CCAG TIC 2021 : guide pour les marchés informatiques et télécom

Définition et rôle

Le CCAG TIC fixe les clauses administratives types applicables à l'exécution des marchés publics portant sur les techniques de l'information et de la communication. Il n'est pas obligatoire : il s'applique uniquement lorsque les documents particuliers du marché (CCAP, acte d'engagement) y font expressément référence.

Son rôle est de fournir un cadre équilibré entre acheteur public et titulaire, en couvrant l'ensemble du cycle de vie d'un projet TIC : livraison, vérification, garantie, maintenance, propriété intellectuelle et fin de contrat.

Champ d'application

Le CCAG TIC couvre un spectre large de prestations numériques :

• Fourniture de matériel informatique ou de télécommunications (serveurs, postes de travail, équipements réseau)
• Fourniture de logiciels sur étagère (licences commerciales, progiciels)
• Développement de logiciels spécifiques (applications sur mesure, SI métier)
• Intégration et déploiement de systèmes d'information
• Maintenance et tierce maintenance applicative (TMA)
• Infogérance et services managés (hébergement, exploitation, supervision)
• Services cloud (IaaS, PaaS, SaaS) et prestations de cybersécurité

CCAG TIC, CCAG PI ou CCAG FCS : lequel choisir ?

Le choix du bon CCAG dépend de la nature dominante des prestations. Voici un comparatif :

La version 2021 est une refonte profonde du texte de 2009. Les évolutions reflètent 12 ans de transformation numérique, l'entrée en vigueur du RGPD et la montée des enjeux de cybersécurité.

Le CCAG TIC se distingue des autres CCAG par des mécanismes propres au cycle de vie des projets informatiques. Voici les principaux.

Les phases de vérification : VA et VSR

Le CCAG TIC organise la réception des prestations en deux phases successives, adaptées à la complexité des projets TIC :

1. Mise en ordre de marche (MOM) : le titulaire installe et configure le système, puis informe l'acheteur que la solution est prête à être vérifiée (article 29).
2. Vérification d'Aptitude (VA) : l'acheteur vérifie que le système livré est conforme aux spécifications du CCTP. La VA remplace l'ancienne VABF. Si la VA est positive, l'acheteur prononce l'admission. En cas de réserves, le titulaire dispose d'un délai pour corriger.
3. Vérification de Service Régulier (VSR) : cette phase observe le fonctionnement du système en conditions réelles sur une durée fixée par le marché (par défaut, un mois). Le service est considéré comme régulier si le taux d'indisponibilité imputable au titulaire ne dépasse pas 2 % du temps d'utilisation effective (8h-18h, lundi à vendredi, hors jours fériés).

Les quatre types de maintenance

Le chapitre 6 du CCAG TIC (articles 38 à 42) définit précisément quatre types de maintenance :

Niveaux de service et pénalités associées

Le CCAG TIC prévoit que les documents particuliers du marché définissent des niveaux de service (SLA) assortis de pénalités. Les indicateurs courants incluent :

• Taux de disponibilité (ex. : 99,5 % en heures ouvrées)
• Délai de prise en compte d'un incident (GTI : Garantie de Temps d'Intervention)
• Délai de rétablissement du service (GTR : Garantie de Temps de Rétablissement)
• Délai de résolution définitive d'une anomalie

Les pénalités de retard sont calculées selon la formule : P = V x R / 1 000, où V est la valeur de la prestation et R le nombre de jours de retard. Le total des pénalités est plafonné à 10 % du montant HT du marché (article 14.1.2). Le titulaire est exonéré si le cumul des pénalités ne dépasse pas 1 000 € (article 14.1.3).

Réversibilité et transférabilité

L'article 42 du CCAG TIC organise la fin de contrat pour les prestations d'infogérance et de services managés :

• Réversibilité : reprise des prestations par l'acheteur lui-même. Le titulaire doit fournir un plan de réversibilité, les codes sources, la documentation technique et fonctionnelle, les fichiers de configuration, les scripts d'exploitation, et mettre en place des interfaces techniques (API, formats pivots) permettant l'accès aux données.
• Transférabilité : reprise des prestations par un nouveau titulaire. Le prestataire sortant doit coopérer avec le nouveau prestataire pendant la période de transition.

Tierce Maintenance Applicative (TMA)

La TMA est spécifiquement définie à l'article 38 : elle consiste à maintenir un système d'information en conditions opérationnelles et de sécurité, de manière préventive ou corrective. Elle peut inclure des travaux d'évolution ou d'adaptation. La TMA peut s'exercer sur site ou à distance, et concerne aussi bien les applications développées en interne que les progiciels paramètrés.

Voici les points essentiels que tout prestataire TIC et tout acheteur public doivent maitriser pour sécuriser l'exécution d'un marché sous CCAG TIC.

