Clause de réversibilité en infogérance : checklist + modèle PME
Par Léo Dugué
Le 25-02-26
Table des matières
Externaliser son informatique (infogérance) est souvent une bonne décision… jusqu’au jour où vous devez changer de prestataire.
La “clause de réversibilité” sert précisément à éviter les sorties chaotiques : elle organise la restitution des accès, des données, des configurations et de la documentation, pour continuer sans rupture.
L’administration française résume bien l’idée : à l’expiration du contrat, la réversibilité vise la poursuite des services sans discontinuité ni perte d’information (si la clause existe). (Service Public Entreprendre)
Dans ce guide :
une checklist de ce que vous devez récupérer,
un plan de réversibilité type,
un modèle de clause,
et quoi faire si un prestataire ralentit / bloque.
La clause de réversibilité est une clause contractuelle qui décrit comment vous “reprenez la main” en fin de contrat :
soit vous internalisez (vous reprenez),
soit vous transférez à un nouveau prestataire.
Dans le CCAG-TIC (référence public), la réversibilité est définie comme des opérations de retour de responsabilité, et ses modalités figurent dans un plan de réversibilité. (Légifrance)
Glossaire
Plan de réversibilité : annexe “mode opératoire” de la clause (étapes, calendrier, liste d’actifs, formats d’export, validations, preuves).
Transférabilité : organisation du passage à un nouveau prestataire (reprise des services par un tiers), avec une période de transition cadrée.
Tenant (Microsoft 365) : environnement “client” Microsoft (domaine, comptes, paramètres, sécurité) dont il faut rester propriétaire.
Entra ID : annuaire d’identités Microsoft (ex Azure AD) qui gère comptes, droits, accès et politiques de sécurité.
Intune : outil Microsoft de gestion des postes et mobiles (configuration, conformité, déploiement, politiques de sécurité).
Administrateur global / super-admin : compte avec les droits maximums sur un environnement (ex. Microsoft 365), indispensable pour reprendre la main.
Délégation d’administration : mode où le prestataire intervient avec des droits délégués, sans être propriétaire des comptes et de l’environnement.
RBAC : gestion des droits par rôles (qui peut faire quoi), pour limiter les accès et tracer les actions.
Runbook : procédure opérationnelle “pas à pas” (restauration, onboarding poste, incident critique) exploitable par une équipe entrante.
Co-exploitation : période où l’ancien et le nouveau prestataire (ou l’équipe interne) opèrent ensemble pour sécuriser la bascule.
Clause vs plan de réversibilité : la différence qui change tout
RGPD : la réversibilité touche aussi à la restitution/suppression des données
En infogérance, votre prestataire peut agir comme sous-traitant au sens RGPD. À la fin de la prestation, les obligations “fin de sous-traitance” sont un point de risque classique : selon les instructions du client, il faut supprimer ou renvoyer les données et détruire les copies, sauf obligation légale de conservation. (CNIL)
👉 Ici, on ne refait pas tout le RGPD : dans votre article dédié “infogérance & RGPD / art. 28”, vous développez. Dans cet article “réversibilité”, on met juste le garde-fou : “restitution/suppression + preuve”.
Objet La présente clause définit les modalités de réversibilité/transférabilité des prestations d’infogérance afin d’assurer la continuité d’exploitation et la restitution des actifs nécessaires.
Définitions
Réversibilité” : opérations de retour de responsabilité permettant au Client (ou à un tiers désigné) de reprendre les prestations. (Inspiration CCAG-TIC). (Légifrance)
“Transférabilité” : opérations permettant au nouveau prestataire désigné de reprendre les prestations.
Périmètre Sont inclus : systèmes, comptes, configurations, scripts, documentation, données, sauvegardes, outils de sécurité, supervision, tickets et inventaires relatifs au périmètre décrit en Annexe A (Inventaire des actifs).
Livrables de réversibilité (obligatoires), le prestataire fournit au minimum :
a) Accès et identités : comptes admin, délégations, coffres, liste des comptes techniques, procédures de rotation.
b) Données : exports et/ou transferts des données du périmètre au format [préciser], avec arborescence et contrôle d’intégrité.
c) Configurations : exports/politiques/configurations documentés (M365/Entra/Intune, sauvegarde, EDR/RMM, réseau).
d) Documentation : runbooks, schémas, inventaires, liste licences, état des lieux.
e) Preuves : bordereau de restitution + (si applicable) preuves de suppression/destruction des copies selon instruction.
Plan de réversibilité Le plan détaillé (Annexe B) précise : calendrier, responsabilités, formats de livrables, canaux de transfert, validations (PV), et modalités de co-exploitation.
Délais La période de réversibilité est fixée à [X] jours à compter de la notification de fin de contrat / non-renouvellement.
Coûts La réversibilité est :
incluse jusqu’à [X] heures, puis facturée [THM/TJM],
avec un plafond de [€] sauf accord écrit préalable du Client.
Sécurité Les transferts s’effectuent via [canal sécurisé]. À l’issue, le Prestataire révoque ses accès (comptes, rôles, agents) selon une procédure convenue et remet une attestation de révocation.
Données personnelles (RGPD) Au terme de la prestation et selon les instructions du Client, le Prestataire supprime ou restitue les données personnelles et détruit les copies existantes, sauf obligation légale de conservation. (CNIL)
Acceptation Un procès-verbal de sortie (Annexe C) valide la complétude des livrables. Toute réserve est listée avec délai de correction.
Si le prestataire bloque (ou traîne) : plan d’action
Sans dramatiser… ça arrive.
Objectif : rester factuel, documenter, garder la continuité.
Revenir au contrat + à la clause (et constater les manquements, par écrit)
Demander les livrables minimaux en priorité : accès admin + inventaire + sauvegardes + docs d’exploitation
Réduire la dépendance : récupérer DNS/registrar, comptes M365, consoles EDR/RMM
Sécuriser la transition : rotation des secrets, révocation progressive, co-exploitation
Tracer : PV, emails, checklist signée (utile en cas de litige)
Escalader : direction → mise en demeure → conseil (si nécessaire)
La clause de réversibilité est aussi recommandée pour éviter la dépendance à une offre unique (logique anti lock-in). (cyber.gouv.fr)
Réponses à vos questions
Quel délai prévoir pour changer de prestataire informatique ?
Pour une PME “classique” (M365 + parc postes + sauvegarde + sécurité), prévoyez une phase de préparation (2–4 semaines) + bascule (1–2 semaines) selon la qualité de la doc et l’accès aux consoles.
Qu’est-ce qui doit être restitué à la fin d’un contrat d’infogérance ?
Au minimum : accès admin, données, configurations, documentation d’exploitation, inventaires, et, si applicable, preuves de suppression/restitution (RGPD). (Service Public Entreprendre)
Réversibilité vs transférabilité : c’est pareil ?
Non : réversibilité = vous reprenez ; transférabilité = un nouveau prestataire reprend. (Légifrance)
Le prestataire doit-il supprimer ou rendre les données personnelles ?
Oui, selon les instructions du client, avec destruction des copies sauf obligation légale de conservation. (CNIL)
Contenu informatif, ne remplace pas un conseil juridique. Les exemples doivent être adaptés à votre situation contractuelle.
