Plan d'assurance sécurité (PAS) : encadrer la sécurité de vos prestataires

Un plan d'assurance sécurité (PAS) est le document contractuel dans lequel un prestataire décrit les mesures de sécurité qu'il s'engage à appliquer pour répondre aux exigences de son client. Rédigé par le prestataire en réponse à l'appel d'offres, puis annexé au contrat, il fixe l'organisation de la sécurité, les mesures techniques, la gestion des incidents, les audits et la réversibilité. La notion vient du guide de l'ANSSI sur l'externalisation ; elle reste l'outil le plus structuré pour inscrire des clauses de sécurité dans un contrat prestataire, et un maillon central de la gestion des risques tiers.

Le PAS sécurité est le pendant, pour la sécurité, du plan d'assurance qualité (PAQ) que connaissent bien les directions des achats et les chefs de projet. Là où le PAQ décrit comment le prestataire garantit la qualité de ses livrables, le PAS décrit comment il garantit la sécurité de la prestation : qui est responsable, quelles mesures sont appliquées, comment les incidents sont traités, comment le client peut contrôler, comment on sort du contrat.

Trois caractéristiques le distinguent d'une simple plaquette commerciale :

• il est contractuel : annexé au contrat, il engage le prestataire, et ses manquements peuvent être sanctionnés par des pénalités ;
• il répond aux exigences du client, une par une, plutôt que de décrire la sécurité générale du prestataire ;
• il est propre à une prestation : un même prestataire aura un PAS différent pour chaque client et chaque périmètre.

Quand exiger un PAS ?

Un PAS se justifie dès que le prestataire accède à votre système d'information, héberge ou traite des données sensibles, ou fournit un service dont l'arrêt vous pénaliserait : infogérance, hébergement, tierce maintenance applicative, logiciel en mode SaaS, centre de services, prestation de sécurité. Pour un fournisseur standard, quelques clauses de sécurité dans le contrat suffisent. Le bon niveau découle du classement de vos tiers par criticité : un prestataire critique justifie un PAS complet, un prestataire important un PAS allégé centré sur les accès, les incidents et la réversibilité.

Le PAS ANSSI trouve sa référence dans le guide « Externalisation et sécurité des systèmes d'information : un guide pour maîtriser les risques », publié par l'ANSSI le 3 décembre 2010. Le guide part d'un constat : externaliser l'exploitation d'un système d'information fait naître des risques propres, qu'il regroupe en trois familles, la perte de maîtrise du système, les interventions à distance et l'hébergement mutualisé. Il propose ensuite une démarche en trois temps :

1. Apprécier les risques et fixer des objectifs de sécurité pour la prestation externalisée.
2. Rédiger le cahier des charges avec des exigences de sécurité et des clauses, et y demander un PAS en réponse.
3. Choisir le prestataire en vérifiant la recevabilité de chaque PAS, puis finaliser celui du titulaire avant la notification du contrat.

Le guide précise que le PAS est rédigé par le candidat, sous la responsabilité de son responsable sécurité, qu'il est analysé par le responsable sécurité du client puis annexé au contrat, où il remplace, le cas échéant, les clauses de sécurité génériques du prestataire. Il recommande de joindre un modèle de PAS à l'appel d'offres pour faciliter la comparaison des offres, et de placer le PAS dans les documents contractuels juste après le PAQ, avec la même priorité. Le guide fournit enfin un modèle de PAS, des exigences de sécurité types et des exemples de clauses. Pour un résumé récent de ses recommandations, voir la synthèse publiée par IT-Connect.

Le PAS est aussi reconnu dans la commande publique : le cahier des clauses simplifiées de cybersécurité, approuvé par arrêté du 18 septembre 2018, prévoit que les marchés dont l'objet principal est numérique, comme l'externalisation d'un système d'information, peuvent le compléter par un plan d'assurance sécurité produit par les candidats et contractualisé avec le titulaire. Pour les collectivités et établissements publics, notre page consacrée à la cybersécurité du secteur public détaille comment piloter ces exigences.

Le modèle de l'ANSSI compte onze rubriques. Nous l'avons réorganisé en douze sections et complété des exigences apparues depuis 2010 avec DORA et le RGPD. Chaque section indique la référence dont elle découle.

