Infogérance TPE PME : le contrat à exiger en France
Pour une TPE ou une PME en France, l'infogérance consiste à confier tout ou partie de son informatique à un prestataire : postes, serveurs, messagerie, sauvegarde et sécurité. Le conseil le plus utile tient en une phrase : déléguer le travail ne délègue pas la responsabilité. Un bon contrat fixe donc des engagements mesurables, prouve que les sauvegardes se restaurent et prévoit dès le départ comment partir. C'est sur ces trois points que se distingue un prestataire sérieux.
Précision d'intérêt : je m'occupe de sites et d'applications web, de leur hébergement et de leur maintenance, pas de parcs de postes. Ce guide vous concerne donc même si je ne suis pas celui qu'il vous faut pour l'essentiel de votre informatique.
Les prestations d'une infogérance pour TPE et PME
Le mot recouvre des réalités très différentes. Une fiche pratique de Generali de mars 2026 distingue la gestion d'infrastructures (matériel, supervision, sauvegarde), la gestion d'applications (support et maintenance) et l'hébergement de services en ligne. Avant tout devis, faites l'inventaire de ce que vous déléguez réellement.
| Poste | Prestation attendue | Question qui révèle le sérieux |
|---|---|---|
| Postes et assistance | Support aux utilisateurs, équipements recensés | La liste des équipements couverts figure-t-elle au contrat ? |
| Serveurs et réseau | Supervision, mises à jour, pare-feu | Quels indicateurs recevrai-je, et à quelle fréquence ? |
| Sauvegarde | Copies régulières, tests, compte rendu | Quand a eu lieu le dernier test, et où en est la preuve ? |
| Cybersécurité | Accès, correctifs, réponse à incident | Qui fait quoi si un rançongiciel frappe un dimanche ? |
| Site et applications web | Souvent absents du contrat | Qui met à jour le site et ses extensions ? |
La dernière ligne mérite une attention particulière. Un prestataire excellent sur les postes de travail peut ne jamais toucher au site de l'entreprise. Si personne n'en est nommément responsable, personne ne s'en occupe.
Le contrat : ce que recommande l'ANSSI
Le texte de référence reste le guide de l'ANSSI Externalisation et sécurité des systèmes d'information. Il date de 2010 et vise large, mais sa logique tient toujours. Il identifie trois risques : la perte de maîtrise du système, les interventions à distance et l'hébergement mutualisé. Il s'appuie sur un plan d'assurance sécurité (PAS), un document où le prestataire décrit les mesures qu'il s'engage à mettre en place, et fournit des clauses types. Comme le résume IT-Connect, ce plan doit entrer dans les documents contractuels, et le contrat traite aussi de la responsabilité, de la confidentialité, de la localisation des données, des audits et de la réversibilité.
Pour une TPE, un PAS de cinquante pages n'a pas de sens. Gardez l'esprit : deux ou trois pages écrites, annexées au contrat, valent mieux qu'une promesse commerciale. La réversibilité, elle, ne se négocie pas au moment de partir : la fiche de Generali insiste sur le fait qu'il faut l'imposer d'emblée et préciser le format de livraison des fichiers.
Côté données personnelles, la CNIL demande un contrat conforme à l'article 28 du RGPD, signé avant le début de la prestation, avec les conditions de restitution et de destruction en fin de contrat. Elle conseille aussi de vérifier la localisation réelle des données et de prévoir les moyens de contrôler les garanties du prestataire. Je ne suis pas juriste : faites relire le document.
Sauvegarde : le seul test qui compte
Les deux lignes les plus importantes d'une offre sont souvent en bas de page. L'ANSSI recommande la règle 3-2-1 : les données en production, plus deux sauvegardes sur des supports différents, dont une hors ligne. La raison est simple, et Cybermalveillance.gouv.fr la rappelle : lors d'une attaque par rançongiciel, les sauvegardes connectées au réseau sont une cible. Cette même fiche recommande de vérifier périodiquement la restauration et de régler la fréquence selon la perte de données acceptable : un jour, une semaine ou un mois.
Exigez donc un compte rendu de chaque opération, avec un indicateur de réussite ou d'échec, comme le propose la fiche de Generali, et au moins un test de restauration daté. Si vous ne devez retenir qu'un conseil de cet article, c'est celui-là.
Cybersécurité : où trouver un prestataire et une base de travail
Le guide de l'ANSSI et de la DGE La cybersécurité pour les TPE/PME en 13 questions reste une bonne grille pour évaluer votre situation avec votre prestataire. Pour trouver des professionnels, Cybermalveillance.gouv.fr propose le label ExpertCyber, délivré après un audit d'AFNOR Certification. Vous pouvez y décrire votre besoin pour être mis en relation, et la prestation qui suit est payante.
Gardez un œil critique sur les contenus marketing. Cet article d'IT-Connect d'août 2026, marqué comme sponsorisé, propose sept exigences pertinentes : engagements chiffrés, sécurité incluse, sauvegardes testées, réversibilité écrite, modèle économique lisible, proximité vérifiable, preuve par la mesure. Il oppose un contrat à 40 € par poste à un autre à 60 €, mais ce n'est qu'une illustration, pas un prix du marché. Je n'ai pas trouvé de source fiable pour un tarif français moyen par poste : demandez plusieurs devis sur le même périmètre.
Quand je ne suis pas le bon interlocuteur
Pour vos postes, votre réseau et votre messagerie, choisissez un infogérant de proximité, capable de se déplacer. Là où je peux être utile, c'est sur la partie web que ce contrat laisse souvent de côté : site vitrine, boutique, application métier, portail client. Lisez aussi mon article sur la cybersécurité informatique pour une PME, puis, si votre site reste sans responsable, regardez mon offre d'hébergement et maintenance. Vous parlez directement à la personne qui intervient, avec une réponse sous 24 heures ouvrées. Le prix se connaît sur simple demande de devis.