Cybersécurité : une vigilance qui ne peut plus attendre la loi

La cybercriminalité contre les services publics a changé d’échelle. Ce qui relevait, il y a encore quelques années, d’un risque lointain et abstrait s’est transformé en une réalité statistique tangible… L’ANSSI a ainsi traité 4 386 événements de sécurité en 2024, soit 15 % de plus qu’en 2023. Sur ce total, 219 concernaient directement des collectivités territoriales, sans distinction de taille ni de strate, des petites communes rurales aux régions.

Le secteur hospitalier a lui aussi appris, à ses dépens, qu’aucun lieu n’est à l’abri : le CH de Dax en février 2021, le CHSF de Corbeil-Essonnes en août 2022, plus récemment les hôpitaux d’Armentières et de Cannes. Chacune de ces attaques a fait tomber un peu plus l’idée qu’un établissement de soin serait naturellement épargné par les cybercriminels. Derrière ces chiffres, ce sont également des services locaux très concrets qui basculent du jour au lendemain. Dans les mairies, l’état civil, la paie des agents, la facturation, les portails usagers peuvent s’arrêter net. Côté santé, c’est l’accès aux dossiers médicaux et le suivi des patients qui se retrouvent suspendus. Dans les situations les plus sévères, des collectivités entières reviennent, du jour au lendemain, au papier et au crayon, parfois pendant plusieurs semaines, parfois pendant plusieurs mois.

NIS2, le texte qui traîne

Sur le papier, tout était censé être réglé depuis le 17 octobre 2024, date butoir fixée par Bruxelles pour transposer la directive européenne NIS2 en droit français. Dans les faits, le texte navigue toujours entre les bancs du Parlement, ballotté d’une lecture à l’autre. Il a, en effet, été adopté au Sénat en mars 2025, puis retravaillé en commission spéciale à l’Assemblée nationale en septembre de la même année, sans qu’un vote définitif soit intervenu depuis.

La Commission européenne a fini par s’impatienter, engageant en mai 2025 une procédure d’infraction contre la France, avec en toile de fond la menace d’une saisine de la Cour de justice de l’Union européenne.

Ce flottement législatif place les collectivités dans une position inconfortable. Comment se préparer sérieusement à des obligations dont le contenu exact et le calendrier restent, à ce stade, mouvants ? L’ANSSI a apporté un début de réponse en mars 2026, en publiant son référentiel ReCyF. Sans préjuger du texte final, ce document trace une feuille de route opérationnelle pour les collectivités qui préfèrent structurer leur sécurité numérique dès maintenant, plutôt que d’attendre un cadre qui tarde à se stabiliser.

Les petites communes, premières fragilisées

Le rapport de force entre la menace et les moyens disponibles n’est pas le même partout. Plus une collectivité est petite, plus elle cumule les fragilités (personnel technique restreint, budgets contraints, et souvent une dépendance presque totale à des prestataires informatiques extérieurs). Face à ce déséquilibre, plusieurs modèles de mutualisation gagnent du terrain, qu’il s’agisse d’un RSSI partagé au sein d’un centre de gestion, d’un syndicat mixte numérique, ou d’un opérateur public de services numériques (OPSN).
Le territoire des Yvelines en offre une illustration concrète. Après une série de cyberattaques qui a frappé plusieurs communes ainsi que l’hôpital André-Mignot de Versailles, le syndicat mixte Seine-et-Yvelines Numérique a réagi en juin 2023, lors de ses assises de la cybersécurité, en déployant une offre pensée pour les petites communes (sensibilisation des agents, suivi individuel de leur niveau de maturité cyber, outils de formation contre l’hameçonnage). Pierre Bédier, président du conseil départemental des Yvelines, s’était rendu au chevet de l’hôpital juste après l’attaque. Il avait résumé, en une phrase, l’ampleur du choc. « En quelques heures, ils sont revenus à l’âge de pierre ! » (Banque des Territoires/ Localtis, juin 2023).
À une autre échelle, la Suite territoriale répond à ce même constat d’urgence. Lancée le 27 avril 2026 par l’Agence nationale de la cohésion des territoires (ANCT), elle vise spécifiquement les communes de moins de 3 500 habitants et les EPCI de moins de 15 000 habitants, là où les fragilités numériques sont les plus criantes.

Le diagnostic de départ donne la mesure du problème. Près de 10 000 communes françaises n’ont toujours pas de nom de domaine institutionnel, et près de 20 000 utilisent encore des adresses de messagerie non professionnelles pour leurs échanges officiels. Le dispositif propose une identité numérique sécurisée via ProConnect, une messagerie professionnelle, et un écosystème d’applications interopérables développées par l’État, ses opérateurs et des partenaires privés. Loi qui tarde, mutualisations locales, outil national. Trois réponses différentes à un même problème, celui d’un maillage territorial encore trop inégal face au risque cyber.

Jérémy Paradis