Cahier des charges du site d’une collectivité : le guide

Le site d’une collectivité porte des obligations qu’aucun site d’entreprise ne connaît : publier les actes, déclarer son niveau d’accessibilité, sécuriser ses téléservices. Le cahier des charges est le seul endroit où les imposer au prestataire. Ce qui n’y figure pas se règle ensuite par avenant, ou ne se règle pas.

Ce guide reprend chaque obligation avec le texte qui la fonde, ce qu’il faut écrire dans le cahier des clauses techniques particulières (CCTP) et la preuve à réclamer à la livraison. État du droit au 25 octobre 2026.

Avant d’écrire : procédure, seuils et pièces du marché

Le montant estimé décide de la procédure. Il se calcule sur la valeur totale du besoin, options et reconductions comprises (article R. 2121-1 du code de la commande publique). Un site à 25 000 € HT assorti de quatre ans d’hébergement et de maintenance reconductibles n’est donc pas un marché à 25 000 €.

Sous 60 000 € HT, l’absence de mise en concurrence n’est pas une absence de règle. L’acheteur doit choisir une offre pertinente, bien utiliser les deniers publics et ne pas attribuer systématiquement au même prestataire quand plusieurs offres répondent au besoin. Un CCTP court reste utile : c’est lui qui fixe ce qui sera livré.

Beaucoup de modèles de cahier des charges qui circulent mentionnent encore le seuil de 40 000 €. Il n’est plus d’actualité depuis le 1er avril 2026.

Les pièces d’une consultation classique : règlement de la consultation, acte d’engagement, cahier des clauses administratives particulières (CCAP), CCTP, et un bordereau de prix ou une décomposition du prix global. Le CCAP peut se référer au CCAG des marchés de techniques de l’information et de la communication (CCAG-TIC, arrêté du 30 mars 2021). C’est le cadre le plus adapté à un site internet : propriété intellectuelle, réversibilité et recette y sont prévus. On y revient plus bas.

Avant de rédiger, le sourçage est permis : l’acheteur peut interroger des prestataires pour connaître l’état de l’offre, à condition de ne pas fausser la concurrence (article R. 2111-1 du code de la commande publique).

Accessibilité : le RGAA, et les documents qui vont avec

C’est l’obligation la plus lourde et la plus contrôlée. L’article 47 de la loi n° 2005-102 du 11 février 2005 s’applique à toutes les personnes morales de droit public, donc aux communes, intercommunalités, départements et régions.

Elle impose quatre choses :

• un site accessible, mesuré avec le RGAA, le référentiel général d’amélioration de l’accessibilité ;
• une déclaration d’accessibilité publiée ;
• un schéma pluriannuel de mise en accessibilité de trois ans au plus, décliné en plans d’action annuels ;
• une mention claire de l’état de conformité en page d’accueil, avec un moyen de signaler un défaut d’accessibilité.

Les sanctions existent et sont publiques. Depuis l’ordonnance n° 2023-859 du 6 septembre 2023, l’Arcom contrôle, met en demeure, puis sanctionne :

La version en vigueur est le RGAA 4.1.2. La version 5 est en cours de rédaction, avec une publication annoncée pour fin 2026. Un marché lancé maintenant livrera peut-être sous le nouveau référentiel. La bonne formulation dans le CCTP : « conformité au RGAA dans sa version en vigueur à la date de la vérification d’aptitude ».

Ce qu’il faut exiger, concrètement :

• un audit de conformité sur l’échantillon de pages prévu par la méthode du RGAA, avec la grille de résultats complète ;
• l’objectif chiffré : « totalement conforme », c’est-à-dire 100 % des critères applicables respectés ;
• les gabarits conformes (en-tête, menu, formulaires, tableaux, actualités), puisque toutes les pages en héritent ;
• un back-office qui aide les agents à produire du contenu accessible : texte alternatif obligatoire sur les images, niveaux de titres contraints, alerte sur les liens « cliquez ici » ;
• la rédaction de la déclaration d’accessibilité à partir de l’audit, et une proposition de schéma pluriannuel ;
• une formation des contributeurs. Le décret n° 2019-768 impose de toute façon de former les personnels concernés.

