4. Maîtriser : en gérant les contrats et les dépendances

La commune doit toujours être en mesure de comprendre où sont ses données, qui y a accès, et comment les récupérer.

 

Objectif

Renforcer la souveraineté numérique communale en évitant les situations de dépendance excessive à un prestataire unique (vendor lock-in).

Il ne s’agit pas de tout renégocier ni de changer de prestataire, mais de reprendre la maîtrise minimale des données, des accès et des conditions de sortie.

 

Valeur pour la commune

  • effort modéré pour un impact élevé, et réaliste pour des communes de petite taille,
  • assurer la conformité aux lois et ordonnances sur la protection des données bernoises,
  • permettre la gestion en cas d’incident (cyberattaque, faillite, conflit contractuel)

 

Quand appliquer cette étape ?

  • Lors de chaque renouvellement contractuel
  • Lors de nouveaux projets numériques

 ⇒  Rythme recommandé : 1 à 2 contrats clés par an.

 

Les étapes à réaliser

L’OFCS, dans le cadre de son concept « Cybersécurité tout au long de la chaîne logistique », à définit un guide en 7 étapes. Prévues par des grandes structures, pour des grandes structures.

Les étapes ci-dessous ont été adaptées aux réalités des communes du Grand Chasseral, et afin d'éviter les doublons avec des tâches déjà réalisées dans le cadre de la présente feuille de route.

 

2. Clarifier 15 points essentiels (checklist)

► Checklist pour contractualisation

La checklist se base sur l'exemple mis à disposition par l'OFCS, ayant été simplifiée et structurée pour les besoins des communes du Grand Chasseral.

 

Une logique orientée vers des mesures concrètes

Au-delà d’une conformité générale à des normes parfois floues ou abstraites, les éléments proposés visent surtout à garantir des engagements concrets et vérifiables, par exemple :

  • partage d’informations à une fréquence définie,
  • preuve de l’existence d’outils et de procédures,
  • audits réalisés par des tiers indépendants,
  • obligations claires en cas d’incident.

 

Comment l'appliquer ?

La checklist constitue une base pragmatique et cohérente pour :

  • analyser les contrats proposés par des fournisseurs de solutions numériques,
  • identifier les clauses existantes, insuffisantes ou manquantes,
  • et surtout ouvrir les discussions sur les points essentiels à clarifier, renforcer ou ajouter.

L’objectif n’est pas de négocier dans le détail technique, mais de reprendre la maîtrise contractuelle sur des enjeux critiques, en particulier en matière de cybersécurité et de protection des données, auxquelles les communes sont légalement soumises.

Les éléments sont volontairement formulés à un niveau global, afin de rester accessibles, transversaux et adaptables aux réalités de chaque relation.

 

Une approche simplifiée lorsque la négociation détaillée n’est pas possible

Lorsque les moyens, le temps ou les compétences ne permettent pas une négociation point par point, une approche encore plus pragmatique reste possible en s’appuyant sur deux éléments centraux, qui assurent une conformité minimale :

Ces labels et garanties, lorsqu’ils sont vérifiés par des tiers indépendants (et non simplement déclarés par le prestataire), couvrent généralement des aspects relevant des quatre dimensions présentées ci-dessous.

 

Les points de la checklist sont regroupés selon quatre catégories, qui couvrent les dimensions clés des relations avec les fournisseurs numériques:

1. Mesures de protection des données

Ces mesures visent avant tout à garantir le respect des bases légales applicables, en particulier la loi cantonale bernoise sur la protection des données (LCPD), à laquelle les communes sont soumises.

Concrètement, il s’agit notamment de :

  • limiter le traitement aux données strictement nécessaires,
  • clarifier le traitement des données sensibles,
  • et prévoir des règles claires concernant la destruction des données lorsqu’elles ne sont plus nécessaires.

D’autres exigences peuvent bien entendu être ajoutées dans le même esprit, selon la nature des données traitées et les risques identifiés.

2. Mesures de sécurité

Cette catégorie concerne les mesures techniques et organisationnelles mises en place par le fournisseur pour protéger ses systèmes et les données confiées.

Elle inclut notamment :

  • les sauvegardes et la capacité de restauration,
  • les dispositifs de protection contre les virus, malwares et autres cybermenaces,
  • le chiffrement des données, tant lors des échanges que du stockage,
  • mais aussi – point central – la possibilité de prouver l’existence et l’efficacité de ces mesures (audits, certifications, attestations).

3. Mesures de transparence

Les mesures de transparence visent à éviter les zones d’ombre fréquentes dans les prestations numériques.

Elles cherchent notamment à :

  • rendre visibles les accès aux données (qui, quand, à quoi),
  • obliger le prestataire à déclarer toute sous-traitance,
  • et garantir que les sous-traitants sont soumis aux mêmes exigences que le fournisseur principal.

4. Mesures en cas de cyberincident

Enfin, cette catégorie vise à anticiper l’inévitable : les incidents de sécurité.

Les mesures proposées ont pour objectif de :

  • garantir une information rapide et structurée en cas d’incident,
  • définir des procédures partagées (notification, gestion, correction),
  • clarifier les responsabilités, tant opérationnelles que financières.

    Cette étape correspond aux étapes 3 à 7 du guide de l’OFCS, qui prévoit des audits internes et externes sur la base de questions relatives à la liste susmentionnée.

    En complément à ces négociations, la prochaine section propose 3 clauses minimales à intégrer pour une approche simplifiée.