Appels d’offres informatique et SaaS

Appels d’offres informatique : logiciels, SaaS, infogérance et matériel

L’informatique publique s’achète selon deux voies qui ne se voient pas de la même façon : des consultations directes, publiées par chaque acheteur, et des marchés de centrales d’achat qui, une fois attribués, alimentent des commandes sans nouvel avis. Ce guide décrit les familles de marchés, le rôle de l’UGAP et des centrales du secteur de la santé, la logique des accords-cadres et les exigences qui éliminent le plus d’offres : hébergement, données personnelles, réversibilité.

Publication : VIGLIA Publié le 24 septembre 2026 7 min de lecture

Six familles de marchés informatiques

Derrière le mot « informatique », les avis couvrent des métiers très différents, qui n’appellent ni les mêmes références ni les mêmes codes de nomenclature :

Logiciels et licences : acquisition ou location de progiciels, renouvellement de licences, souvent par l’intermédiaire d’un revendeur.
SaaS et cloud : solutions hébergées facturées à l’usage ou à l’abonnement, où l’hébergement et la localisation des données deviennent des critères.
Infogérance : exploitation de tout ou partie du système d’information, support aux utilisateurs, maintien en conditions opérationnelles.
TMA et développement : tierce maintenance applicative, évolutions, développement spécifique, généralement en accord-cadre à bons de commande.
Matériel : postes de travail, serveurs, stockage, équipements réseau et télécoms, avec les prestations d’installation et de maintenance associées.
Cybersécurité : audits, tests d’intrusion, supervision, outils de protection, accompagnement à la conformité.

Un même avis mêle souvent plusieurs familles, par exemple une licence, son intégration et trois ans de maintenance. Le guide des codes CPV informatique et logiciels montre comment ces familles se répartissent dans la nomenclature et pourquoi un filtre par code ne suffit pas.

UGAP, Resah, CAIH : les centrales d’achat

Une centrale d’achat acquiert des fournitures ou des services, ou passe des marchés, pour le compte d’autres acheteurs (article L2113-2 du Code de la commande publique). L’article L2113-4 en tire la conséquence qui structure le marché informatique : l’acheteur qui y recourt est considéré comme ayant respecté ses obligations de publicité et de mise en concurrence pour les opérations confiées. Une commande passée à une centrale ne produit donc aucun avis.

L’UGAP, établissement public industriel et commercial, est la centrale d’achat publique généraliste nationale. Son offre comprend du matériel, des logiciels et des prestations informatiques. Selon sa page fournisseurs, ses propres appels d’offres sont publiés sur son profil d’acheteur, la plateforme Maximilien, ainsi qu’au JOUE et au BOAMP, et seules les procédures publiées sur ce profil permettent de devenir titulaire.
Le Resah, groupement d’intérêt public, porte une centrale d’achat ouverte aux acheteurs des secteurs sanitaire, médico-social et social (présentation officielle), avec des marchés d’infrastructure, de logiciels et de services numériques.
La CAIH, centrale d’achat de l’informatique hospitalière créée en 2014, est dédiée aux achats informatiques et télécoms des établissements de santé. Elle publie sur son site un calendrier de ses procédures à venir, précieux pour anticiper une remise en concurrence.

D’autres acheteurs mutualisent leurs achats numériques, par groupements de commandes ou centrales régionales. La question à se poser pour chaque client visé est simple : achète-t-il en direct, ou via quelle centrale ?

La mécanique des accords-cadres

La plupart des marchés informatiques récurrents sont des accords-cadres : l’acheteur sélectionne un ou plusieurs titulaires pour une durée donnée, puis commande au fil des besoins, par bons de commande ou par marchés subséquents remis en concurrence entre les titulaires. La durée d’un accord-cadre ne peut dépasser quatre ans pour un pouvoir adjudicateur, sauf cas justifié (article R2162-4 du Code de la commande publique).

Pour un éditeur ou une ESN, cela a deux conséquences. D’abord, la fenêtre d’entrée est brève : rater la consultation d’un accord-cadre de TMA, c’est souvent attendre son renouvellement plusieurs années plus tard. Ensuite, être titulaire ne garantit pas de volume : un accord-cadre multi-attributaire remet en concurrence ses titulaires à chaque marché subséquent, et les montants maximum ne sont pas des engagements de commande. La veille utile suit donc aussi les avis d’attribution et les dates d’échéance des accords-cadres en cours.

Centrale ou marché direct

Les deux voies ne s’excluent pas, mais elles ne demandent pas la même organisation :

Critère	Marché de centrale d’achat	Consultation directe
Moment de la concurrence	Une fois, lors de la consultation de la centrale	À chaque consultation de l’acheteur
Visibilité des commandes	Aucun avis pour les commandes passées via la centrale	Avis publié selon le montant et la procédure
Profil de réponse	Volumes nationaux, couverture large, souvent via un titulaire revendeur ou intégrateur	Besoin précis d’un acheteur, accessible à un spécialiste
Accès pour une PME	Candidature directe, groupement, ou partenariat avec un titulaire	Candidature directe sur le lot adapté

Pour un éditeur spécialisé, la consultation directe reste le terrain le plus accessible : un besoin métier précis, un cahier des charges fonctionnel, des références comparables. Le référencement dans une centrale devient un levier quand les clients visés y achètent déjà l’essentiel de leur informatique.