1. Vérification d'Aptitude (VA) : bien préparer la recette

• Définissez dans le CCTP un plan de tests exhaustif avec des critères objectifs de conformité (cas de test, jeux de données, scénarios utilisateurs).
• Prévoyez un délai réaliste pour la VA : les projets d'intégration complexes nécessitent souvent plusieurs semaines.
• Documentez chaque anomalie et son niveau de gravité (bloquante, majeure, mineure) pour cadrer les ajournements éventuels.

2. VSR : surveiller le taux d'indisponibilité

• Le seuil par défaut de 2 % d'indisponibilité sur la plage 8h-18h représente environ 12 minutes par jour. C'est exigeant pour les systèmes complexes.
• Négociez, dans le CCAP, un taux adapté à la criticité réelle du système. Un portail intranet de consultation n'a pas les mêmes exigences qu'un SI de gestion des urgences.
• Mettez en place un outil de monitoring partagé entre acheteur et titulaire pour objectiver les mesures.

3. Niveaux de maintenance et pénalités

• Distinguez clairement les quatre types de maintenance dans votre offre. La maintenance évolutive et adaptative ne relève pas des mêmes engagements que la corrective.
• Définissez des GTI et GTR par niveau de criticité (P1 critique, P2 majeur, P3 mineur). Exemple : GTI de 1h et GTR de 4h pour un incident P1.
• Vérifiez que le plafond de pénalités à 10 % n'a pas été relevé par dérogation dans le CCAP. Certains acheteurs fixent des plafonds plus élevés.

4. Protection des données et réversibilité

• L'article 5.2 impose le respect du RGPD. Si vous êtes sous-traitant de données (au sens du RGPD), vous devez formaliser les obligations dans un contrat de sous-traitance de données conforme à l'article 28 du RGPD.
• L'article 42 impose un plan de réversibilité. Prévoyez-le dès la conception de votre solution : formats ouverts, documentation à jour, API d'export.
• En cas d'hébergement hors UE, l'article 28 du CCAG TIC et les clauses relatives aux flux de données imposent des garanties renforcées. Privilégiez un hébergement souverain qualifié SecNumCloud si le marché le requiert.

5. Gestion des licences logicielles

• Précisez dans votre offre les conditions de licence : nombre d'utilisateurs, durée, périmètre géographique, conditions de renouvellement.
• Distinguez les licences perpétuelles des abonnements (modèle SaaS). Le CCAG TIC couvre les deux cas, mais les implications financières en fin de marché sont très différentes.
• En cas de développement spécifique, le régime de propriété intellectuelle (chapitre 7, articles 43 à 46) détermine si l'acheteur dispose des codes sources et des droits de modification. Vérifiez le régime choisi dans le CCAP.

6. Spécificités cloud et SaaS

Si vous êtes une ESN, un éditeur de logiciels, un intégrateur ou un prestataire d'infogérance, voici les conseils pratiques pour aborder sereinement un marché sous CCAG TIC.

Négocier les SLA avec lucidité

• Ne signez pas des engagements de disponibilité à 99,9 % si votre infrastructure ne le permet pas. Un taux de 99,9 % sur un mois ne laisse que 43 minutes d'indisponibilité autorisée. Calculez vos capacités réelles avant de répondre.
• Proposez des niveaux de service différenciés selon les environnements (production, pré-production, recette) et les plages horaires (heures ouvrées vs 24/7).
• Prévoyez des exclusions d'indisponibilité dans votre offre : maintenance programmée, incidents causés par l'acheteur, force majeure. Le CCAG TIC ne les prévoit pas par défaut.

Anticiper la réversibilité dès la conception

• Intégrez un plan de réversibilité dans votre réponse, même si le règlement de consultation ne l'exige pas explicitement. C'est un signal de maturité qui rassure l'acheteur.
• Utilisez des formats standards et ouverts pour le stockage des données (JSON, XML, CSV). Documentez vos API.
• Chiffrez le cout de la réversibilité dans votre offre financière. Les opérations de migration et de transfert de compétences représentent un effort réel.

Protéger votre propriété intellectuelle

• Le chapitre 7 du CCAG TIC prévoit deux options pour la propriété intellectuelle. L'option A (concession) vous laisse la propriété des développements : l'acheteur obtient un droit d'usage. L'option B (cession) transfère la propriété à l'acheteur.
• Si votre offre repose sur un socle logiciel propriétaire (framework, bibliothèques, modules réutilisables), identifiez-le clairement comme "connaissance antérieure" (article 43). Les connaissances antérieures restent votre propriété, quel que soit le régime choisi.
• Négociez dans le CCAP la liste précise des livrables soumis au régime de propriété intellectuelle. Évitez les formulations vagues ("tous les développements réalisés dans le cadre du marché").

Dérogations du CCAP : ce qu'il faut surveiller

Le CCAP peut déroger au CCAG TIC sur de nombreux points. Voici les dérogations les plus fréquentes et leur impact :

Erreurs côté acheteur public

Erreurs côté prestataire