Comment trouver un prestataire fiable pour l’infogérance hospitalière ?

Un hôpital ne choisit pas un simple dépanneur informatique. Il confie parfois à un tiers l’exploitation de serveurs, d’applications métier, de sauvegardes et d’accès dont dépendent les professionnels de santé au quotidien. Pour cadrer les responsabilités dès le départ, nous présentons aussi notre RSSI externalisé pour les établissements de santé, une solution utile lorsque l’établissement doit renforcer sa gouvernance SSI sans recruter immédiatement.

La question de savoir comment trouver un prestataire fiable pour l’infogérance hospitalière se traite comme un projet de sécurité informatique et de continuité des soins, pas comme un simple achat de service. Le prix compte, mais il ne permet pas de départager deux offres si leurs périmètres, leurs délais d’intervention ou leurs responsabilités en cas d’incident restent flous. La bonne méthode consiste à partir des risques réels de l’établissement, puis à demander des preuves vérifiables avant de faire appel à un prestataire.

Commencer par définir ce qui doit être externalisé

Avant de contacter des prestataires, écrivez ce que vous voulez réellement confier. Une infogérance informatique globale peut couvrir les serveurs, les réseaux, les postes, les bases de données, les applications métier, la supervision, la sauvegarde et le support. Une infogérance partielle peut au contraire se limiter à un périmètre précis, par exemple l’exploitation d’une infrastructure virtualisée, une partie du cloud ou la surveillance de la sécurité informatique.

Cette distinction évite les malentendus commerciaux. Un établissement peut conserver une équipe informatique interne tout en externalisant l’administration de certaines plateformes, la supervision hors heures ouvrées ou la gestion des sauvegardes. Il peut aussi chercher un partenaire temporaire pour remettre à niveau son parc informatique, documenter ses procédures ou préparer une migration vers le cloud.

Le cahier des charges doit préciser au minimum les applications critiques, les serveurs concernés, les interfaces avec le DPI, les bases de données, les flux réseau, les comptes à privilèges et les dépendances avec les éditeurs de logiciels. Ajoutez les périodes sensibles, les horaires de présence des équipes et collaborateurs, les contraintes d’intervention sur site et les conséquences d’une interruption pour les services de soins. C’est cette partie du travail, en amont, qui conditionne la qualité des réponses que vous recevrez.

Distinguez aussi les tâches quotidiennes des missions de transformation. La supervision et la maintenance informatique relèvent du fonctionnement courant. La refonte d’une architecture, la mise en place d’un plan de reprise d’activité ou l’intégration d’un nouveau service d’identité doivent faire l’objet d’un pilotage de projet séparé, avec des livrables et un budget identifiés. Confier ces deux niveaux à un seul contrat sans les distinguer rend le suivi difficile et brouille la mesure des coûts.

Vérifier l’expérience santé et le périmètre HDS

Un prestataire informatique qui travaille surtout avec des entreprises tertiaires ne maîtrise pas forcément les contraintes d’un établissement de santé. Demandez des références comparables, mais interrogez surtout le candidat sur des situations concrètes qu’il sait gérer : une indisponibilité du DPI, une restauration de base de données, une intervention sur un serveur critique ou une compromission de compte administrateur. La façon dont il répond en dit plus long que sa plaquette.

La certification HDS doit être examinée avec précision lorsque le prestataire héberge, administre ou sauvegarde des données de santé pour le compte de l’établissement. La liste officielle des hébergeurs HDS permet de vérifier l’identité de l’entreprise, la version du référentiel et les activités couvertes. Il ne suffit donc pas de repérer un logo HDS sur une page commerciale.

Le périmètre du certificat doit correspondre au service réellement acheté. Un prestataire peut être certifié pour certaines activités sans couvrir toute la chaîne, depuis l’infrastructure physique jusqu’à l’administration du système d’information et la sauvegarde. Si plusieurs entreprises interviennent, demandez une matrice claire indiquant qui est responsable de chaque couche et de chaque opération.

Dans notre cas, la liste publique de l’Agence du Numérique en Santé recense gplexpert pour les activités 2, 3, 4, 5 et 6 du référentiel HDS version 2.0. Ce point doit être rapproché du périmètre de votre projet, de vos hébergements et de vos obligations légales. Notre approche associe hébergement, infogérance, cybersécurité et gouvernance du SI, au cœur d’une même équipe, pour éviter une succession d’intervenants difficiles à coordonner.

Évaluer la sécurité et la continuité des services

La sécurité informatique ne se résume pas à installer un antivirus. Demandez comment le prestataire gère les comptes administrateurs, les correctifs, les journaux, les vulnérabilités, les accès distants et les changements de configuration. Les réponses doivent décrire des procédures opérationnelles, des responsabilités et des délais, pas seulement une liste d’outils ou de solutions vendues sur étagère.

Une offre adaptée doit expliquer la différence entre supervision technique et surveillance cybersécurité. Un NOC peut suivre la disponibilité des équipements, la capacité des réseaux et la performance des applications. Un SOC peut analyser les événements de sécurité, repérer des comportements suspects et organiser la réponse à incident. Selon la criticité du SI, ces deux fonctions peuvent être nécessaires en parallèle.