1. Objet et périmètre du document
2. Documents de référence et définitions
3. Description de la prestation (architecture, sites, pays)
4. Rappel des exigences de sécurité du client
5. Organisation de la sécurité (responsables, comité de suivi)
6. Responsabilités et engagements
7. Mesures de sécurité (accès, données, exploitation, continuité)
8. Gestion des incidents
9. Sous-traitance
10. Contrôle, audit et indicateurs
11. Réversibilité et fin de contrat
12. Vie du PAS (évolutions, non-conformités, pénalités, matrice de couverture)

Dépliez chaque section pour voir ce qu'elle doit contenir.

La rubrique la plus utile au quotidien est souvent la matrice de couverture des exigences : un tableau qui reprend chaque exigence du client et indique, en regard, la mesure correspondante du prestataire, son statut (conforme, partiel, dérogation) et la preuve associée. C'est elle qui rend le PAS vérifiable, et c'est elle que vous retrouverez en audit. Elle se construit naturellement à partir des réponses à votre questionnaire de sécurité fournisseur.

En pratique, les trois coexistent : l'annexe sécurité (ou le cahier des charges) pose les exigences, le PAS y répond, et l'accord de sous-traitance encadre les données personnelles. La Commission européenne a publié des clauses contractuelles types entre responsable de traitement et sous-traitant, et la CNIL un guide du sous-traitant ; notre module RGPD aide à tenir ce volet à jour.

Le guide de l'ANSSI liste les clauses à prévoir : transfert du système, responsabilités, obligations du prestataire, comité de suivi, confidentialité, localisation des données, convention de service, audits, développements sécurisés, gestion des évolutions, réversibilité et résiliation. Cinq d'entre elles concentrent l'essentiel des litiges.

Droit d'audit

Précisez qui peut auditer (le client, un tiers mandaté, l'autorité de contrôle), sur quel périmètre (documents, sites, tests techniques), à quelle fréquence, avec quel préavis, et qui paie. Sans cette clause, un prestataire peut légitimement refuser un audit.

Notification d'incident

Fixez un délai exprimé en heures, le contenu minimal de la notification, l'interlocuteur et le canal. Le délai doit vous laisser le temps de respecter vos propres obligations, comme les 72 heures du RGPD pour notifier une violation de données à la CNIL.

Réversibilité

Décrivez les modalités de restitution (format, délai, assistance), la durée de la période de transition pendant laquelle le service continue, et l'effacement attesté des données. Une réversibilité non préparée est l'une des causes les plus fréquentes de dépendance subie.

Localisation des données

Listez les pays où les données sont hébergées, sauvegardées et accessibles, assistance technique comprise, et imposez une information préalable avant tout changement. C'est aussi là que se traite l'exposition à des lois non européennes.

Sous-traitance

Exigez la liste des sous-traitants, votre autorisation préalable, la répercussion des exigences de sécurité et un droit d'opposition. Les attaques par la chaîne d'approvisionnement passent souvent par ce rang.

Pour les entités financières, l'article 30 de DORA liste les clauses obligatoires des contrats de services TIC, renforcées pour les fonctions critiques ou importantes, et le règlement délégué (UE) 2024/1773 précise la politique contractuelle attendue. Le PAS est un support naturel pour y répondre. La correspondance est directe :

Attention : DORA exige que ces clauses figurent dans le contrat lui-même. Un PAS annexé au contrat en fait partie, mais vérifiez avec votre direction juridique que la hiérarchie des documents contractuels le permet. Hors secteur financier, NIS 2 impose de traiter la sécurité des relations avec chaque fournisseur direct (article 21) : nous comparons ces textes dans notre article sur les risques tiers, NIS 2 et DORA. Notre page sur la conformité DORA présente comment Phinasoft outille le reste du règlement.

Un PAS signé puis rangé ne protège pas. Il doit suivre la prestation : comité de suivi à fréquence fixée, indicateurs de sécurité remontés au client, audits réguliers, mise à jour à chaque changement important, et préparation de la réversibilité dès la signature. Le schéma ci-dessous reprend ce cycle.

Les écarts constatés en audit alimentent un plan d'action daté. S'ils persistent, le PAS prévoit soit des pénalités, soit une dérogation formalisée et acceptée par le propriétaire du risque. Côté client, gardez la trace de chaque version du PAS, de chaque comité et de chaque audit : c'est ce qu'un contrôleur, ou un juge, vous demandera.