Acheter une solution de sensibilisation au phishing via l'UGAP : mode d'emploi

Une collectivité ou une administration peut s'équiper d'une solution de simulation de phishing sans lancer d'appel d'offres : en passant par l'UGAP, la centrale d'achat public, ou, pour les montants modestes, en achat direct. Voici comment faire, textes à l'appui, à jour au 3 novembre 2026.

Pourquoi l'UGAP dispense d'appel d'offres

L'UGAP (Union des groupements d'achats publics) est un établissement public qui agit comme centrale d'achat : elle passe des marchés au bénéfice des autres acheteurs publics. Le Code de la commande publique en tire une conséquence simple. Selon l'article L2113-4, l'acheteur qui recourt à une centrale d'achat est considéré comme ayant respecté ses obligations de publicité et de mise en concurrence pour les opérations qu'il lui confie.

Ce principe ne comporte aucun seuil de montant. La direction des affaires juridiques du ministère de l'Économie (DAJ) précise aussi qu'un acheteur peut recourir à une centrale sans l'avoir lui-même choisie par une procédure de mise en concurrence. Une convention avec la centrale n'est pas obligatoire, même si la DAJ la recommande dans certains cas.

Le marché multi-éditeurs de l'UGAP

Pour les logiciels, l'UGAP propose une « bibliothèque multi-éditeurs » : un catalogue de solutions logicielles, en licence ou en SaaS, avec les prestations associées comme l'installation, le paramétrage ou la formation. Ce marché est commercialisé par SCC France, titulaire de l'accord-cadre attribué en 2022 (avis BOAMP 22-19971). Le marché qui prendra le relais au printemps 2027 a de nouveau été attribué à SCC France en août 2026 (avis BOAMP 26-83557).

Les éditeurs y sont référencés directement : c'est le cas de LePhish, qui dispose d'une fiche éditeur sur ugap.fr.

Commander pas à pas

1. Ouvrir un compte sur ugap.fr si votre organisation n'en a pas : choisissez le profil « Acheteur » ou « Administrateur », remplissez le formulaire en ligne, puis imprimez-le, signez-le et renvoyez-le par courriel. Les identifiants arrivent par courriel, en principe sous 24 heures.
2. Exprimer votre besoin : depuis votre espace client, ouvrez la fiche de l'éditeur (pour LePhish, le bouton « Exprimer mon besoin ») et indiquez le nombre d'agents à couvrir et la durée souhaitée.
3. Recevoir le devis, établi aux conditions du marché multi-éditeurs.
4. Valider et commander en ligne, directement ou via le circuit de validation interne prévu dans votre espace client. Le paiement intervient après service fait.

Vous pouvez aussi passer par votre interlocuteur UGAP ou SCC, qui vous accompagne dans la demande de devis.

L'autre voie : l'achat direct sous 60 000 € HT

Pour les petits montants, un acheteur public peut aussi commander directement à l'éditeur. Depuis le 1er avril 2026, le décret n° 2025-1386 du 29 décembre 2025 a porté le seuil de dispense de procédure de 40 000 € à 60 000 € HT pour les fournitures et services (article R2122-8 du Code de la commande publique). En dessous, le marché peut être conclu sans publicité ni mise en concurrence préalables.

Trois conditions accompagnent cette souplesse : choisir une offre pertinente, faire une bonne utilisation des deniers publics et ne pas contracter systématiquement avec le même opérateur lorsque plusieurs offres peuvent répondre au besoin. Surtout, le montant s'apprécie sur la durée totale du marché, options et reconductions comprises, et il est interdit de découper un besoin pour rester sous le seuil.

UGAP ou achat direct : comment choisir ?

Les deux voies sont possibles. Le choix dépend souvent de vos règles internes : certaines collectivités passent par l'UGAP pour tous leurs logiciels, d'autres préfèrent l'achat direct pour les petits montants. Votre service de la commande publique saura vous orienter.

Ce que comprend l'offre LePhish

Quel que soit le mode d'achat, l'offre est la même : simulations de phishing par e-mail, SMS et QR code, rappel pédagogique le lendemain du clic, serious game, modules et vidéos de sensibilisation, tableau de bord et rapports pour vos audits, avec des données hébergées en France. Elle permet aussi de gérer plusieurs organisations dans un même compte, utile pour une intercommunalité ou un centre de gestion. Tout est détaillé sur notre page Collectivités et secteur public.