Prestations d'audits de cybersécurité - Ligne C du métro Toulousain

Message de l'acheteur

Question n°6 Quel est le nombre de périmètre homologué ? Question n°8 La section "4. DUREE DU MARCHE ET DELAIS D’EXECUTION" ne mentionne pas les jalons liés à l'audit organisationnel et physique. Pourriez-vous s'il vous plaît nous les communiquer ? Question n°10 Bonjour, Le DCE indique que les audits doivent être réalisés selon les modalités du référentiel PASSI. Pouvez-vous nous préciser s'il s'agit d'audits estampillés PASSI ou simplement d'audits devant être menés conformément aux exigences du référentiel PASSI ? Dans ce sens, les auditeurs affectés à la mission doivent-ils également être qualifiés PASSI ? Par ailleurs, pouvez-vous confirmer s'il s'agit du référentiel PASSI LPM ou du référentiel PASSI standard ? Merci par avance pour votre retour. Cordialement, Question n°11 Bonjour, 1/Dans le cadre de l'audit de configuration, et plus particulièrement sur les actifs à auditer, est-ce que les constructeurs, modèle et versions sont différentes pour chacun des types d'équipements ? Par exemple, sur le périmètre SDT sur les 18 pares-feux est-ce qu'il est possible d'échantillonner ? Ou bien une revue des 18 pares-feux est à prévoir ? Même question pour l'ensemble des périmètres / type d'équipement 2/ Dans le cadre des tests d'intrusion, au niveau des livrables requis, vous faite mention d'un livrable pour chaque TIE, est-ce que cela signifie qu'il est attendu la production de 30 rapports ? Ou bien il est possible de faire un rapport mutualisé avec 30 sous-section par exemple ? En vous remerciant

Question n°1 Il est demandé un audit organisationnel et physique au sens PASSI, mais le RC indique 3.6 Visite du site > "Il n’est pas prévu de visite de site durant la consultation.". Est-ce que cela veut dire que seule la partie organisationnelle est attendue pour cette portée d'audit ? Question n°2 Il est indiqué "Les prestations du Titulaire se déroulent sur l’agglomération toulousaine dans le département de la Haute-Garonne (31) de Colomiers à Labège". Pourriez-vous donner plus de détail sur le lieu exact ? Est-ce qu'il est possible de réaliser des activités à distance (ex. ateliers/entretiens, revues de configuration hors ligne), ou bien l'ensemble de la prestation sera a réaliser dans vos locaux ? Question n°3 Y a-t-il une raison pour laquelle il est demandé 4 audits distincts, plutôt qu'un audit avec 4 portées, comme c'est habituellement l'usage ? Est-ce que les périodes des différentes activités doivent être disjointes ? Est-ce qu'un rapport spécifique doit être prévu pour chaque activité ? Est-il possible de mutualiser les portées d'activités au sein d'un unique audit ? Cela permet d'optimiser : le temps et le coût de la prestation, d'avoir un dispositif réduit (auditeurs qualifiés sur plusieurs portées) et donc de gagner en efficacité et de capitaliser, et de mener les activités en parallèle afin que les phases s'alimentent entre elle. Il sera possible de séparer le rapport en 4 rapports distincts si demandés, et de réaliser des restitutions distinctes, etc. Question n°4 Il est mentionné "Pour l’audit organisationnel et physique, l’étude considèrera un seul périmètre global constitué des SIIV, leurs emplacements physiques et les procédures d’exploitation qui y sont liées." Est-ce que cela signifie que chaque sous-système est un SIIV ? Est-ce qu'une démarche d'homologation est mise en oeuvre pour chaque sous-système ? La Loi de Programmation Militaire est mentionnée dans le glossaire, mais la conformité à celle ci ne semble pas explicitement demandée dans le CCTP. Est-il attendu une mesure de la conformité à la LPM au sens de sa règle 2. Ces questions servent à déterminer s'il faut un rapport de conformité par sous-système pour le verser au dossier d'homologation de chacun, ou un rapport de conformité global prenant en compte les 4 sous-systèmes et versé à un dossier d'homologation global. Question n°5 Dans le cadre du périmètre Test d'intrusion, est-ce que des scénarios d'attaques ont été identifiés ? si oui, combien? Question n°7 Bonjour, l'ensemble des 4 types d'audit qui constitue cette consultation doivent être réalisés selon les modalités du référentiel PASSI [R1]. Le RC indique de plus au paragraphe que les candidats doivent fournir "Les certificats de qualifications professionnelles PASSI (Prestataire d'audit de sécurité des systèmes d'information)" De ce fait, faut-il que l'entreprise soit labélisée PASSI sur l'ensemble de ces 4 portées pour candidater, ou peut-elle l'être uniquement sur une partie de ces 4 portées ? Enfin, le fait d'être en cours de qualification PASSI (et détenir le certificat l'attestant de la part de l'ANSSI) peut-il suffire pour candidater ? Ou seules les entreprise ayant leur labélisation PASSI effective peuvent candidater ? Merci. Cordialement, Question n°9 Bonjour, concernant "04/09/26 à 13h56 :Modification du DCE : M3 2026 04147 M : Prestations d'audits de cybersécurité - Ligne C du métro Toulousain Modification du DCE : Veuillez prendre en compte les modifications apportées au DCE et listées ci-dessous", est-ce que des documents sont modifiés à par LC01.pdf ? En effet, l'information partagée dans ce fichier était déjà indiquée en section 3.3 du règlement de la consultation, donc nous ne comprenons pas s'il y a d'autres ajouts ou modifications à identifier dans le DCE.

Message de l'acheteur

Message de l'acheteur

Message de l'acheteur

Message de l'acheteur