Lionel Pérès :“Les collectivités ne doivent pas attendre la loi Résilience pour agir”

La menace cyber a-t-elle vraiment changé de nature ces dernières années ?

La menace cyber s’est nettement accélérée ces dernières années pour les collectivités, avec une hausse des incidents, une professionnalisation des attaquants et des attaques plus fréquentes, plus rapides, plus difficiles à contenir. Les attaques ne visent plus seulement les grands acteurs. Les petites structures sont aussi touchées, parce qu’elles ont moins de moyens, moins d’expertise et souvent des systèmes moins bien protégés.

Concrètement, que se passe-t-il le jour où une collectivité est touchée ?

Une cyberattaque peut arrêter l’état civil dont le funéraire, la paie des agents, les e-mails, la facturation, les portails usagers, les billetteries, les accès aux piscines ou musées. Les services passent au papier et au crayon pendant plusieurs semaines, parfois plusieurs mois.

La loi NIS2 tarde à être transposée. Que doivent faire les collectivités en attendant ?

La transposition de la directive européenne NIS2 en droit français a pris du retard, donc les collectivités ne doivent pas attendre la loi Résilience pour agir. Elles doivent déjà préparer leur gouvernance sécurité numérique, les responsabilités, les sauvegardes, le Plan de continuité d’activité (PCA) et la gestion des prestataires.

Les petites communes sont-elles vraiment les plus exposées ?

Oui, les petites communes sont souvent les plus vulnérables, parce qu’elles ont moins de budget, moins de personnel spécialisé et une dépendance plus forte aux prestataires. La bonne réponse, ce n’est pas l’isolement, c’est la mutualisation : intercommunalités, centres de gestion, syndicats mixtes, les opérateurs publics de services numériques avec une vraie chaîne de responsabilité.

Vous avez suivi de près plusieurs cyberattaques marquantes. Laquelle vous a le plus marqué ?

L’attaque d’Angers, en janvier 2021, est un bon exemple parce qu’elle a montré, très concrètement, qu’une cyberattaque municipale ne vise pas seulement des serveurs, mais peut désorganiser durablement toute une ville. Les services d’Angers et d’Angers Loire Métropole ont été perturbés pendant plusieurs semaines, avec un retour à la normale étalé sur près de quatre mois et un coût estimé à environ 500 000 euros.

Vous avez écrit un guide sur le PCA-cyber en 100 jours. Par où commencer, très concrètement ?

Les premières étapes d’un PCA cyber sont d’identifier les missions essentielles du service public, puis de distinguer celles qui reposent sur l’outil informatique pour être assurées. Pour chacune d’elles, il faut anticiper un mode dégradé, c’est-à-dire une manière de continuer à servir les usagers même sans informatique.

Un dernier conseil pour un DGS ou un maire qui n’a encore rien mis en place ?

Le seul vrai conseil, c’est de sortir du triptyque de la croyance collective : « nous sommes trop petits pour être attaqués  », « nous n’avons rien à voler », « la cybersécurité n’est qu’une affaire de techniciens ».

Propos recueillis par Jérémy Paradis