Tierce maintenance applicative et prestations associées

Le marché couvre la maintenance, l’assistance, la sécurité, l’évolution et la gouvernance du système d’information de supervision des réseaux d’eau potable et d’assainissement basé sur Topkapi. La solution comprend deux instances installées sur deux serveurs virtuels hébergés dans deux datacenters, en fonctionnement actif-passif, et supervise environ 250 sites communiquant sur le réseau 4G. Le périmètre est susceptible d’évoluer.

Les sites supervisés comprennent notamment 75 débitmètres, 61 postes de relèvement, 23 usines, captages ou productions d’eau potable, 20 installations de pompage, surpresseurs ou forages, 17 stations de traitement ou STEP, 17 réservoirs, bassins ou châteaux d’eau, 3 déversoirs d’orage, 3 vannes ou organes de régulation, 1 installation de chloration et 15 intersites.

Environnement et fonctionnalités

Les versions et composants de référence comprennent Topkapi Server 6.2, TOPKAPI Vision 6.2, TOPKAPI Vision WebServ 2.0 6.2.5991 et Microsoft Server 2019 Datacenter. Chaque instance comporte notamment une licence Topkapi de 20 000 variables, un module de données horodatées, un module Bilan, un module de gestion des astreintes, un module WebServ2 de 10 connexions simultanées ainsi que les pilotes SOFREL et NAPAC.

La solution assure :

• La supervision et l’intégration des postes de télégestion au moyen de synoptiques et de vues par site ou par territoire ;
• L’affichage des mesures et courbes en temps réel, y compris les courbes croisées entre plusieurs sites ;
• La génération d’appels, SMS et courriels d’alerte ;
• L’historisation des données pendant trois ans, l’archivage au-delà et la consultation des archives ;
• La gestion de tableaux de bord et de tableaux de synthèse quotidiens, hebdomadaires et mensuels, par site et pour l’ensemble des sites.

L’instance active supervise les sites et génère les alertes. L’instance passive prend le relais en cas d’indisponibilité de l’instance active. Certains sites disposent de liaisons fibre et 5G redondées, d’équipements réseau et de sécurité redondants et, le cas échéant, d’une instance Topkapi locale.

Gouvernance, reprise et qualité

Le titulaire met en place une équipe comprenant au minimum un responsable de marché, un chef de projet ou référent opérationnel et, si nécessaire, un référent sécurité. L’équipe projet comprend au minimum un chef de projet et un référent technique certifié Topkapi. La gouvernance inclut comités projet, comité de pilotage trimestriel, reporting, procédure d’escalade et matrice RACI couvrant les prestations, livrables, changements, incidents, risques et crises.

La mise en ordre de marche comprend la réunion de lancement, la transmission des éléments de reprise, le diagnostic de l’existant, les ateliers de cadrage, la définition des modalités opérationnelles, la validation des livrables de référence et la bascule. Elle doit notamment produire une cartographie, une analyse des risques et dépendances, un état des écarts, des recommandations et un plan d’actions de reprise. La réunion de lancement se tient en présentiel dans les locaux de la Régie ; le titulaire fournit les ordres du jour, comptes rendus, plannings, spécifications, dossiers d’architecture, dossiers de recette et comptes rendus d’intervention.

Le titulaire fournit un plan d’assurance qualité comprenant l’organisation, les méthodes, les procédures, la gestion des risques et de la sécurité, la documentation, la traçabilité, la convention de service, le plan d’exécution et le dossier d’organisation. Il est tenu à jour et fait l’objet d’une revue annuelle.

Maintenance, support et sécurité

La tranche ferme comprend le maintien en condition opérationnelle et de sécurité, la maintenance corrective et préventive, le renouvellement des maintenances et du support éditeur, la supervision applicative, la gestion des incidents, demandes, changements et problèmes, ainsi que l’assistance technique et fonctionnelle.

Les montées de version majeures et mineures standard, les correctifs, mises à jour de sécurité, interfaces, protocoles et logiciels intermédiaires sont inclus dans la maintenance forfaitaire. Les évolutions fonctionnelles spécifiques, développements sur mesure et nouvelles fonctionnalités sont commandés séparément. Les mises à jour suivent une analyse d’impact, des tests fonctionnels, de sécurité, de performance et de non-régression, une fenêtre de maintenance validée, une procédure de retour arrière, la mise à jour des composants et une vérification post-déploiement.