Le décret prévoit des exemptions, à connaître pour ne pas payer un chantier inutile : documents bureautiques publiés avant le 23 septembre 2018 (sauf s’ils servent à une démarche en cours), vidéos préenregistrées publiées avant le 23 septembre 2020, contenus de tiers non financés ni contrôlés par la collectivité, archives. Le décret a été modifié le 24 août 2026 (décret n° 2026-816) pour s’aligner sur les normes européennes harmonisées : un prestataire sérieux doit le savoir.

Publication des actes et des délibérations

Depuis le 1er juillet 2022 (ordonnance n° 2021-1310 et décret n° 2021-1311), la publication électronique sur le site internet est la règle pour les actes réglementaires et pour ceux qui ne sont ni réglementaires ni individuels. Pour ces actes, la publication est l’une des conditions de leur entrée en vigueur : le module qui les publie n’est pas un gadget.

L’article R. 2131-1 du code général des collectivités territoriales fixe les conditions de mise en ligne :

• l’acte est publié dans son intégralité, sous un format non modifiable ;
• le site garantit sa conservation, son intégrité et son téléchargement ;
• l’acte mentionne les prénom, nom et qualité de son auteur, et la date de mise en ligne ;
• il reste en ligne deux mois au moins.

Le procès-verbal de chaque séance du conseil est mis en ligne dans la semaine qui suit, de façon permanente et gratuite, et la liste des délibérations examinées est publiée.

Les communes de moins de 3 500 habitants (ainsi que les syndicats de communes et les syndicats mixtes fermés) peuvent choisir par délibération l’affichage, la publication papier ou la publication électronique. Sans délibération, c’est la publication électronique qui s’applique.

Dans le CCTP, le module « actes » mérite une ligne à lui seul : dépôt de PDF par les agents, date de mise en ligne enregistrée automatiquement et affichée, classement par type d’acte et par séance, recherche, conservation au-delà de deux mois, et versions accessibles des documents publiés.

Ouverture des données publiques

Les collectivités de plus de 3 500 habitants qui emploient plus de 50 agents en équivalent temps plein doivent mettre en ligne leurs documents administratifs et leurs bases de données dans un standard ouvert (articles L. 312-1-1 et suivants du code des relations entre le public et l’administration, issus de la loi pour une République numérique de 2016).

Le site n’a pas à devenir un portail de données. Le CCTP peut simplement demander que les jeux de données publiés (marchés, subventions, délibérations, équipements) soient exportables dans un format ouvert, et reliés à data.gouv.fr ou au portail régional quand il existe.

Données personnelles et cookies

Le délégué à la protection des données est obligatoire pour un organisme public (article 37 du RGPD). Il peut être mutualisé entre plusieurs collectivités, ce que font beaucoup de petites communes avec leur centre de gestion ou leur intercommunalité. Il doit relire le CCTP.

Le prestataire qui héberge ou maintient le site traite des données pour le compte de la collectivité. Il est sous-traitant au sens de l’article 28 du RGPD : le marché doit contenir les clauses correspondantes (instructions, confidentialité, sécurité, sort des données en fin de contrat, sous-traitants ultérieurs).

Sur la mesure d’audience, les lignes directrices de la CNIL (délibération n° 2020-091 du 17 septembre 2020) dispensent de consentement un outil qui remplit toutes ces conditions :

• finalité limitée à la mesure d’audience, pour le compte exclusif de la collectivité ;
• données statistiques anonymes uniquement ;
• aucun recoupement ni aucune transmission à des tiers ;
• aucun suivi de la navigation sur d’autres sites.

La CNIL recommande en plus une durée de vie des traceurs de 13 mois environ et une conservation des données de 25 mois au plus. Un outil configuré ainsi évite le bandeau de consentement. Dès qu’une vidéo YouTube, une carte Google ou un bouton de partage est intégré tel quel, le bandeau redevient nécessaire. Le CCTP peut l’éviter en exigeant des intégrations au clic : rien ne se charge chez le tiers avant que l’usager l’ait demandé.

Pour les formulaires en ligne, la règle reste la minimisation : ne demander que ce qui sert à traiter la demande.

