 sur 9 sites. La plateforme « Infrastructure » doit être organisée en cluster réparti entre les trois régions, avec au moins cinq partitions ou conteneurs et bascule interrégionale.

Pour GOLD-P, la cible est de 136 000 signatures par seconde avec des algorithmes à courbes elliptiques ; si cette charge n’est pas supportée, le titulaire doit adapter la solution sans coût supplémentaire. L’exigence de latence indique moins de 4 ms pour 99 % des signatures à 124 000 signatures/s, hors latence réseau. GOLD-NP doit traiter le même taux transactionnel que la production ; la production doit supporter la perte d’une région ou d’un site sans dégradation des performances. La montée en charge se fait à partir de 25 % de l’objectif, par paliers successifs de 25 %.

Les niveaux de débit indiqués dans le calendrier technique sont : 1 200 signatures/s jusqu’en décembre 2028, puis 12 400 en décembre 2029, 24 800 en décembre 2030, 49 600 en décembre 2031, 99 200 en décembre 2032 et 136 000 en décembre 2033. Le besoin SILVER indiqué en phase 2 est de 5 000 signatures/s. La cible de production et de préproduction suppose une capacité à tenir la charge avec six zones actives en cas de perte d’une région.

L’architecture réseau comprend des liaisons interrégionales redondantes à 100 Gb/s, avec latences aller-retour indiquées de 12 ms entre l’Allemagne et la France et 21 ms entre l’Italie et l’Allemagne ou la France. Dans une région, les trois zones sont reliées par fibre dédiée à 100 Gb/s, avec moins de 2 ms aller-retour. Les baies sont au format 19 pouces ; les alimentations sont redondées, les composants spécifiés remplaçables à chaud et la connectique électrique disponible est C13, 10/16 A, avec protection par disjoncteur 30 mA courbe C.

Cryptographie, intégration et sécurité

Les exigences comprennent SHA-2 (SHA-256, SHA-384, SHA-512, SHA-512/224 et SHA-512/256), RSA 2048 et 4096 bits, ECDSA sur les courbes listées selon FIPS 186-4, et EdDSA (Ed25516 et Ed448). Les fonctions post-quantiques incluent SHA-3 et SHAKE, ML-KEM selon FIPS 203 et ML-DSA selon FIPS 204 ; l’algorithme hash-based stateless de FIPS 205 est négociable, de même que FN-DSA selon FIPS 206, dont le titulaire doit fournir la feuille de route jusqu’à validation par le NIST. Une migration post-quantique hybride est envisagée, avec calcul de signatures classique et post-quantique en parallèle.

L’intégration doit notamment prendre en charge PKCS#11 v3.0 et JAVA (JCA/JCE). La solution doit permettre l’administration à distance, la sauvegarde sécurisée des partitions (au moins un équipement par région), ainsi que la restauration. Une console centralisée, son API et la gestion des clients et de leurs associations aux partitions sont demandées, avec compatibilité Ubuntu Server ou fourniture d’un système intégré comprenant support et maintenance. Le titulaire fournit une procédure de migration des secrets vers des HSM du même constructeur ou d’un autre ; par défaut, les secrets sont non exportables.

Les échanges et clés doivent être confidentiels et intègres ; les logiciels et micrologiciels sont vérifiés avant livraison, les composants suivis par version et les mises à jour doivent préserver la continuité de service. La solution doit notamment permettre la ségrégation des accès, le filtrage réseau, la journalisation des authentifications et l’intégration SIEM et/ou Syslog. Le titulaire doit fournir les informations utiles à l’intégration et aux flux de sa solution.

Licences, livrables et maintenance

Le titulaire fournit les matériels, la procédure détaillée d’installation initiale, les manuels techniques et, le cas échéant, les binaires téléchargeables. La documentation est en anglais ; elle est aussi fournie en français, allemand et/ou italien si disponible. Pour chaque licence, il précise notamment l’éditeur, la référence, la métrique, la quantité, la durée et le support inclus, ainsi que les dépendances et restrictions d’utilisation. Le modèle doit permettre de doubler temporairement le nombre de clients déclarés pendant les mises à niveau applicatives, sans surcoût.

Les estimations de clients sont de 10 clients Infrastructure et 72 clients Application par région en tranche ferme ; les tranches optionnelles ajoutent respectivement 48, 166 et 36 clients par région. Pour la tranche « Offline Issuance », le dimensionnement envisagé va jusqu’à 9 HSM et 106 clients sur les trois régions, avec cinq ans de support indiqués pour ces fournitures.

La maintenance annuelle est réalisée sur site selon le niveau de support contractualisé ; les exigences détaillées prévoient, pour les incidents matériels de production de gravité 1, une intervention sous 2 heures et un rétablissement sous 4 heures, 24/7 ; pour la gravité 2, une intervention sous 4 heures et un rétablissement sous 8 heures, 24/7. Le titulaire assure le remplacement sur site des batteries lorsqu’il est requis, les mises à jour matérielles et logicielles, la surveillance des vulnérabilités et un rapport annuel détaillé des maintenances. Le support comprend aussi un portail de tickets, des contrôles automatiques d’état et une assistance à distance contrôlée par l’équipe Infrastructure.