Le centre de service, en français, est accessible par téléphone, courriel et ticketing sécurisé du lundi au vendredi de 9 h à 17 h. Il enregistre, qualifie, priorise, traite, escalade et clôture les demandes et incidents. Chaque ticket comporte notamment un numéro, le site concerné, la date et l’heure de réception et l’objet. La clôture intervient après validation de la résolution par la DSISN ou les administrateurs fonctionnels.

Le titulaire assure également le suivi des incidents récurrents, les solutions de contournement, les escalades éditeur, les rapports d’analyse et d’intervention et un rapport trimestriel des incidents. Les interventions comprennent la validation du périmètre, la sauvegarde préalable, l’intervention, les tests fonctionnels, de sécurité et de performance, puis le compte rendu. Elles sont réalisées prioritairement en test avant passage en production après validation conjointe.

La sécurité couvre la disponibilité, la confidentialité, l’intégrité, la traçabilité et l’imputabilité. Le titulaire fournit et maintient un Plan d’Assurance Sécurité, applique la convention d’accès au SI, documente les dispositifs de télémaintenance, sécurise les transferts et suit les changements selon un processus inspiré d’ITIL. Il assure une veille technologique, réglementaire et de cybersécurité et formule des recommandations.

Prestations à bons de commande

Les prestations unitaires sont déclenchées sur demande expresse et comprennent :

• L’acquisition de licences, modules, protocoles, interfaces complémentaires et application WebView, avec maintenance incluse selon les conditions prévues ;
• La souscription des maintenances de licences, modules, protocoles, interfaces et applications pour des périodes de 12 mois ;
• La mise en place, le maintien et le test annuel d’un PCA/PRI, avec identification des activités critiques, dépendances, RTO, RPO, scénarios de reprise, stratégies de continuité, plan de test et recette ;
• Le développement et l’intégration de synoptiques, vues et sites sur les deux serveurs Topkapi, incluant variables, alarmes, synoptiques, recette et mise en service de la télégestion ;
• Les développements simples nécessitant au plus 3 jours et complexes nécessitant de 4 à 10 jours, avec cahier des charges, développement, paramétrage, recette, intégration, mise en production et comptes rendus ;
• Les interventions sur site, en datacenter ou à distance, l’expertise technique, l’audit d’architecture, de paramétrage et de sécurité ;
• Les formations sur site, dans les locaux du prestataire ou en visioconférence, limitées à 6 participants par session et d’une durée d’une journée ;
• L’astreinte technique, du lundi au vendredi de 18 h à 8 h et 24 h/24 les week-ends et jours fériés, avec intervention sous 2 heures et rapport sous 48 heures. La Régie peut modifier ces plages avec un préavis de 15 jours.

La formation à l’ajout de sites télégérés est réalisée à Barida par un formateur agréé par l’éditeur, pour 6 participants au maximum et pendant 1 jour. Elle porte sur le paramétrage, les traitements de données, les synoptiques, les vues, les reports d’alarme et les rapports.

Réversibilité et niveaux de service

La réversibilité comprend la planification, l’analyse des risques, le transfert des documentations, programmes, bases de données et configurations, la formation du repreneur, le fonctionnement en double, les tests et l’assistance post-réversibilité. Elle prévoit notamment l’accueil de 2 ou 3 personnes du repreneur pendant 2 semaines, puis une assistance pendant 4 semaines après la phase effective.

Les incidents sont classés en critiques, majeurs ou mineurs. Les incidents de sécurité doivent être pris en charge sous 30 minutes et une cellule de crise doit être opérationnelle sous 4 heures. Les engagements comprennent notamment une prise en compte sous 30 minutes et un rétablissement sous 4 heures pour un incident critique, une prise en compte sous 4 heures et un rétablissement sous 48 heures pour un incident majeur, ainsi qu’une prise en compte sous 24 heures et un rétablissement sous 5 jours pour un incident mineur. Les demandes urgentes sont prises en compte sous 4 heures et réalisées sous 2 jours ; les demandes standard et normales sont prises en compte sous 24 heures.