France – Services de conseil en systèmes informatiques – Marché cadre PRECY - Prestations Cybersécurité

Description détaillée des différents lots : Le présent marché a pour objet la fourniture de prestations en cybersécurité au bénéfice des équipes en charge de la sécurité des systèmes d'information de RTE, au sein de la Direction des Systèmes d'Information et des Télécommunications (DSIT). Dans le cadre de sa politique de sécurité des systèmes d’information, RTE met en œuvre une défense en profondeur, adaptée aux enjeux métiers des différents SI, pour que le SI ne soit pas vecteur de failles de sécurité qui, si elles étaient exploitées, pourraient conduire à des risques sur le système électrique de RTE (divulgation d’informations sensibles, compromission des organes de conduite du réseau, …). Dans ce contexte, une attention particulière est portée au choix des partenaires intervenant dans la sécurité des SI de RTE, afin de s'assurer de leur expertise, fiabilité et engagement dans la protection du système d'information. Le marché est prévu pour une durée de huit (8) ans, comprenant trois (3) années fermes et cinq (5) périodes optionnelles de douze (12) mois chacune. Il sera alloti en quatre (4) lots, dont : - Lot A – Expertises et MCO Ce lot porte sur l’exécution des activités récurrentes et d’expertise indispensable à la sécurité du SI. Exemples d’activités : traitements de tickets, appui technique, interventions en régie, prise en charge des opérations. Ce lot inclut également la mobilisation d’expertises techniques pointues ou rares, pour des prestations telles que de la conception, de l'intégration ou du support de Niveau 3 sur des solutions de sécurité spécifiques, du pentest, de la rétro-ingénierie, la réalisation d’analyses CERT, ou encore la mise en œuvre d’expertises PDIS. La flexibilité du marché permettra ainsi de répondre à des besoins très ciblés exprimés ponctuellement par les équipes d’exploitation ou d’ingénierie. - Lot B – Projets d’ingénierie et études Ce lot cible la réalisation de prestations dans le cadre de projets et études menés par la DSIT de RTE ou en accompagnement des équipes externes. Exemples d’activités : conduite de projets liés à la cybersécurité, production de livrables attendus par les projets clients, études techniques, interventions sous forme de forfaits comportant des jalons et des livrables précis. - Lot C – Gouvernance Ce lot concerne l’élaboration, la mise à jour et la formalisation des politiques de sécurité, en lien étroit avec l’équipe du RSSI. Exemples d’activités : rédaction de référentiels, politiques et procédures sécurité, accompagnement à la conformité réglementaire, suivi de la mise en œuvre des politiques. - Lot D – Plateformes d’intermédiation Ce lot vise à répondre aux besoins spécifiques d’expertise en cybersécurité via le recours à des profils indépendants sur des missions ponctuelles ou très spécialisées. Le périmètre de ce lot, strictement limité aux activités de cybersécurité, est volontairement large afin de permettre l’accès à des compétences rares ou pointues, souvent non définies de façon stricte à l’avance. Les principaux Enjeux du marché à respecter sont : - Sécurisation et résilience du système électrique; - Conformité réglementaire; - Flexibilité et agilité dans la couverture des besoins; - Engagement en matière de responsabilité sociétale et environnementale (RSE).

