Cybersécurité en collectivité territoriale : risques et obligations

Cybersécurité en collectivité territoriale : les risques réels et les obligations légales

En 2023, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a traité 187 incidents de sécurité visant des collectivités territoriales, soit une hausse de 30 % par rapport à 2022 — et ces chiffres ne couvrent que les cas déclarés (ANSSI, Panorama de la cybermenace 2023). Des communes de quelques milliers d'habitants aux métropoles régionales, aucune structure publique locale n'est épargnée : rançongiciels paralysant les services d'état civil, exfiltrations de données personnelles d'administrés, attaques ciblant les systèmes de gestion de l'eau ou des transports. La cybersécurité en collectivité territoriale est passée du statut de sujet technique à celui d'enjeu de continuité de service public.

Pourquoi les collectivités sont-elles des cibles privilégiées malgré des budgets souvent limités ? Quelles obligations légales s'imposent concrètement aux élus et aux directeurs des systèmes d'information (DSI) ? Et comment articuler protection technique, organisation interne et ressources humaines compétentes ? Cet article répond à ces trois questions avec des données vérifiables et des repères juridiques précis.

Sommaire

1. Pourquoi les collectivités territoriales sont-elles des cibles de choix ?
2. Panorama des menaces : rançongiciels, hameçonnage et attaques sur les infrastructures critiques
3. Obligations légales : de la LPM 2024 à la directive NIS2
4. RGPD et protection des données : le cadre qui s'applique déjà
5. Organisation interne : gouvernance, rôles et ressources humaines
6. Bonnes pratiques opérationnelles : ce que l'ANSSI recommande
7. Numérisation des services et nouveaux vecteurs de risque
8. Questions fréquentes sur la cybersécurité en collectivité territoriale
9. Ce que la cybersécurité exige réellement des collectivités

Pourquoi les collectivités territoriales sont-elles des cibles de choix ?

Définition synthétique — Une collectivité territoriale est une personne morale de droit public disposant d'une autonomie administrative et d'un budget propre (communes, départements, régions, EPCI). À ce titre, elle traite des données personnelles sensibles, gère des infrastructures critiques et dépend de systèmes d'information dont la disponibilité conditionne la continuité du service public.

Trois facteurs structurels expliquent l'attractivité des collectivités pour les attaquants. D'abord, l'hétérogénéité des systèmes : une commune de taille moyenne peut cumuler des logiciels métiers propriétaires vieux de dix ans, des équipements réseau hors maintenance et des applications SaaS récentes — autant de surfaces d'attaque mal maîtrisées. Ensuite, la pression à la continuité de service : contrairement à une entreprise privée, une mairie ne peut pas simplement suspendre l'état civil ou la gestion des aides sociales pendant plusieurs semaines, ce qui rend les élus plus enclins à payer une rançon. Enfin, la sous-dotation en expertise : selon l'Observatoire des finances et de la gestion publique locale (OFGL, 2023), moins de 15 % des communes de moins de 10 000 habitants disposent d'un agent dédié à la sécurité informatique.

Le profil des agents de la fonction publique territoriale illustre cette réalité : la filière technique et informatique reste minoritaire, et les compétences en cybersécurité sont rares, mal rémunérées au regard du marché et difficiles à fidéliser.

Panorama des menaces : rançongiciels, hameçonnage et attaques sur les infrastructures critiques

Les incidents recensés par l'ANSSI sur le périmètre des collectivités se répartissent en trois grandes catégories.

• Les rançongiciels (ransomwares) représentent la menace la plus médiatisée. En chiffrant l'ensemble des fichiers accessibles depuis le réseau compromis, ils paralysent les services pendant des semaines. L'attaque contre la ville de Caen en 2022 ou celle contre le département de Seine-Maritime en 2023 illustrent l'ampleur des dégâts : remise en service partielle après 4 à 8 semaines, coûts de remédiation estimés entre 500 000 et plusieurs millions d'euros selon la taille de la structure.
• L'hameçonnage ciblé (spear phishing) vise les agents disposant d'accès privilégiés : directeurs généraux des services (DGS), responsables financiers, administrateurs système. Un courriel usurpant l'identité d'un prestataire suffit à ouvrir une porte d'entrée. La gestion de l'identité numérique des agents est ici un enjeu opérationnel direct.
• Les attaques sur les systèmes de contrôle industriel (SCADA) concernent les collectivités gérant des réseaux d'eau potable, d'assainissement ou de chauffage urbain. Ces systèmes, souvent mal séparés du réseau bureautique, constituent un vecteur d'impact physique potentiellement grave sur la population.

