Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 249

système d'information. Il est alors
recommandé d'établir et d'annexer
directement au contrat un plan de
reprise après désastre propre aux
prestations externalisées et qui
devra :
■	 définir les systèmes, applications
et services critiques. Il faut ainsi
définir précisément le périmètre des prestations critiques
(souvent, uniquement une partie
des services externalisés) en
fonction des priorités du client
en classant les éléments du
système d'information selon leur
niveau de criticité (afin de définir
les systèmes à rétablir par priorité) et en définissant les niveaux
de service associés (ex. temps de
rétablissement des applications
critiques) ;
■	 le niveau de service doit être
déterminé en fonction de la criticité des applications/infrastructures, de l'activité du client et
de l'impact opérationnel sur le
client et ses utilisateurs en cas
de sinistre : ainsi pour des hôpitaux, le temps de rétablissement
d'applications vitales doit être
quasi instantané, alors que pour
des applications administratives
(RH, comptable etc.) le temps de
rétablissement pourra être de
quelques heures ou jours ;
■	 définir comment le plan de
reprise après désastre mis en
œuvre par le prestataire, s'agence
avec d'autres éléments, dont en
particulier le plan de continuité
d'activité du client - lequel est
en principe plus large que le plan
de reprise, car le PCA a vocation
à couvrir l'activité du client (et
non pas uniquement celle pour
laquelle le système d'information
a été externalisé). Ainsi, le plan de
reprise pourra également envisager spécifiquement pour le client
les aspects relatifs à la régularité
de la sauvegarde des données
du client, les personnels à mettre
en œuvre en cas de désastre,
comment assurer la continuité
des moyens de communication,
y compris en cas de surcharge de
volume ponctuelle, etc. et ce de
manière cohérente avec le PCA
du client ;

■	 prévoir que le prestataire teste

régulièrement
(typiquement,
une fois par an) l'efficacité du
plan de reprise après désastre,
avec l'obligation pour le prestataire de communiquer au client
le résultat des tests et de remédier
au plan si les tests ne sont pas
satisfaisants ;
■	 disposer d'une obligation pour
le prestataire de maintenir à
jour (voire améliorer) le plan de
reprise en fonction de l'évolution
des services et du système d'information du client, ainsi qu'en
fonction du plan de continuité
d'activité du client ;
■	 enfin, définir les organes (ex.
un comité d'alerte) et procédure
de gouvernance de crise, afin
d'assurer la mise en œuvre, le
pilotage et de suivi du plan de
reprise, avec les prises de décisions nécessaires, ainsi qu'une
communication efficace en ces
moments difficiles.
Dans le cadre du contrat, il conviendra
évidemment de veiller à déterminer
précisément la nature (obligations de
moyens et/ou de résultat) et le contenu
de ces obligations.
D'autres clauses doivent également
faire
l'objet
d'une
attention
particulière afin de limiter les
conséquences d'un événement
grave. Ainsi, la clause et/ou l'annexe
sécurité doivent être cohérentes
avec le plan de reprise. La clause
d'audit peut permettre au client de
contrôler l'efficacité des mesures
mises en place par le prestataire.
Les clauses responsabilité et
assurance doivent permettre par
ailleurs de se retourner contre le
prestataire s'il ne met pas en œuvre
les obligations qui lui incombent
au titre du plan de reprise. Enfin,
il est nécessaire de s'assurer de la
cohérence des obligations du plan
de reprise avec les dispositions
relatives à la force majeure  : tout
d'abord, en termes de définition,
la clause de force majeure peut
renvoyer à la définition de l'article
1218 du code civil ou, au contraire,
prévoir une pré-qualification de
cas de force majeure (incluant
EXPERTISES Juin 2020

notamment le cas échéant les
pandémies)  ; ensuite, en termes
de conséquences, il est possible
d'indiquer que les cas de force
majeure ne doivent pas limiter
l'obligation pour le prestataire de
mettre en œuvre le plan de reprise,
sauf si le cas de force majeure
affecte spécifiquement les services
fournis par le prestataire au titre du
plan de reprise.
Enfin, si les clauses de résiliation du contrat sont susceptibles
d'être mises en œuvre, soit pour
manquement du prestataire au plan
de reprise, soit pour cas de force
majeure, il sera nécessaire afin
d'assurer la continuité de l'activité
en cas d'événements graves, que le
plan de réversibilité des prestations
soit disponible, robuste et rédigé
avec soin. Ce plan de réversibilité
doit en effet permettre au client de
reprendre le contrôle des prestations (ou de les confier à un tiers) et
s'il n'est pas disponible, les risques
seront importants pour le client.
Pour finir, au titre du plan de
continuité d'activité du client, il
sera important que l'entreprise
ait défini par avance un plan de
communication de crise, ainsi que
des procédures de travail à distance,
avec des tests et des formations
préalables, permettant de gérer au
mieux ces situations inattendues et
parfois inconnues.

Nicolas QUOY
Avocat, counsel
Docteur en Droit

Antoine BOULLET
Avocat
AUGUST DEBOUZY

249
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