La sauvegarde mérite un examen séparé. Demandez la fréquence des copies, leur localisation, leur chiffrement, leur durée de conservation et les personnes autorisées à les restaurer. Surtout, exigez des tests de restauration planifiés. Une sauvegarde qui n’a jamais été restaurée en conditions contrôlées ne garantit rien.

Le plan de reprise d’activité doit préciser les services prioritaires, l’ordre de redémarrage et les dépendances techniques. Faites définir un RTO, c’est-à-dire le délai maximal de reprise, et un RPO, qui correspond à la quantité maximale de données que l’établissement accepte de perdre. Ces objectifs doivent rester cohérents avec les usages réels des services concernés, pas avec des chiffres génériques recopiés d’un autre contrat.

Les établissements soumis à des obligations renforcées doivent aussi intégrer leur gouvernance cyber dans le choix du prestataire. Les ressources de l’ANSSI sur NIS2 rappellent l’importance d’une organisation structurée de la sécurité, de la gestion des risques et de la notification des incidents pour les entités concernées. La certification HDS ne remplace donc pas une analyse globale des risques ni une politique de sécurité à jour.

Comparer le support, les SLA et l’astreinte

Un support annoncé comme réactif ne permet pas de comparer deux offres. Demandez des chiffres contractuels. Quel est le délai de prise en charge d’un incident bloquant le DPI ? Quel est le délai de rétablissement visé ? Qui décide du niveau de criticité ? À quel moment l’incident est-il escaladé vers un ingénieur ou vers l’éditeur de l’application ?

Les accords de niveau de service doivent distinguer les horaires ouvrés, les nuits, les week-ends et les jours fériés. Un établissement peut avoir besoin d’une astreinte 24 heures sur 24 et 7 jours sur 7 pour certaines applications, sans vouloir payer cette couverture pour tout le parc informatique. Le contrat d’infogérance doit donc associer chaque niveau de service à un périmètre précis, faute de quoi la facture grimpe sans que le service rendu suive.

Vérifiez aussi les canaux de support. Un portail de tickets ne suffit pas si les équipes ne savent pas comment joindre rapidement le prestataire en cas d’urgence. Demandez le fonctionnement du service desk, la présence d’un interlocuteur dédié, la procédure d’escalade et le mode de suivi des incidents majeurs. La proximité de l’équipe support avec vos collaborateurs fait souvent la différence dans la relation au quotidien.

La capacité d’intervention sur site reste utile, même lorsque l’infrastructure est largement administrée à distance. Une panne matérielle, un problème de câblage, un équipement réseau défaillant ou une intervention nécessitant un accès physique ne se résout pas toujours par télémaintenance. Le prestataire doit préciser ses zones d’intervention en France, ses délais et les coûts associés.

Chez gplexpert, nous organisons l’infogérance selon plusieurs niveaux de couverture, globale, partielle ou à la demande. Les prestations peuvent être assurées à distance ou sur site. Une astreinte peut aussi être prévue pour les applications métier critiques, avec une couverture 24 heures sur 24 et 7 jours sur 7 lorsque cette option est retenue dans le contrat.

Tester la compatibilité avec le DPI et les services d’identité

Un prestataire peut être compétent sur l’infrastructure et rencontrer pourtant des difficultés avec votre environnement applicatif métier. Avant de signer, faites travailler ses équipes sur un cas concret. Présentez la version du DPI, les bases de données utilisées, les flux avec les laboratoires, l’imagerie, la pharmacie, la facturation et les services d’identité.

La compatibilité applicative se vérifie sur plusieurs niveaux. Il faut regarder les systèmes d’exploitation, les versions de bases de données, les certificats, les règles de pare-feu, les interfaces, les mécanismes de sauvegarde et les procédures de mise à jour des logiciels. Un changement apparemment limité peut affecter plusieurs applications connectées entre elles.

Les projets d’authentification forte demandent la même rigueur. L’IAM, le SSO, la fédération d’identités, Pro Santé Connect et les annuaires internes doivent être étudiés ensemble. Demandez un schéma des flux, une méthode de reprise en cas d’échec et un plan de retour arrière si le déploiement perturbe l’accès aux outils de soin.

La conduite du changement fait partie de la fiabilité du projet, autant que la technique. Les professionnels de santé doivent savoir ce qui change, à quel moment et vers qui se tourner. Une solution techniquement correcte peut être mal adoptée si les comptes sont difficiles à utiliser, si les procédures d’urgence sont absentes ou si les équipes ne disposent pas d’une formation adaptée.

Pour cette raison, nous intégrons, lorsque c’est nécessaire, l’ingénierie, l’accompagnement des identités, la formation et le changement dans une même trajectoire. Notre retour d’expérience sur une infogérance en établissement de santé peut aider à comprendre comment relier les enjeux techniques et les contraintes d’exploitation.

Lire le contrat avant de comparer les tarifs

Deux devis ne sont comparables que si leur périmètre est identique. Vérifiez les équipements inclus, le nombre d’applications, les environnements de test, les bases de données, les interventions sur site, les licences, les projets et les horaires de support. Toute exclusion doit apparaître dans une annexe lisible, pas dans une note de bas de page.

