Cybersécurité secteur public : NIS 2 et bonnes pratiques

Une collectivité sera concernée par NIS 2 si elle entre dans le périmètre retenu par le projet de loi « Résilience » : en l’état du texte, les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines et d’agglomération seraient des « entités essentielles », et les communautés de communes des « entités importantes ». Ce projet de loi, adopté par le Sénat le 12 mars 2025, n’est toujours pas définitivement voté : son examen en séance à l’Assemblée nationale, prévu les 7 et 9 octobre 2026, a de nouveau été reporté, sans nouvelle date à ce jour (Leto). Le calendrier législatif glisse, mais la menace, elle, est déjà là : l’ANSSI a traité 218 incidents touchant des collectivités en 2024, soit 18 par mois.

Pour les communes plus petites, l’enjeu passera le plus souvent par leur intercommunalité, qui mutualise une partie des systèmes d’information. Dans tous les cas, les bonnes pratiques vues ici restent valables, NIS 2 ou non.

À lire également : Secteur public : la menace du ransomware ! — comprendre le fonctionnement d’un rançongiciel et ses conséquences pour une administration.

Pourquoi le secteur public est-il autant ciblé par les cyberattaques ?

Les administrations cumulent trois facteurs de vulnérabilité : des données sensibles (état civil, paie des agents, données sociales, données d’enfants), des services qui ne peuvent pas s’interrompre et des moyens de sécurité souvent limités, en particulier dans les petites structures.

Les chiffres officiels confirment ainsi cette exposition :

• 218 incidents affectant des collectivités ont été traités par l’ANSSI en 2024, dont 33 de criticité élevée (15 %). Les communes et les EPCI à fiscalité propre sont les principales victimes, devant les départements (44 incidents) et les régions (29) (ANSSI, bilan de la menace sur les territoires 2024, via Banque des Territoires).
• 30 % des événements signalés concernent des compromissions de comptes de messagerie, première porte d’entrée des attaquants, suivies des attaques par déni de service sur les sites internet.
• 25 attaques par rançongiciel ont visé des collectivités en 2024, dont 21 avec des effets significatifs sur le fonctionnement des services.
• En 2025, les ministères et collectivités territoriales représentent ensemble 24 % des 1 366 incidents traités par l’ANSSI, et les collectivités 11 % des victimes de rançongiciels (ANSSI, Panorama de la cybermenace 2025).

S’y ajoute un risque réglementaire. La CNIL a reçu 6 167 notifications de violations de données en 2025 (+9,5 % sur un an), dont la moitié liées à un piratage. Elle annonce ainsi que la moitié de ses contrôles 2026 porteront sur la sécurité des données, la cybersécurité des collectivités figurant parmi ses thématiques prioritaires (CNIL, rapport annuel 2025).

Ces données sont à interpréter avec prudence : elles ne recensent que les incidents portés à la connaissance de l’ANSSI et une partie des attaques n’est jamais signalée.

À retenir : près d’un incident sur trois commence par un compte de messagerie compromis. La protection des identités est donc le premier chantier, avant même les outils techniques les plus avancés.

NIS 2 : où en est la loi Résilience ?

La directive (UE) 2022/2555, dite NIS 2, élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité. Elle devait ainsi être transposée avant le 17 octobre 2024. En France, elle l’est par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi les directives REC et DORA.

Le calendrier du texte :

Source : Leto, 6 octobre 2026 ; Next.

Ce que prévoit le texte pour les collectivités, selon Maire-info :

1. Un périmètre à deux niveaux : entités essentielles (régions, départements, communes de plus de 30 000 habitants, métropoles, communautés urbaines et d’agglomération) et entités importantes (communautés de communes). Au total, environ 15 000 entités en France, tous secteurs confondus.
2. Un enregistrement auprès de l’ANSSI dans un délai de six mois, via le service en ligne MonEspaceNIS2.
3. Des objectifs de sécurité de gouvernance, de protection, de défense et de résilience (15 objectifs pour les entités importantes, davantage pour les entités essentielles).
4. Une obligation de signalement des incidents importants : la directive prévoit une alerte précoce sous 24 heures, une notification sous 72 heures puis un rapport final sous un mois (directive 2022/2555, art. 23).
5. Pas de sanction financière envisagée pour les collectivités à ce stade, mais un rapport annuel public sur les attaques subies.

Le périmètre peut encore évoluer d’ici l’adoption : l’AMF a notamment demandé qu’il soit resserré pour les intercommunalités.

À retenir : NIS 2 n’est pas encore en vigueur en France, mais son périmètre est connu dans ses grandes lignes. Les collectivités concernées ont intérêt à préparer dès maintenant leur gouvernance et leur procédure de signalement.

