Signer un contrat d’infogérance sans l’avoir épluché, c’est remettre les clés de son système informatique à un prestataire sans filet de sécurité. Pourtant, c’est ce que font beaucoup d’entreprises, pressées par un projet ou rassurées par une relation commerciale de confiance. La confiance, très bien — mais un accord écrit et précis reste la seule vraie protection en cas de litige.
Un contrat d’infogérance est une convention par laquelle une organisation délègue tout ou partie de la gestion de son infrastructure informatique à un tiers spécialisé. Serveurs, réseaux, sécurité, support utilisateurs : le périmètre peut être large ou ciblé. Ce qui ne change pas, c’est l’exigence de clarté juridique. Voici ce qu’il faut savoir avant de parapher quoi que ce soit.
Ce que couvre réellement un contrat d’infogérance
La définition du périmètre : premier pilier de la convention
Le périmètre est l’objet central du contrat. Sans définition précise, les désaccords arrivent vite : qui gère les mises à jour de sécurité ? Le prestataire ou l’entreprise cliente ? Ces zones grises génèrent des surcoûts et des tensions. Un bon contrat liste explicitement chaque service délégué — maintenance préventive, supervision 24/7, gestion des sauvegardes, support niveau 1, 2 et 3 — et exclut tout aussi clairement ce qui reste sous la responsabilité du client.
La liste des actifs concernés doit figurer en annexe : matériels, logiciels, applications métier, sites géographiques couverts. Une annexe technique actualisable est bien plus souple qu’un article modifiable uniquement par avenant signé des deux parties.
Les niveaux de service (SLA) : l’engagement chiffré
Le SLA — Service Level Agreement — est la colonne vertébrale de la convention d’infogérance. Il fixe des indicateurs mesurables :
- Taux de disponibilité garanti (souvent 99,5 % ou 99,9 % selon les contrats)
- Délai de prise en charge selon la criticité de l’incident (P1, P2, P3…)
- Temps de résolution maximal pour chaque catégorie d’anomalie
- Plages horaires couvertes par le support
Ces chiffres ne sont pas décoratifs. Ils conditionnent les pénalités financières applicables si le prestataire ne respecte pas ses engagements. Un SLA sans pénalité n’est qu’une déclaration d’intention — pas un véritable accord contraignant.
La question de la sous-traitance
Votre prestataire principal peut lui-même déléguer une partie des travaux à des sous-traitants. C’est courant dans les grandes structures d’infogérance. Le contrat doit préciser si cette sous-traitance est autorisée, sous quelles conditions, et surtout qui reste responsable vis-à-vis du client en cas de défaillance. En droit français, le donneur d’ordre reste en principe responsable de son prestataire, mais cela mérite d’être explicitement confirmé dans la convention.
Les clauses juridiques à ne pas négliger
Réversibilité et sortie de contrat
La clause de réversibilité est souvent la plus négligée à la signature — et la plus douloureuse à son absence lors de la rupture. Elle encadre les conditions dans lesquelles le client peut récupérer ses données, ses configurations, ses documentations techniques et reprendre la main sur son SI, que ce soit pour internaliser à nouveau ou changer de prestataire.
Un plan de réversibilité bien rédigé prévoit :
- La durée de la période de transition (souvent 3 à 6 mois)
- Le format de restitution des données
- L’obligation de formation des équipes du client ou du nouveau prestataire
- Le coût éventuel de cette prestation de sortie
Sans cette clause, l’entreprise se retrouve dépendante de la bonne volonté du prestataire au moment où la relation se dégrade. C’est précisément le pire moment pour négocier.
Confidentialité et protection des données
L’infogérance implique que des personnes extérieures à l’entreprise accèdent à des systèmes contenant des données potentiellement sensibles : données personnelles de clients, informations financières, secrets industriels. Le contrat doit inclure une clause de confidentialité solide et aligner les obligations du prestataire sur le RGPD.
Concrètement, le prestataire doit être qualifié de sous-traitant au sens du règlement européen, avec un accord de traitement des données (DPA) formalisé. Les obligations portent sur la sécurité des traitements, la notification des violations de données et l’interdiction de réutiliser les données du client à d’autres fins. Ces points ont une valeur juridique réelle en France depuis l’entrée en application du règlement en 2018.
Responsabilités et limitations de garantie
Tout prestataire d’infogérance cherchera à limiter contractuellement sa responsabilité financière en cas de sinistre. C’est légitime — mais les plafonds proposés sont parfois dérisoires face aux pertes réelles qu’une panne prolongée peut causer à une entreprise. Négociez ces plafonds en fonction de votre chiffre d’affaires et de votre dépendance réelle au SI externalisé.