Le contrat doit également préciser les responsabilités en cas de sous-traitance. La CNIL, sur la sous-traitance, rappelle qu’un contrat doit encadrer l’objet, la durée, la finalité du traitement et les obligations du sous-traitant. Dans un établissement de santé, ajoutez la liste des sous-traitants ultérieurs, les accès possibles aux données, les mesures de sécurité et les modalités de notification d’un incident.

La réversibilité contractuelle mérite une clause détaillée, même si vous n’envisagez pas de changer de prestataire. Elle doit prévoir la restitution des données, des sauvegardes, des configurations, des schémas réseau, des journaux utiles, des comptes et de la documentation. Précisez les formats d’export, les délais, l’assistance attendue et les coûts de transition. Un partenaire de confiance ne s’oppose jamais à ce point du contrat.

Demandez aussi qui possède les comptes administrateurs et les licences. L’établissement doit pouvoir reprendre la main sur ses ressources critiques à tout moment. Un prestataire fiable accepte de documenter son intervention et de partager les informations nécessaires à la continuité du service, sans créer une dépendance artificielle qui l’arrangerait commercialement.

Enfin, analysez la structure de prix. Un forfait mensuel peut faciliter le pilotage des coûts, tandis qu’une facturation au ticket peut convenir à un périmètre limité, par exemple pour une PME rattachée à un groupe hospitalier. Le point important est de savoir ce qui déclenche une facturation supplémentaire, comment sont chiffrées les évolutions et si les interventions d’urgence sont incluses ou non.

Comparer les preuves et organiser une phase pilote

La présentation commerciale ne suffit pas pour choisir un prestataire. Demandez à chaque candidat les mêmes documents, puis comparez les réponses dans une grille. Vous pouvez retenir l’expérience en santé, le périmètre HDS, la couverture du support, les objectifs de reprise d’activité, les références, la capacité d’intervention sur site, la compatibilité avec votre architecture et les modalités de réversibilité.

Une référence utile n’est pas seulement un logo connu. Demandez depuis combien de temps le prestataire accompagne l’établissement, quel périmètre il exploite et comment sont organisés les comités de suivi. Un échange avec un client comparable peut révéler des éléments absents du devis, comme la qualité du reporting, la stabilité des interlocuteurs ou la capacité à expliquer clairement les incidents.

Lorsque le projet le permet, commencez par une phase pilote. Confiez un périmètre limité, par exemple un groupe de serveurs non critiques, une sauvegarde secondaire ou une supervision ciblée. Mesurez ensuite les délais de prise en charge, la qualité des comptes rendus, la capacité à documenter l’existant et la façon dont le prestataire propose des actions correctives. C’est souvent à ce stade que la vraie réactivité d’un prestataire informatique se révèle, bien plus que dans un appel d’offres sur papier.

Nous mettons en avant une spécialisation dans les systèmes d’information de santé depuis 2008, avec une équipe couvrant les dimensions techniques, organisationnelles et réglementaires. Ces années d’expérience ne remplacent pas l’audit de vos besoins, mais elles fournissent un point de départ cohérent pour un établissement qui cherche à réunir infogérance, sécurité, hébergement et gouvernance chez un seul partenaire. Notre page consacrée à nos années de maîtrise des systèmes d’information présente cette expertise dans son contexte.

Pour la décision finale, réunissez la DSI, le RSSI, les responsables métier et la direction. Le prestataire sera chargé d’opérations techniques, mais le choix engage aussi la continuité des soins, la conformité, les coûts et la capacité de l’établissement à faire évoluer son système d’information dans la durée.

Choisir un partenaire qui accepte d’être mesuré

Un prestataire fiable ne se reconnaît pas à la longueur de sa plaquette, mais à la précision de ses réponses. Il peut décrire son périmètre HDS, ses procédures de sécurité informatique, ses délais de support, ses tests de restauration, ses responsabilités et sa méthode de réversibilité. Pour un établissement de santé, la bonne décision repose sur l’adéquation entre ces engagements et les risques réels du SI.

Prenez le temps de comparer les preuves, de tester la relation en phase pilote et de faire valider le contrat par les fonctions techniques, métier, juridiques et de direction. La recherche d’un prestataire pour l’infogérance hospitalière devient alors une démarche de maîtrise, pas une simple mise en concurrence tarifaire.

Construire une infogérance adaptée à votre établissement

Lorsque les équipes internes doivent maintenir les applications critiques, sécuriser les accès et préparer les évolutions du SI, un accompagnement spécialisé peut réduire les zones grises. Nous adaptons le périmètre à votre architecture, à votre niveau de maturité et aux ressources disponibles, avec des interventions à distance ou sur site, en France.

Notre offre associe supervision, maintenance, sauvegardes, sécurité, hébergement et accompagnement de la gouvernance. Elle peut couvrir l’ensemble du système d’information ou seulement certains serveurs, applications et fonctions métier. Pour cadrer votre besoin, consultez notre page consacrée à l’infogérance et aux services managés pour établissements de santé, ou contactez-nous directement pour en discuter.