À ces trois catégories s'ajoutent les attaques par déni de service distribué (DDoS) ciblant les portails citoyens, et les compromissions de la chaîne d'approvisionnement logicielle — c'est-à-dire via les prestataires et éditeurs de logiciels métiers des collectivités.

Obligations légales : de la LPM 2024 à la directive NIS2

Le cadre juridique applicable aux collectivités en matière de cybersécurité s'est considérablement densifié depuis 2022. Deux textes structurent aujourd'hui le niveau d'obligation.

La directive européenne NIS2 (Network and Information Security 2), adoptée en décembre 2022 et transposée en droit français par la loi de programmation militaire (LPM) 2024-2030 (loi n° 2023-703 du 1er août 2023), étend significativement le périmètre des entités soumises à des exigences de sécurité. Les collectivités territoriales de plus de 30 000 habitants entrent dans la catégorie des entités importantes, soumises à des obligations de :

• déclaration des incidents significatifs à l'ANSSI dans un délai de 24 heures (notification initiale) puis 72 heures (rapport intermédiaire) ;
• mise en œuvre de mesures de gestion des risques proportionnées (politique de sécurité documentée, gestion des accès, chiffrement, continuité d'activité) ;
• responsabilisation des instances dirigeantes — les élus et directeurs généraux ne peuvent plus déléguer la responsabilité à la seule DSI.

La transposition française introduit également un mécanisme de contrôle a posteriori pour les entités importantes : l'ANSSI peut diligenter des audits et prononcer des sanctions en cas de manquement. Pour les collectivités de moins de 30 000 habitants, NIS2 ne s'applique pas directement, mais le règlement général sur la protection des données (RGPD) et les obligations de continuité de service public demeurent pleinement applicables.

La loi n° 2021-1520 du 25 novembre 2021 (loi dite « résilience ») a par ailleurs introduit des dispositions spécifiques aux opérateurs de services essentiels (OSE) et aux fournisseurs de services numériques, catégories auxquelles certaines grandes collectivités ou leurs délégataires peuvent appartenir.

Il convient de noter que ces obligations légales s'articulent avec les exigences issues de la dématérialisation des marchés publics : les plateformes de dépôt d'offres et les profils d'acheteurs doivent répondre à des exigences de disponibilité et d'intégrité des données que la cybersécurité conditionne directement.

RGPD et protection des données : le cadre qui s'applique déjà

Le règlement général sur la protection des données (RGPD, règlement UE 2016/679) s'applique à toutes les collectivités territoriales sans seuil de population. En tant que responsables de traitement, elles sont tenues de mettre en œuvre des mesures techniques et organisationnelles garantissant la sécurité des données personnelles qu'elles traitent — état civil, données sociales, fichiers électoraux, vidéosurveillance, données de santé dans les CCAS.

Les obligations pratiques découlant du RGPD en matière de cybersécurité incluent :

• la désignation d'un délégué à la protection des données (DPD/DPO), obligatoire pour les autorités publiques ;
• la tenue d'un registre des activités de traitement ;
• la réalisation d'analyses d'impact (AIPD) pour les traitements à risque élevé ;
• la notification à la CNIL de toute violation de données dans un délai de 72 heures.

L'article dédié au RGPD dans la fonction publique détaille l'articulation entre ces obligations et le statut particulier des agents publics. La CNIL a prononcé plusieurs mises en demeure visant des collectivités entre 2021 et 2024, notamment pour absence de DPO désigné ou défaut de sécurisation des téléprocédures.

Organisation interne : gouvernance, rôles et ressources humaines

La cybersécurité n'est pas un problème exclusivement technique. C'est d'abord un problème de gouvernance. Les collectivités qui résistent le mieux aux incidents sont celles qui ont clairement défini trois niveaux de responsabilité.