Quelles sont les 5 bonnes pratiques de cybersécurité à adopter dès maintenant ?

Ces mesures s’appuient sur le guide d’hygiène informatique de l’ANSSI (42 mesures) et répondent ainsi aux principaux vecteurs d’attaque observés dans les collectivités.

1. Protéger les identités par l’authentification multifacteur (MFA), en priorité sur la messagerie, les accès distants et les comptes d’administration. C’est la réponse directe au premier vecteur d’attaque recensé par l’ANSSI.
2. Appliquer la règle des sauvegardes 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne ou hors site. Une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde : les tests de restauration doivent être réguliers.
3. Mettre à jour tout le temps les systèmes, logiciels et équipements exposés à internet, et supprimer les comptes inutilisés (agents partis, prestataires).
4. Sensibiliser les agents et les élus au hameçonnage, avec des exercices réguliers. Le dispositif Cybermalveillance.gouv.fr propose des kits adaptés aux collectivités.
5. Formaliser un plan de réponse à incident : qui prévenir, dans quel ordre (ANSSI ou CSIRT régional, CNIL sous 72 heures en cas de violation de données au titre de l’article 33 du RGPD, dépôt de plainte), et comment assurer la continuité des services essentiels comme la paie ou l’état civil.

Pour suivre la mise en œuvre du premier chantier, un indicateur simple peut être intégré au tableau de bord de la DSI :

Taux de couverture MFA (%) = comptes protégés par MFA ÷ comptes actifs × 100

Exemple (fictif) : une communauté d’agglomération compte 820 comptes actifs (agents, élus, prestataires). 574 sont protégés par une authentification multifacteur. Son taux de couverture est donc de 574 ÷ 820 × 100 = 70 %. Les 246 comptes restants constituent donc la priorité du semestre, en commençant par les 18 comptes d’administration.

À retenir : MFA, sauvegardes testées, mises à jour, sensibilisation et plan de réponse forment un socle accessible à toutes les collectivités, quelle que soit leur taille, et anticipent les futures exigences de NIS 2.

Pourquoi choisir le SecNumCloud ?

Une partie croissante des logiciels métiers du secteur public est désormais hébergée par l’éditeur, en mode SaaS. Le choix de l’hébergeur devient donc une décision de sécurité à part entière.

La qualification SecNumCloud, délivrée par l’ANSSI, reconnaît des offres cloud « de confiance » dont l’utilisation est ainsi recommandée pour la protection des données sensibles. Son référentiel impose un niveau d’exigence élevé sur les plans technique, opérationnel et juridique, notamment pour protéger les données contre la menace cybercriminelle et contre l’application de lois extraterritoriales (cyber.gouv.fr).

Pour une collectivité, l’intérêt est donc double :

• la souveraineté : les données des agents et des usagers restent soumises au seul droit européen ;
• la résilience : l’hébergeur qualifié assume une partie des mesures les plus coûteuses (redondance/sauvegardes/supervision), difficiles à reproduire en interne.

L’ANSSI rappelle toutefois que cette qualification « ne préjuge pas du niveau de sécurité des services numériques des clients » : les bonnes pratiques internes, à commencer par la gestion des accès, restent indispensables.

C’est dans cette logique qu’Eksaé a ainsi fait le choix d’un cloud souverain qualifié SecNumCloud depuis juillet 2025, hébergé chez OVHcloud et exploité sur trois sites, dont un dédié aux sauvegardes. Les solutions RH & Paie et Finance, qui traitent parmi les données les plus sensibles d’une collectivité, en bénéficient donc directement. Notre article Comment lutter efficacement contre les attaques avec le SaaS détaille ce modèle.

À lire également : IA Act : quelles obligations pour le secteur public après le report de 2026 ? (article du 07/12 — lien à insérer)

À retenir : SecNumCloud est le plus haut niveau de qualification cloud en France. Il sécurise ainsi l’hébergement, mais ne dispense pas la collectivité de ses propres mesures d’hygiène informatique.

FAQ — Cybersécurité dans le secteur public

La cybersécurité d’une collectivité se joue dans ses pratiques quotidiennes. Elle se joue aussi dans le choix d’un hébergement de confiance pour ses données les plus sensibles.

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2) — EUR-Lex
• ANSSI — La directive NIS 2
• Sénat — Rapport n° 393 (2024-2025) sur le projet de loi Résilience
• ANSSI / CERT-FR — Bilan de la menace 2024 (CERTFR-2025-CTI-002)
• ANSSI / CERT-FR — Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002)
• ANSSI — Guide d’hygiène info (42 mesures)
• ANSSI — SecNumCloud pour les services cloud
• CNIL — Rapport annuel 2025
• RGPD, article 33 — CNIL
• Cybermalveillance.gouv.fr — Ressources