Sécurité des téléservices : le RGS

Un formulaire de contact, une inscription à la cantine, une demande d’acte d’état civil : dès que le site permet à un usager d’accomplir une démarche, c’est un téléservice. Le référentiel général de sécurité (RGS) s’applique aux autorités administratives, collectivités comprises (ordonnance n° 2005-1516 et décret n° 2010-112).

L’obligation centrale est l’homologation de sécurité : analyser les risques, fixer des objectifs de disponibilité, d’intégrité et de confidentialité, en déduire les mesures, puis attester formellement que le service est protégé. Pour un téléservice, cette attestation est rendue accessible aux usagers. L’ANSSI propose un outil gratuit pour la mener : MonServiceSécurisé.

L’homologation reste une décision de la collectivité. Le CCTP doit donc obliger le prestataire à fournir ce qui la rend possible :

• schéma d’architecture et liste des composants, avec leurs versions ;
• politique de mises à jour de sécurité et délai d’application des correctifs ;
• sauvegardes : fréquence, lieu, durée de conservation, test de restauration ;
• chiffrement des échanges (HTTPS), authentification des comptes d’administration, journalisation ;
• localisation de l’hébergement et des sauvegardes.

Mentions légales

Depuis la loi SREN du 21 mai 2024, l’obligation figure à l’article 1-1 de la loi pour la confiance dans l’économie numérique (LCEN). Pour une collectivité :

• dénomination, adresse du siège et numéro de téléphone ;
• nom du directeur de la publication ;
• nom, adresse et téléphone de l’hébergeur.

Le directeur de la publication d’une personne morale est son représentant légal : le maire pour une commune, le président pour une intercommunalité. L’absence de ces mentions est punie d’un an d’emprisonnement et de 75 000 € d’amende (article 1-2 de la LCEN).

Éco-conception

La loi n° 2021-1485 du 15 novembre 2021 (dite REEN) impose aux communes et aux intercommunalités à fiscalité propre de plus de 50 000 habitants une stratégie numérique responsable, en vigueur depuis le 1er janvier 2025, avec un bilan annuel.

Le RGESN, référentiel général d’écoconception des services numériques, publié le 17 mai 2024 par l’Arcep et l’Arcom avec l’ADEME, compte 78 critères. Aucun texte ne le rend obligatoire pour une collectivité. C’est pourtant la meilleure base pour écrire des exigences vérifiables :

• un poids maximal pour la page d’accueil et les gabarits principaux ;
• un score de performance mobile mesuré à la livraison, avec l’outil et les conditions de mesure ;
• des images compressées à l’envoi, sans action de l’agent ;
• la déclaration d’écoconception prévue par le RGESN.

Un site léger se charge vite sur le téléphone d’un habitant en zone mal couverte. L’argument est autant social qu’environnemental.

Charte graphique : le DSFR n’est pas pour vous

On lit souvent dans des CCTP de communes : « le site respectera le système de design de l’État ». C’est une erreur. Les conditions d’utilisation du DSFR le réservent aux sites de l’État, en .gouv.fr, avec l’agrément du Service d’information du Gouvernement. Les collectivités territoriales n’en font pas partie, et la police Marianne obéit à ses propres conditions.

La collectivité garde son identité. Ce qu’il faut demander : une charte qui respecte les contrastes du RGAA, des composants documentés (boutons, formulaires, cartes, tableaux) réutilisables par les agents, et une version imprimable des pages pratiques.

Les clauses qui protègent la collectivité

Propriété intellectuelle

Le CCAG-TIC 2021 ne propose plus les options A et B de 2009 sur la propriété intellectuelle. Son chapitre 7 (articles 43 à 46) pose un régime unique, que le CCAP peut adapter :

• les connaissances antérieures du prestataire (son outil de gestion de contenu, ses composants) ne lui sont pas retirées. Tout élément qu’il n’a pas identifié comme tel est réputé être un résultat du marché ;
• les droits sur les résultats sont cédés à la collectivité, de façon non exclusive en principe, et exclusive pour ce qui touche à son identité (logo, charte, contenus de promotion) ;
• les codes sources sont livrés, les fichiers sources dans un format ouvert, et le prestataire ne peut pas en imposer la confidentialité ;
• les données appartiennent à la collectivité.

Le CCTP doit donc demander la liste des connaissances antérieures dès l’offre. Un site bâti sur un outil propriétaire loué au mois n’a pas la même valeur qu’un site sur un outil libre dont la collectivité reçoit le code.