Vérifiez également les exclusions de garantie : force majeure, faute du client, attaque de type zero-day non couverte par les outils de sécurité en place. Certains prestataires excluent les dommages indirects (perte de clients, manque à gagner), ce qui peut réduire à presque rien leur responsabilité effective.
Piloter et faire vivre le contrat dans la durée
Gouvernance et comités de suivi
Un contrat d’infogérance n’est pas un document qu’on signe puis qu’on range dans un tiroir. Il faut le faire vivre. Les meilleures conventions prévoient une gouvernance structurée : comité opérationnel mensuel, comité stratégique trimestriel, revue annuelle de performance avec possibilité de révision des SLA.
Ces instances permettent de détecter les dérives avant qu’elles ne deviennent des conflits. Elles obligent aussi le prestataire à produire des tableaux de bord réguliers — disponibilité réelle, incidents traités, délais moyens de résolution — qui alimentent une vision objective de la qualité de service.
Durée, renouvellement et indexation tarifaire
Les contrats d’infogérance s’engagent souvent sur 3 à 5 ans. Cette durée est cohérente avec les investissements consentis par le prestataire, mais elle impose au client une vigilance sur deux points. D’abord, la clause de renouvellement tacite : sans dénonciation dans les délais prévus, le contrat peut se renouveler automatiquement pour une nouvelle période ferme. Ensuite, l’indexation des tarifs : prévoyez un mécanisme d’évolution des prix lié à un indice officiel (Syntec, par exemple, pour les prestations intellectuelles en France) plutôt qu’une révision unilatérale laissée à la discrétion du prestataire.
Prévoir aussi une clause d’évolution du périmètre : votre SI changera, vos besoins aussi. Un contrat rigide qui n’intègre pas la possibilité d’ajouter ou de retirer des services sans renégociation complète devient rapidement inadapté.
Questions fréquentes
Quelle différence entre un contrat d’infogérance et un contrat de maintenance informatique ?
La maintenance informatique couvre la réparation et l’entretien du matériel ou des logiciels existants, généralement en réaction à une panne. L’infogérance va plus loin : elle délègue la gestion opérationnelle globale du système d’information, incluant la supervision proactive, la sécurité, les mises à jour, et parfois le support aux utilisateurs. C’est une convention de résultat plus large, avec des niveaux de service définis contractuellement.
Combien de temps dure en général un contrat d’infogérance ?
La durée standard se situe entre 3 et 5 ans. Cette période reflète le temps nécessaire au prestataire pour amortir ses investissements initiaux (prise en main du SI, outillage, formation des équipes). Des engagements plus courts (1 à 2 ans) existent, notamment pour des périmètres réduits, mais ils s’accompagnent souvent de tarifs plus élevés ou de clauses de sortie anticipée coûteuses.
Est-ce qu’un contrat d’infogérance couvre automatiquement la cybersécurité ?
Non, pas automatiquement. La cybersécurité peut être incluse dans le périmètre de l’infogérance, mais ce n’est pas systématique. Certains contrats couvrent uniquement la gestion des antivirus et des mises à jour de sécurité, d’autres intègrent des services de SOC (Security Operations Center), de tests d’intrusion ou de gestion des identités. Il faut vérifier article par article ce qui est compris, et négocier les prestations de sécurité avancées si elles sont nécessaires.
Que se passe-t-il si le prestataire ne respecte pas les SLA ?
Si le contrat prévoit des pénalités de non-respect des SLA, le client peut les activer automatiquement ou sur demande, selon les modalités définies. Ces pénalités prennent souvent la forme de crédits de service ou de remises sur facture. En l’absence de clause pénale explicite, le client peut engager la responsabilité contractuelle du prestataire, mais une action en justice reste longue et incertaine. Mieux vaut donc négocier des pénalités réelles dès la signature.
Le RGPD s’applique-t-il au prestataire d’infogérance ?
Oui. Le prestataire d’infogérance qui traite des données personnelles pour le compte de son client est qualifié de sous-traitant au sens du RGPD. Il doit respecter les obligations prévues à l’article 28 du règlement : traitement uniquement sur instruction documentée du responsable de traitement, mesures de sécurité appropriées, notification des violations de données, et interdiction de sous-traiter sans autorisation préalable. Un avenant DPA (Data Processing Agreement) doit être joint au contrat principal.