Le niveau politique (maire, président d'EPCI, directeur général des services) valide la politique de sécurité des systèmes d'information (PSSI) et arbitre les budgets. Depuis NIS2, la responsabilité des dirigeants est explicitement engagée : ils doivent être formés aux enjeux cyber et approuver formellement les mesures de gestion des risques.

Le niveau opérationnel (DSI, responsable de la sécurité des systèmes d'information — RSSI) traduit la politique en mesures concrètes. Dans les petites collectivités, ce rôle est souvent assuré par un agent polyvalent sans formation spécifique à la sécurité. Le recrutement d'un RSSI ou le recours à un RSSI mutualisé (via un groupement de communes ou un centre de gestion) constitue une réponse proportionnée.

Le niveau utilisateur concerne l'ensemble des agents. La sensibilisation régulière — simulations de phishing, formations aux mots de passe, procédures de signalement des incidents — est documentée par l'ANSSI comme l'un des leviers à meilleur rapport coût/efficacité. Les offres d'emploi en collectivité dans les filières numérique et technique intègrent désormais des compétences en cybersécurité parmi les critères de recrutement.

La mutualisation est une voie réaliste pour les communes rurales et périurbaines. Les syndicats mixtes de services numériques, les centres de gestion départementaux et les agences régionales du numérique proposent des prestations d'audit, d'assistance à la mise en conformité et de réponse à incident mutualisées. La région Bretagne ou Occitanie ont ainsi déployé des dispositifs de soutien cyber à destination de leurs collectivités membres.

Bonnes pratiques opérationnelles : ce que l'ANSSI recommande

L'ANSSI publie un guide spécifique aux collectivités territoriales (Guide de la sécurité numérique pour les collectivités territoriales, mis à jour en 2023) qui identifie cinq mesures prioritaires, applicables même sans budget dédié important.

1. Cartographier le système d'information. Il est impossible de protéger ce que l'on ne connaît pas. Un inventaire des équipements, des logiciels et des flux de données est le préalable à toute démarche de sécurité.
2. Mettre à jour systématiquement. La majorité des attaques réussies exploite des vulnérabilités connues et corrigées par des correctifs disponibles. L'application régulière des mises à jour (patch management) réduit drastiquement la surface d'attaque.
3. Gérer les accès et les droits. Le principe du moindre privilège — chaque agent n'accède qu'aux ressources strictement nécessaires à ses missions — limite les dommages en cas de compromission d'un compte. L'authentification multi-facteurs (MFA) est recommandée pour tous les accès distants et les comptes à privilèges.
4. Sauvegarder régulièrement et tester les restaurations. Une sauvegarde non testée est une fausse assurance. L'ANSSI recommande la règle 3-2-1 : 3 copies des données, sur 2 supports différents, dont 1 hors site et déconnecté du réseau principal.
5. Disposer d'un plan de continuité d'activité (PCA) et d'un plan de reprise d'activité (PRA). Ces documents formalisent la réponse à un incident majeur : qui décide quoi, dans quel ordre, avec quelles ressources de secours.

Le dispositif MonAideCyber, lancé par l'ANSSI en 2023, propose un diagnostic gratuit de 2 heures pour les collectivités qui souhaitent un premier état des lieux de leur maturité cyber, sans prérequis technique particulier.

Numérisation des services et nouveaux vecteurs de risque

La transformation numérique du service public crée mécaniquement de nouvelles surfaces d'attaque. Chaque nouveau service en ligne, chaque application mobile citoyenne, chaque interface avec un prestataire externe constitue un vecteur potentiel.

Trois dynamiques méritent une attention particulière.

L'intelligence artificielle au service des territoires introduit des risques spécifiques : empoisonnement des données d'entraînement, manipulation des systèmes de décision automatisée, failles dans les API exposées aux modèles de langage. L'article sur l'IA au cœur des territoires analyse en détail les enjeux de gouvernance algorithmique qui en découlent.

L'open data impose une vigilance particulière sur ce qui est publié : une collectivité qui ouvre ses données doit s'assurer que les jeux de données ne contiennent pas d'informations personnelles résiduelles, de données permettant une réidentification ou des métadonnées révélant des informations sensibles sur l'infrastructure. Les obligations et bonnes pratiques en matière d'open data des collectivités intègrent désormais cette dimension sécuritaire.

