Top 7 de l'infogérance IT réglementée en Suisse

Une infogérance IT pour secteur réglementé — fiduciaire, cabinet médical, étude d'avocats ou de notaires — doit garantir sept choses que l'infogérance standard ne garantit pas toujours : hébergement suisse maîtrisé, accès nominatifs et tracés, confidentialité contractuelle renforcée, sauvegardes chiffrées, gestion documentée des violations, réversibilité totale et documentation opposable en cas de contrôle. Voici ces sept exigences, et les questions qui permettent de vérifier chacune avant de signer.

1. L'hébergement suisse, sans exception cachée

Pour des données couvertes par le secret professionnel, la localisation en Suisse doit couvrir la production, les sauvegardes et les outils du prestataire (supervision, ticketing, prise en main à distance) — c'est ce dernier point que presque personne ne vérifie. Les fournisseurs cloud américains restent soumis au CLOUD Act quelle que soit la localisation physique des serveurs, un point détaillé dans notre article sur le cloud suisse. Question à poser : « Listez-moi, par écrit, tous les lieux où mes données et vos outils sont hébergés. »

2. Les accès nominatifs, tracés et révocables

Chaque accès du prestataire à vos systèmes doit être individuel (pas de compte « admin » partagé), protégé par MFA, journalisé et révocable immédiatement. En cas de contrôle ou d'incident, vous devez pouvoir dire qui a accédé à quoi et quand. Question à poser : « Pouvez-vous me fournir le journal des accès de vos techniciens à mes systèmes sur le dernier mois ? »

3. La confidentialité contractuelle renforcée

L'engagement de confidentialité standard d'un contrat IT ne suffit pas quand la violation du secret professionnel est une infraction pénale. Le contrat doit étendre explicitement l'obligation de confidentialité aux données couvertes par le secret, engager chaque collaborateur du prestataire individuellement, et survivre à la fin du contrat. Question à poser : « Votre clause de confidentialité mentionne-t-elle le secret professionnel auquel je suis soumis ? »

4. Les sauvegardes chiffrées et testées

Les sauvegardes contiennent les mêmes secrets que la production — dossiers clients, données patients, actes — mais quittent votre infrastructure. Elles doivent être chiffrées avant de partir, stockées en Suisse, et testées par des restaurations régulières documentées. Question à poser : « Quand avez-vous testé une restauration complète pour la dernière fois, et pouvez-vous me montrer le compte rendu ? »

5. La gestion documentée des violations

La LPD impose de notifier le PFPDT « dans les meilleurs délais » en cas de violation à risque élevé — et pour un secteur réglementé, presque toute fuite est à risque élevé. Votre prestataire doit s'engager contractuellement à vous alerter sans délai, avec les éléments factuels nécessaires à votre évaluation. Notre guide LPD 2026 détaille cette procédure. Question à poser : « Décrivez-moi votre procédure exacte si vous détectez une intrusion sur mes systèmes un samedi soir. »

6. La réversibilité totale

Changer de prestataire ne doit jamais mettre vos données en danger ni vous retenir en otage. Le contrat doit garantir la restitution de toutes les données dans un format exploitable, la remise des mots de passe et de la documentation, et la destruction certifiée des copies restantes chez le prestataire. Les clauses précises sont détaillées dans notre guide des contrats d'infogérance.

7. La documentation opposable

En cas de contrôle, de litige ou de sinistre, vous devez pouvoir démontrer votre diligence : inventaire des systèmes, registre des accès, contrats de sous-traitance, comptes rendus de tests de restauration, rapports mensuels. Un prestataire pour secteur réglementé produit cette documentation en continu, sans que vous ayez à la réclamer. C'est elle qui transforme « nous faisons attention » en preuve.

Comment utiliser cette liste

Ces sept exigences font office de grille d'appel d'offres : posez les sept questions par écrit à chaque candidat et comparez les réponses. Un prestataire habitué aux secteurs réglementés y répond précisément et sans délai ; les réponses vagues ou orales éliminent d'office. Complétez avec les critères généraux de notre guide choisir son prestataire informatique.

Chez AlpenData, l'infogérance des secteurs réglementés est un axe central d'AlpenCare — jusqu'au forfait Sovereign, conçu pour réduire les dépendances aux clouds étrangers. Nous travaillons notamment avec des fiduciaires, des cabinets médicaux et des études d'avocats et de notaires en Suisse romande.

Questions fréquentes

Qu'est-ce qu'une infogérance IT « réglementée » ?

Une infogérance conçue pour les entreprises soumises à des obligations légales renforcées sur leurs données : secret professionnel (avocats, notaires, médecins, fiduciaires), secret bancaire ou exigences sectorielles. Au-delà de la LPD applicable à tous, le prestataire doit garantir hébergement maîtrisé, accès tracés, confidentialité renforcée et documentation opposable en cas de contrôle.

Un cabinet médical peut-il externaliser son informatique ?

Oui, et la plupart le font : le dossier patient informatisé exige des compétences que peu de cabinets ont en interne. La condition : un prestataire qui respecte le cadre du secret médical — données de santé hébergées en Suisse, accès nominatifs et tracés, engagement de confidentialité écrit, et sensibilisation de ses techniciens au contexte médical.

Le secret professionnel interdit-il le cloud américain ?

Il ne l'interdit pas formellement, mais il le complique sérieusement : les fournisseurs américains sont soumis au CLOUD Act et ne peuvent pas garantir contractuellement que les autorités américaines n'accéderont jamais aux données. Pour des données couvertes par le secret professionnel, l'hébergement suisse est la voie de moindre risque, recommandée par la plupart des associations professionnelles.

Que doit tracer un prestataire IT pour un secteur réglementé ?

Qui a accédé à quoi et quand : connexions aux serveurs et aux données sensibles, interventions à distance sur les postes, modifications de droits d'accès. Ces journaux protègent les deux parties : ils démontrent votre diligence en cas de contrôle et permettent d'investiguer tout incident. Un prestataire qui ne journalise pas ses propres accès est un angle mort de votre conformité.

Combien coûte une infogérance pour un secteur réglementé ?

Comptez le haut de la fourchette standard, soit 100 à 150 CHF par poste et par mois : hébergement suisse, sauvegardes chiffrées, traçabilité et documentation renforcée demandent plus de rigueur, pas nécessairement plus de technologie. L'écart de prix avec une infogérance basique est faible en regard du risque couvert — une violation du secret professionnel est une infraction pénale.