Hébergement, RGPD, réversibilité

Trois exigences reviennent dans les marchés de logiciels et de services, et elles éliminent des offres avant toute notation.

L’hébergement et SecNumCloud. SecNumCloud est la qualification délivrée par l’ANSSI à des offres de services d’informatique en nuage, offre par offre. L’article 31 de la loi n° 2024-449 du 21 mai 2024 (loi SREN) et le décret n° 2026-272 du 14 avril 2026 obligent les administrations de l’État, certains de leurs opérateurs et six groupements d’intérêt public à recourir à des services protégés, notamment contre les accès d’autorités d’États tiers, lorsqu’ils confient des données d’une sensibilité particulière à un prestataire privé ; la conformité est attestée par une qualification de l’ANSSI ou une certification européenne d’un niveau au moins équivalent (présentation par la direction des affaires juridiques). Hors de ce périmètre, l’exigence vient du cahier des charges : lisez-la dans le dossier, lot par lot.

Les données personnelles. Un éditeur SaaS qui traite des données pour le compte d’un acheteur est, au sens du RGPD, son sous-traitant. L’article 28 du règlement impose un contrat précisant l’objet, la durée, la finalité du traitement, les mesures de sécurité, le sort des données en fin de contrat et le recours à d’autres sous-traitants. La CNIL détaille ces obligations ; les dossiers de consultation demandent souvent de les documenter dès l’offre.

La réversibilité. Le cahier des clauses administratives générales des marchés de techniques de l’information et de la communication, le CCAG-TIC approuvé par l’arrêté du 30 mars 2021, organise la réversibilité et la transférabilité en fin de marché (article 42), lorsque le marché s’y réfère. Le plan de réversibilité annexé au CCAP en fixe la durée et les conditions. Chiffrer cette phase, formats de restitution, assistance, suppression des données, évite qu’elle devienne une marge négative.

Organiser la veille

Une veille informatique efficace tient trois circuits : les avis européens et nationaux (TED, BOAMP), les profils d’acheteurs où paraissent les consultations sous les seuils européens (PLACE pour l’État, plateformes régionales et mutualisées pour les collectivités), et les consultations des centrales elles-mêmes, qui sont les seules fenêtres d’entrée sur leurs volumes. Elle lit ensuite chaque avis au niveau du lot et de ses exigences : un « marché de prestations informatiques » peut contenir un lot de licences, un lot de TMA et un lot d’hébergement qui ne concernent pas les mêmes entreprises.

VIGLIA rapproche les avis de ses sources prises en charge, dont TED, le BOAMP, PLACE et Maximilien, où l’UGAP publie ses consultations, de l’offre décrite avec votre équipe : produits, services, modes de déploiement, exclusions. Chaque correspondance est expliquée à partir du texte de l’avis et, lorsque le dossier est disponible, de ses pièces. VIGLIA ne couvre pas encore les sites propres de toutes les centrales, et une correspondance ne vaut ni audit de sécurité ni validation juridique : la qualification SecNumCloud, le contrat de sous-traitance RGPD et le plan de réversibilité restent à vérifier dans chaque dossier. Les pages secteur numérique et cybersécurité, logiciels et SaaS et matériel informatique et télécoms détaillent les contrôles par famille.

FAQ

Un acheteur public peut-il acheter un logiciel à l’UGAP sans appel d’offres ?

Oui. L’article L2113-4 du Code de la commande publique prévoit que l’acheteur qui recourt à une centrale d’achat est considéré comme ayant respecté ses obligations de publicité et de mise en concurrence pour les opérations qu’il lui confie. La mise en concurrence a eu lieu en amont, lorsque la centrale a sélectionné ses titulaires. Pour un éditeur, l’enjeu est donc de gagner, ou de rejoindre, le marché de la centrale au moment où elle le remet en concurrence.

La qualification SecNumCloud est-elle obligatoire pour répondre à un marché public de SaaS ?

Pas de manière générale. L’article 31 de la loi SREN et le décret n° 2026-272 du 14 avril 2026 imposent des exigences de protection, attestées par une qualification de l’ANSSI ou une certification européenne équivalente, aux administrations de l’État, à certains de leurs opérateurs et à six groupements d’intérêt public, lorsqu’ils confient à un prestataire privé de cloud des données d’une sensibilité particulière. En dehors de ce périmètre, c’est le cahier des charges qui fixe le niveau exigé.

Que doit prévoir une offre SaaS en matière de réversibilité ?

Au minimum : les formats et le calendrier de restitution des données, l’assistance fournie pendant la transition, la suppression des données en fin de contrat et le coût éventuel de ces prestations. Lorsque le marché se réfère au CCAG-TIC de 2021, son article 42 organise la réversibilité et la transférabilité ; le CCAP et le plan de réversibilité en précisent la durée et les modalités.

Sources de référence

Consultez les références ci-dessous et notre méthode éditoriale. Les documents d’origine font foi ; une synthèse ne remplace pas la validation de votre équipe. Méthode éditoriale.