La dépendance aux prestataires cloud et SaaS transfère une partie de la responsabilité technique mais pas la responsabilité juridique. La collectivité reste responsable de traitement au sens du RGPD, quelle que soit la localisation des serveurs. Les contrats avec les prestataires doivent inclure des clauses de sécurité, des engagements de niveau de service (SLA) et des procédures de notification d'incident.

Par ailleurs, l'attractivité de la fonction publique territoriale est directement affectée par les incidents cyber : une collectivité victime d'une attaque médiatisée voit sa réputation employeur dégradée, ce qui complique le recrutement des profils numériques dont elle a précisément besoin pour se protéger.

Questions fréquentes sur la cybersécurité en collectivité territoriale

Une commune de 2 000 habitants est-elle concernée par NIS2 ?

Non, directement. La directive NIS2 dans sa transposition française cible les collectivités de plus de 30 000 habitants comme entités importantes. Toutefois, toutes les communes restent soumises au RGPD et aux obligations générales de continuité de service public. Les petites communes peuvent par ailleurs être concernées indirectement si elles utilisent des systèmes d'information mutualisés avec des entités soumises à NIS2.

Quelles sanctions en cas de non-conformité ?

Pour les entités importantes soumises à NIS2, les sanctions peuvent atteindre 1,4 % du chiffre d'affaires mondial pour les entités du secteur privé — mais pour les collectivités publiques, le régime est adapté : l'ANSSI peut prononcer des injonctions, des mises en demeure et des astreintes. Les sanctions RGPD prononcées par la CNIL sont plafonnées à 10 millions d'euros ou 2 % du budget annuel pour les violations les moins graves.

Existe-t-il des financements spécifiques pour la cybersécurité des collectivités ?

Oui. Le plan France Relance puis France 2030 ont abondé un fonds dédié à la cybersécurité des collectivités et des hôpitaux, géré par l'ANSSI. Le dispositif « Parcours de cybersécurité » propose des subventions pour financer diagnostics, formations et investissements techniques. Certaines régions ont complété ces financements nationaux par des programmes d'aide régionaux.

Un RSSI mutualisé est-il suffisant pour une petite commune ?

Pour une commune de moins de 5 000 habitants sans infrastructure critique complexe, un RSSI mutualisé porté par le centre de gestion ou un syndicat de communes constitue une réponse proportionnée et souvent plus efficace qu'un recrutement interne. La condition de succès est que ce RSSI dispose d'un mandat clair, d'un accès régulier aux systèmes et d'un interlocuteur désigné au sein de la commune.

Comment articuler cybersécurité et politique d'open data ?

La publication de données ouvertes doit être précédée d'une analyse de risque incluant une vérification d'anonymisation, une revue des métadonnées et une évaluation du risque de réidentification. La CNIL et la Direction interministérielle du numérique (DINUM) ont publié des guides conjoints sur ce point. L'ouverture des données et la sécurité ne sont pas antinomiques, mais doivent être pilotées conjointement.

Ce que la cybersécurité exige réellement des collectivités

La cybersécurité en collectivité territoriale n'est plus une option technique réservée aux grandes métropoles. C'est une responsabilité juridique explicite pour les collectivités soumises à NIS2, une obligation de fait pour toutes au regard du RGPD, et une condition de la continuité de service public pour chacune d'entre elles. Les incidents les plus coûteux — en argent, en temps et en confiance des administrés — restent ceux qui auraient pu être évités par des mesures de base : mises à jour, sauvegardes, gestion des accès, sensibilisation des agents.

L'enjeu de ressources humaines est central : recruter, former et fidéliser des agents compétents en sécurité numérique est un défi que les collectivités partagent avec l'ensemble du secteur public. La mutualisation, les dispositifs d'aide de l'ANSSI et l'appui des agences régionales du numérique constituent des leviers concrets, à condition que les élus et directeurs généraux s'en saisissent comme d'une priorité de gouvernance et non comme d'une contrainte administrative. Retrouvez les offres d'emploi en collectivité dans les filières numérique et technique sur JobPublic.fr.

Retrouvez toutes nos offres d'emploi service public sur JobPublic.