• ↗24969-1restricted-document

Le Titulaire répond aux besoins suivants : Pour le Lot A – Expertises et MCO : Travaux attendus et types de missions: Le Lot A couvre les prestations d’expertise, d’appui opérationnel (MCO) en cybersécurité, et les activités récurrentes de la DSIT de RTE. Les travaux attendus auprès des Titulaires comprennent notamment, sans s’y limiter : - Expertise technique et veille : Expertise technique sur les différents composants de sécurité du SI de RTE (solutions de filtrage, PKI, supervision sécurité, SIEM, …), Réalisation de schémas techniques et de dossiers techniques simplifiés pour décrire ou faire évoluer les architectures existantes, Veille technologique et analyse des évolutions dans les domaines de la cybersécurité (solutions, menaces, bonnes pratiques). - Appui RUN et support opérationnel : Traitement des tickets ITSM liés aux demandes d’ingénierie de la sécurité du SI de RTE (exemples : ouverture de flux, raccordement à l’Active Directory, raccordement RPWAF, raccordement aux infrastructures du Front-Office, …), Contribution au traitement des demandes de changement impactant la sécurité du SI, Participation au maintien en conditions de sécurité des solutions de sécurité (inventaire, paramétrage, ajustement de règles, contrôles réguliers, …), Support N3 aux projets et à l’exploitant sur des problématiques de sécurité diverses, Contribution à la gestion opérationnelle des vulnérabilités (analyse, qualification, recommandations, suivi de mise en œuvre). - Contrôles et conformité opérationnelle : Audit de sécurité d’architectures ou de configurations existantes, Analyse, traitement et suivi des demandes de dérogations aux exigences de sécurité, en lien avec les personnes chargées de la gouvernance, Maintien et application d’un référentiel de règles opérationnelles de cybersécurité, Accompagnement opérationnel des projets SI dans la prise en compte des exigences de sécurité. - Centre de service cybersécurité : Mise en place et fonctionnement d’un centre de service cybersécurité dédié au traitement des demandes récurrentes et des tickets liés à la sécurité (analyse, réponse, suivi, reporting), selon des modalités définies avec RTE dans les CCTP de chaque mission. Types de profils et compétences requises: Les profils attendus dans le cadre du Lot A sont notamment les suivants (ces profils peuvent évoluer lors de la consultation) : - Architecte cybersécurité : junior, confirmé, sénior - Consultant cybersécurité : junior, confirmé, sénior - Ingénieur cybersécurité : junior, confirmé, sénior - Expert cybersécurité (sur une technologie, ou domaine particulier) : sénior, expert.

Lot B Etudes et projets d’ingénierie couvre les prestations d’études et d’ingénierie projet en cybersécurité, depuis l’analyse préalable jusqu’à l’intégration et le déploiement de solution de sécurité en production, en passant par la conception d’architectures et la réalisation de POC. Il s’agit de prestations structurées, souvent organisées en projets. Les travaux attendus auprès des Titulaires comprennent notamment, sans s’y limiter : - Etudes, analyses et conception : Réalisation d’études techniques en cybersécurité (analyses d’impacts, études de faisabilité, études comparatives de solutions, …), Veille technologique et benchmark de solutions de sécurité (outils, services, architectures) applicables au SI de RTE, Participation à la définition ou à l’évolution des architectures de sécurité (HLD, LLD, DA, DSBE, DEX, roadmap), Contribution à la définition des exigences de sécurité pour les projets SI (exigences techniques, contraintes techniques et d'exploitation, ...). - Conduite et suivi de projets d’ingénierie sécurité : Pilotage de projets d’intégration ou d’évolution de, solutions ou d'infrastructures, de sécurité (planning, jalons, risques, reporting, coordination des acteurs), Animation de comités techniques ou de réunions de suivi de projet. - Intégration, tests et mise en production : Intégration et déploiement de solutions ou d’infrastructures de sécurité au sein du SI de RTE (configuration, paramétrage, préparation des mises en production, accompagnement des équipes d’exploitation), Réalisation de tests, recettes et validations techniques des solutions ou infrastructures de sécurité (élaboration de plans de tests, exécution, analyse des résultats, recommandations), Conception et réalisation de maquettes, prototypes ou POC de solutions de sécurité en environnement de plateforme ou de test. - Documentation et capitalisation : Rédaction de documentation projet (application ou infrastructure) : HLD, LLD, DA, DSBE, DEX, guides de configuration, ... Contribution à la capitalisation technique (retours d’expérience, bonnes pratiques, modèles de documents). Types de profils et compétences requises Les profils attendus dans le cadre du Lot B sont notamment les suivants (ces profils peuvent évoluer durant la consultation) : - Chef de projet : junior, confirmé, sénior - Consultant cybersécurité : junior, confirmé, sénior - Ingénieur cybersécurité : junior, confirmé, sénior