Nom de domaine

Il doit être enregistré au nom de la collectivité, pas à celui du prestataire. La clause tient en une ligne et évite de perdre l’adresse du site au changement de prestataire.

Réversibilité

L’article 42 du CCAG-TIC organise la réversibilité : le prestataire sortant donne accès à ce qui permet la reprise et garantit la sécurité des données pendant le transfert. L’article 37 prévoit la restitution des données puis la destruction des copies dans les trois mois, constatée par procès-verbal.

Le CCTP précise le reste : export complet des contenus et des médias dans un format ouvert, documentation d’installation, durée et prix de l’assistance à la reprise. Notre guide sur le changement de prestataire de site détaille les pièges de cette étape.

Recette : vérification d’aptitude et de service régulier

Le CCAG-TIC prévoit deux étapes (articles 32 à 34) :

• la vérification d’aptitude, après la mise en ordre de marche : la collectivité a 30 jours pour décider ;
• la vérification de service régulier, 30 jours par défaut à partir d’une vérification d’aptitude positive. Le service est régulier si les indisponibilités ne dépassent pas 2 % du temps d’utilisation effective. Sans décision dans les 7 jours, l’admission est tacite.

La garantie court ensuite un an au moins (article 36). Pour que la recette serve à quelque chose, le CCTP doit dire ce qui est vérifié : audit RGAA, score de performance, navigateurs et appareils testés, formulaires, module des actes, sauvegarde restaurée.

Hébergement et maintenance

À chiffrer à part du site, pour comparer les offres : durée, reconductions, délai de correction selon la gravité, mises à jour de sécurité incluses ou non, nombre d’heures d’évolution, astreinte éventuelle. Notre article sur la maintenance d’un site professionnel liste ce qu’un contrat doit couvrir.

Le sommaire type d’un CCTP de site de collectivité

Les erreurs les plus fréquentes

• « Site accessible » sans référentiel, sans audit ni objectif chiffré. Personne ne peut le vérifier à la livraison.
• « Conforme au DSFR », alors que le DSFR est réservé à l’État.
• Le module des actes oublié, ou traité comme une simple liste de PDF sans date de mise en ligne.
• Un CCTP recopié d’une autre collectivité, avec ses seuils périmés et des fonctions qui ne correspondent pas au besoin.
• Un prix global qui mêle création, hébergement et maintenance : impossible de comparer les offres, et de rediscuter la maintenance plus tard.

Questions fréquentes

Une commune de moins de 3 500 habitants doit-elle publier ses actes sur son site ?

Elle peut choisir par délibération entre l’affichage, la publication papier et la publication électronique. Sans délibération, la publication électronique s’applique. Une commune sans site peut s’appuyer sur celui de son intercommunalité.

Peut-on confier la création d’un site sans mise en concurrence ?

Oui, sous 60 000 € HT depuis le 1er avril 2026, valeur totale estimée du besoin, hébergement et maintenance compris. L’acheteur doit tout de même choisir une offre pertinente, bien utiliser les deniers publics et éviter d’attribuer systématiquement au même prestataire.

Le RGAA 5 va-t-il changer les exigences d’un marché lancé aujourd’hui ?

Le RGAA 4.1.2 est en vigueur et la version 5 est annoncée pour fin 2026. En écrivant « RGAA dans sa version en vigueur à la date de la vérification d’aptitude », le CCTP couvre les deux cas.

Qui est directeur de la publication du site d’une mairie ?

Le représentant légal de la collectivité, donc le maire pour une commune. Son nom figure dans les mentions légales.

Faut-il un bandeau cookies sur le site d’une collectivité ?

Pas si le site n’utilise qu’un outil de mesure d’audience configuré selon les conditions de la CNIL et aucune intégration tierce chargée d’office. Une vidéo ou une carte intégrée telle quelle suffit à rendre le consentement obligatoire.

Préparer votre consultation

Vous pouvez nous interroger en phase de sourçage, avant de publier le marché. Notre page sur la création de site internet pour les collectivités détaille ce que nous livrons et les engagements que nous tenons sur chaque projet. Pour une entreprise, le guide cahier des charges d’un site vitrine reste la bonne entrée.