ANSSI
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) est l'autorité nationale de cybersécurité. Elle défend les systèmes critiques, assiste les victimes, publie guides et méthodes, finance des accompagnements pour les collectivités et contrôlera l'application de NIS 2.
Cette définition couvre également les termes :
- Agence nationale de la sécurité des systèmes d'information
- Autorité nationale de sécurité des systèmes d'information
Définitions
Définition simple : qu'est-ce que l'ANSSI ?
L'ANSSI, Agence nationale de la sécurité des systèmes d'information, désigne le service de l'État chargé de la cybersécurité et de la cyberdéfense en France : elle défend les systèmes d'information critiques, assiste les victimes de cyberattaques, publie des recommandations et accompagne les collectivités dans la sécurisation de leurs services numériques.
Créée par décret en 2009, l'Agence est un service du Premier ministre placé sous l'autorité du secrétaire général de la défense et de la sécurité nationale (SGDSN). Le code de la défense en fait l'autorité nationale de sécurité des systèmes d'information. Pour une commune ou une intercommunalité, elle est d'abord une source de méthodes, de guides, de financements et d'appui en cas de crise.
Les enjeux de l'ANSSI pour les collectivités
De 2021 à 2024, les parcours de cybersécurité financés par France Relance ont accompagné 945 entités, dont 707 collectivités territoriales : pré-diagnostic, audit standardisé, puis mise en œuvre des mesures prioritaires. Depuis 2021, l'Agence soutient aussi le déploiement des CSIRT territoriaux, centres régionaux de réponse aux incidents : 12 fonctionnent au 30 septembre 2026, complétés par 3 centres de ressources ultramarins.
Ses délégués régionaux conseillent élus et services, et ses publications servent de référence : guide d'hygiène informatique en 42 mesures, guide « Cybersécurité : toutes les communes et intercommunalités sont concernées », kit d'exercice de crise dédié aux collectivités. La plateforme MesServicesCyber rassemble ces ressources, les contacts de proximité et les prestataires qualifiés.
Avec la transposition de la directive européenne NIS 2, toujours en discussion au Parlement au 30 septembre 2026, l'ANSSI deviendra l'autorité de contrôle d'une partie des collectivités : régions, départements, communes de plus de 30 000 habitants, communautés d'agglomération, communautés urbaines et métropoles dans le texte adopté en commission à l'Assemblée nationale.
Définition technique : organisation et services de l'ANSSI
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) structure son action en cinq missions : défendre, connaître, partager, accompagner, réguler. Son bras opérationnel, le CERT-FR, équipe gouvernementale de réponse aux incidents rattachée à la sous-direction Opérations, coordonne le traitement des vulnérabilités, opère un centre de supervision de sécurité (SOC) pour les services de l'État et assiste les victimes de son périmètre, joignable au 3218.
Pour les collectivités, l'outillage se répartit en quatre familles :
- méthodes : EBIOS Risk Manager pour l'analyse de risques, guide d'hygiène informatique (42 mesures, édition 2017), homologation de sécurité des services numériques ;
- services en ligne regroupés sur MesServicesCyber, développé avec la direction interministérielle du numérique (DINUM) et beta.gouv : diagnostic « cyberdépart » d'une heure avec un aidant bénévole, cartographie de l'exposition sur internet, audit des annuaires Active Directory ;
- qualifications : prestataires d'audit (PASSI), de réponse aux incidents (PRIS), services d'informatique en nuage SecNumCloud, certification de sécurité de premier niveau des produits (CSPN) ;
- entraînement : kit d'exercice de crise cyber pour les collectivités, avec scénario, chronogramme et fiches de retour d'expérience.
Les anciens parcours de cybersécurité (2021-2024) suivaient trois jalons : pré-diagnostic de maturité, « pack initial » d'audit, « pack relais » de sécurisation, sur huit thèmes adaptés à chaque bénéficiaire.
Définition juridique et réglementaire de l'ANSSI
Le décret de création et le code de la défense
Le décret n° 2009-834 du 7 juillet 2009 crée l'Agence nationale de la sécurité des systèmes d'information (ANSSI), service à compétence nationale rattaché au secrétaire général de la défense et de la sécurité nationale. L'article L. 2321-1 du code de la défense (loi n° 2013-1168 du 18 décembre 2013, article 21) donne au Premier ministre une autorité nationale de sécurité des systèmes d'information ; l'article R. 2321-1 désigne l'ANSSI.
Les pouvoirs issus de la loi de programmation militaire 2024-2030
La loi n° 2023-703 du 1er août 2023 crée l'article L. 2321-2-3 du code de la défense (article 64) : l'Agence peut demander le blocage, la redirection ou la suspension de noms de domaine malveillants. L'article L. 2321-4-1 (article 66) oblige les éditeurs de logiciels à lui notifier les vulnérabilités significatives de leurs produits.
La transposition de la directive NIS 2
La directive (UE) 2022/2555 du 14 décembre 2022 n'est pas transposée au 30 septembre 2026. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 puis en commission à l'Assemblée nationale le 10 septembre 2025, charge l'ANSSI de sa mise en œuvre et de son contrôle (article 5). Ses articles 8 et 9 classent régions, départements, grandes communes et intercommunalités parmi les entités essentielles ou importantes, soumises à des mesures de gestion des risques et à la notification des incidents.
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Bénéficier d'un accompagnement France Relance | Une agglomération de 78 000 habitants forme ses équipes à la data et à la cybersécurité en 2022-2023, avec l'appui du plan France Relance et l'accompagnement de l'ANSSI, parallèlement à la construction de son hyperviseur territorial. Retour d'expérience. | Une montée en compétence cofinancée, engagée avant l'incident. |
| Faire auditer son système d'information | Une commune sollicite un audit de cybersécurité avec l'ANSSI au second semestre 2022. L'analyse révèle plusieurs fragilités (stockage local, accès multiples, absence de haute disponibilité) et conduit à une migration vers un environnement collaboratif souverain. Retour d'expérience. | Des serveurs sécurisés et une politique de sauvegarde révisée. |
| S'appuyer sur un CSIRT régional | Une Région crée Cyber'Occ, centre régional de réponse aux incidents (CSIRT), dans le cadre de France Relance et du programme de déploiement des CSIRT régionaux soutenu par l'ANSSI, qui apporte financement d'amorçage et accompagnement technique. Retour d'expérience. | Une réponse d'urgence de proximité pour les collectivités et les entreprises. |
| Sensibiliser les agents avec des ressources publiques | Deux collectivités conçoivent un jeu de sensibilisation à partir de ressources pédagogiques publiques et le font tester par l'ANSSI. L'initiative touche 2 700 agents et 76 communes membres. Retour d'expérience. | Des réflexes partagés par tous les agents, quel que soit leur poste. |