Le Lot C couvre les prestations d’appui à la gouvernance de la cybersécurité, à la gestion des risques cyber et à la conformité réglementaire. Il s’agit d’activités transverses, orientées politiques, référentiels, stratégie, pilotage et accompagnement. Les travaux attendus auprès des Titulaires comprennent notamment, sans s’y limiter: - Système de Management de la Sécurité de l’Information (SMSI) et cadre de gouvernance : Contribution à la définition et à l’évolution du modèle de gouvernance de la cybersécurité au sein de RTE (rôles, responsabilités, processus, …), Appui à la mise en œuvre et au maintien d’un SMSI conforme à la norme ISO 27001 (état des lieux, définition du périmètre, plan d’action, suivi, préparation d’audit de certification). - Appui au pilotage de la gouvernance cybersécurité : Organisation des différents comités : planification, élaboration des ordres du jour, prises de notes et rédaction des comptes-rendus, Mise en place et suivi d’indicateurs, de tableaux de bord et de reporting cybersécurité (risques, conformité, plans d’actions, incidents, ...), Appui de manière ponctuelle sur des sujets liés à l’actualité cyber de RTE : analyse, synthèse, veille, benchmark, …. - Politique et référentiels : Rédaction, mise à jour et maintien de la politique de sécurité du SI et du corpus documentaire associé (PSSI, politiques, directives et règles SSI, ...), Rédaction et maintien des référentiels documentaires de référence (standards, guides, modèles), Rédaction du bilan annuel de mise en œuvre de la PSSI, Rédaction et maintien d’offres de services sécurité, Instruction des demandes de dérogations aux exigences de sécurité du SI, en lien avec les demandeurs, les experts techniques opérationnels (Lot A) et les responsables des risques, Suivi de l’ensemble des dérogations aux exigences de sécurité du SI. - Conformité réglementaire : Accompagnement de RTE dans la mise en conformité avec la directive NIS2 et plus largement dans la prise en compte des évolutions réglementaires (LPM, RGPD, autres référentiels nationaux ou européens), Suivi des différents chantiers de mise en conformité, Elaboration et mise en œuvre d’indicateurs pertinents de suivi de la conformité, notamment NIS2 et LPM, Réalisation d’audits internes de conformité réglementaire et d’analyses d’écarts par rapport aux exigences (LPM, NIS2, RGPD, ...). - Gestion des risques : Maintenir la cartographie des risques cyber de RTE, Pilotage et/ou conduite d’analyses de risques sécurité (méthode EBIOS RM), Rationalisation et suivi global de l’ensemble des plans d’actions. - Contrôle interne sur l’application de la PSSI : Accompagnement de RTE dans le suivi du respect par les agents, prestataires et projets des exigences de sécurité (revues, contrôles, plans d’actions), Contribution à l’élaboration du plan de contrôle interne sur la cybersécurité, Production des éléments nécessaires à la réalisation du contrôle interne, Suivi de la réalisation du contrôle interne par l’ensemble des actes, Elaboration et mise en œuvre d’indicateurs pertinents de suivi du contrôle interne. - Accompagnement des instances européennes : Participation aux instances et groupes de travail européens liés à la cybersécurité (instances ENTSO-E), y compris en langue anglaise, Déclinaison et réalisation des actions liées aux instances ENTSO-E, Suivi des audits et des actions associées des plans de sécurité européen. - Insertion de la Sécurité dans les Projets : Formalisation des méthodologies de prise en compte de la cybersécurité dans les projets de RTE et intégration dans le référentiel de pilotage des projets, Rédaction des modèles de documents à destination des chefs de projet et intégration dans le référentiel de pilotage des projets, Animation des chefs de projets sur l’intégration de la cybersécurité, Appui à la rédaction de CCTP et/ou à la lecture des Plans d’Assurance Sécurité pour des consultations portant sur des projets à enjeux cybersécurité. - Sensibilisation et accompagnement à la cybersécurité : Conception et réalisation d’actions de sensibilisation et de formation aux enjeux de cybersécurité à destination des salariés de RTE, Appui à la communication sur la sécurité (supports, messages, campagnes, événements internes), Appui aux animations Métier et Métier SI (filière SI et filière ASI). - Outils de GRC (Gouvernance, gestion des Risques et Conformité) : Etude des outils de GRC du marché, Mise en œuvre de POC (Proof of Concept), Aide au choix d’outils et à leur mise en œuvre au sein de RTE, Maintien en conditions opérationnelles des outils mis en œuvre. Types de profils et compétences requises Les profils attendus dans le cadre du Lot C sont notamment les suivants (ces profils peuvent évoluer durant la consultation) : - Consultant GRC : junior, confirmé, sénior - PMO : confirmé, sénior.

