La plupart des entreprises qui travaillent avec des services IT, qu'elles les achètent ou les fournissent, ont des contrats en place. Ce qu'elles n'ont souvent pas, c'est une vision claire de ce que ces contrats disent réellement, ou de ce qu'il manque.

Cet écart compte davantage qu'avant.

Un contrat IT fonctionne généralement à trois niveaux. Le premier est familier : portée, prix et délais. La plupart des entreprises s'en sortent raisonnablement bien. Le deuxième niveau est plus complexe : propriété intellectuelle, clauses de responsabilité, garanties. Qui est propriétaire de ce qui est développé ? Que se passe-t-il si les performances ne sont pas au rendez-vous ? Ces questions se posent rarement avant qu'un problème survienne, et à ce moment-là, le contrat est déjà signé.

Le troisième niveau est le plus souvent négligé : la couche opérationnelle. Structures de gouvernance, accords de niveau de service, droits d'audit, mesures de sécurité convenues. Comme le formule Niele Dams, expert en contrats IT chez Legile : "Les contrats IT ne sont pas faits pour finir dans un tiroir, ils doivent être suivis de près, et leur non-respect peut entraîner de lourdes sanctions."

C'est précisément cette couche opérationnelle que la réglementation européenne cible désormais. Le RGPD a posé les bases, mais le paysage réglementaire s'est considérablement élargi depuis. DORA oblige les institutions financières à inclure des clauses contractuelles spécifiques avec leurs fournisseurs IT, et ces exigences s'étendent aux fournisseurs eux-mêmes lorsqu'ils soutiennent des fonctions critiques. NIS2 introduit des obligations de sécurité que les entreprises doivent répercuter dans leur chaîne d'approvisionnement. Le Cyber Resilience Act ajoute une couche supplémentaire pour les entreprises qui mettent sur le marché des logiciels ou des produits connectés.

Pour beaucoup d'entreprises, le réflexe est de traiter cela comme un exercice de conformité : quelque chose à gérer une fois et à classer. L'approche plus pragmatique consiste à vérifier ce que vos contrats stipulent réellement et si vos processus internes peuvent les soutenir. Savez-vous qui a accès à quelles données ? Existe-t-il des procédures documentées pour les incidents de sécurité ? Pouvez-vous démontrer à un client ou à un auditeur que ce qui est écrit dans vos contrats reflète votre fonctionnement réel ?

"Il est important de savoir comment mettre de l'ordre dans ses processus internes et comment négocier correctement ses contrats", explique Niele.

Chez Legile, nous accompagnons les entreprises sur ces deux points.

‍

‍

‍

‍