Contrat de Niveau de Service SLA Cybersécurité

Métriques SLA de cybersécurité et disponibilité

Les SLA de cybersécurité couvrent : disponibilité (uptime SLA en 9 — 99,9%/99,95%/99,99%/99,999%), MTTR (Mean Time To Repair — délai moyen de résolution des incidents), MTTD (Mean Time To Detect — délai moyen de détection), délai de notification des incidents, délai de réponse aux demandes de support selon sévérité (P1/P2/P3/P4), délai de déploiement des correctifs critiques, RTO/RPO contractuels, et taux de disponibilité des fonctions de sécurité (SOC 24/7, surveillance continue).

La définition précise des métriques est critique : un SLA de « 99,9% de disponibilité » doit préciser comment la disponibilité est mesurée (intervalle de polling, sources de mesure), comment les maintenances planifiées sont traitées (exclues ou incluses dans le calcul), quelle est la période de référence (mensuelle ou annuelle), et comment les incidents sont déclarés et comptabilisés. Des définitions ambiguës créent des litiges lors des non-respects de SLA.

SLA dans les contrats NIS2 et DORA

NIS2 et DORA imposent des clauses contractuelles minimales incluant des SLA. Pour DORA (article 30), les contrats ICT doivent inclure des niveaux de service complets et précis avec métriques mesurables, permettant à l'entité financière de suivre le respect des engagements et de déclencher des sanctions contractuelles en cas de non-respect. Le Register of Information DORA inclut des informations sur les SLA de chaque contrat ICT important.

Pour NIS2, les exigences de continuité d'activité et de résilience impliquent que les SLA des prestataires ICT critiques soient cohérents avec les RTO et RPO définis dans le plan de continuité. Un SLA de 48h de rétablissement pour un service critique avec un RTO de 4h est contractuellement inadapté et constitue un risque opérationnel.

Pénalités, crédits de service et résiliation

En cas de non-respect du SLA, les contrats prévoient généralement des crédits de service (remises sur les prochaines factures proportionnelles à la durée et à la sévérité du non-respect) plutôt que des pénalités financières directes. La logique est de compenser la dégradation de service par un crédit commercial. Des plafonds de crédits (ex. : 30% du montant mensuel maximum) limitent l'exposition financière du prestataire.

Des clauses de résiliation pour non-respect répété ou grave du SLA sont importantes : si un prestataire critique ne respecte pas son SLA de manière répétée, la possibilité de résilier et de migrer est un levier de négociation important. Ces clauses doivent être accompagnées d'obligations d'assistance à la migration (transfert des données, documentation, période de transition) pour rendre la résiliation effectivement praticable.