Travaux attendus et types de missions Le Lot D couvre le recours à des profils indépendants ou très spécialisés, généralement portés par des sociétés d’intermédiation ou de portage. Le Lot D couvre des besoins qui relèvent des mêmes domaines fonctionnels que ceux couverts par les lots A, B et C, mais nécessitent une expertise rare, très pointue ou difficilement disponible via les titulaires de ces autres lots. Il s'agit souvent de missions ponctuelles de forte expertise et sur une durée limitée. Les profils du Lot D peuvent intervenir, à titre d’exemple et sans s’y limiter, sur les types d’activités suivants : - Conception ou revue d’architectures de sécurité particulièrement sensibles ou complexes, notamment dans le domaine industriel, - Études et expérimentations sur des technologies encore émergentes ou de niche en cybersécurité (exemples : cryptographie post-quantique, techniques avancées de détection, approches innovantes de segmentation ou d’isolation, ...), - Expertise très pointue sur un protocole, une technologie ou un constructeur spécifique (exemples : chiffrement ou sécurisation du protocole industriel 104, expertise avancée sur Active Directory, Fortinet, Check Point, F5, ou autres technologies ciblées), - Réalisation de maquettes ou de POC nécessitant une forte spécialisation technique et une forte autonomie, - Accompagnement de haut niveau (conseil expert, revue, second avis) sur des sujets de cybersécurité complexes, en complément des travaux réalisés dans le cadre des lots A, B ou C. Cette liste est représentative mais non exhaustive, compte tenu de la diversité des cas de figure auxquels les équipes de sécurité de RTE peuvent être confrontées. Le recours au Lot D a vocation à rester ciblé sur des situations pour lesquelles les titulaires des lots A, B ou C ne disposent pas des profils adéquats ou ne peuvent pas mobiliser les compétences requises dans les délais nécessaires. Types de profils et compétences requises Les profils attendus dans le cadre du Lot D sont notamment les suivants (ces profils peuvent évoluer durant la consultation) : - Architecte réseaux et cybersécurité : senior, expert - Expert d’une solution, d’une technologie ou d’un domaine particulier (exemples : protocole industriel, solution de sécurité spécifique, cryptographie, ...) Description des prestations Les Titulaires attendus sur ce lot sont des plateformes d’intermédiation ou des entreprises de portage qui sont en mesure de proposer des profils indépendants. Les Titulaires de ce lot ne peuvent pas être des indépendants en direct. A ce titre, les Titulaires seront amenés à réaliser les activités suivantes : 1. Mettre à disposition de RTE un portail permettant la sélection et la recherche de freelances et assurer l’assistance des utilisateurs de RTE, 2. Sélectionner et proposer des indépendants, 3. Mettre en place et réaliser le suivi administratif des prestations, 4. Appliquer les mêmes conditions contractuelles entre le Titulaire et les indépendants qu’entre RTE et le Titulaire pour chaque prestation, 5. Suivre le volume des prestations effectuées par les indépendants, 6. Emettre les factures des prestations à RTE et réaliser les paiements aux indépendants, 7. Réaliser le reporting administratif des prestations et calculer les indicateurs du CCTG. Ainsi, deux (2) types de prestations sont attendues par RTE dans le cadre de ce lot D. Elles comprennent les activités décrites ci-dessus comme suit : - Prestation sans sourcing : 1, 3, 4, 5, 6 et 7. - Prestation avec sourcing : 1, 2, 3, 4, 5, 6 et 7. Engagements des Titulaires Dans le cadre de ce lot D, les Titulaires s’engagent à (ces exigences peuvent évoluer durant la consultation) : - Disposer et mettre à disposition de RTE une plateforme d’intermédiation en langue française. Apporter une réponse sous quatre (4) heures ouvrées aux demandes d’information et d’assistance des utilisateurs de RTE. - Disposer d’un système de sélection des consultants freelances avant leur inscription sur la plateforme. - Effectuer une qualification des consultants en réponse aux besoins de RTE décrits dans les CCTP. - Disposer d’un système de notation sur les prestations déjà réalisées par les indépendants. - Contractualiser auprès des consultants indépendants dans les mêmes termes que les conditions contractuelles entre RTE et lui-même ainsi que conformément aux exigences du CCTP et du CCTG. - Répondre aux consultations dans un délai de quatorze (14) jours calendaires sauf mention différente dans les CCTP. - Communiquer les coordonnées d’un interlocuteur unique de langue française pour les recherches d’indépendants. - Communiquer les coordonnées d’un interlocuteur unique de langue française pour le suivi administratif des prestations et de la facturation. - Remplacer toutes ressources défaillantes sous cinq (5) jours ouvrés maximum. - Les responsables de la plateforme d'intermédiation doivent pouvoir se déplacer à la Défense sous 24 heures. - Les indépendants doivent être en mesure de s'exprimer en français natif et, dans le cas où le CCTP l’exige, en anglais courant.