Le référentiel CyberFrance : un accompagnement à la cybersécurité des collectivités par l’ANSSI

Le référentiel CyberFrance : un accompagnement à la cybersécurité des collectivités par l’ANSSI

En 2024, l’ANSSI a compté 218 incidents cyber touchant des collectivités (communes, EPCI, départements et régions), soit en moyenne 18 attaques par mois, dont plusieurs rançongiciels ayant entraîné des interruptions durables de services publics. Selon l’ANSSI, 15 % des incidents recensés en 2024 présentaient un niveau de criticité élevé.

La directive européenne NIS 2 (directive UE 2022/2555) vise, dans ce contexte, à renforcer les obligations de cybersécurité applicables aux entités publiques et privées, pour mieux se protéger.

La directive européenne NIS 2 prévoit des mesures pour protéger les entités européennes face aux risques cyber, notamment les collectivités territoriales

La directive NIS 2 prévoit de renforcer le cadre de gestion des risques cyber

Cette directive repose sur une approche globale de gestion des risques. Elle impose en effet la mise en place de mesures techniques et organisationnelles couvrant la gouvernance de la cybersécurité, la sécurisation des systèmes et réseaux, la gestion des accès et des identités, la protection des chaînes d’approvisionnement et des prestataires et la résilience des services.

NIS 2 renforce également les obligations de détection, de gestion et de notification des incidents, avec des délais stricts (alerte précoce, rapport initial puis final auprès de l’autorité compétente).

De plus, la directive prévoit un cadre de contrôle et de sanctions administratives dissuasifs en cas de manquement. Elle promeut une coopération accrue entre États membres, autorités nationales et centres de réponse aux incidents.

Dans ce cadre, les onze centres de réponse aux incidents territoriaux, déployés et coordonnés par l’ANSSI, constituent les acteurs publics de référence au niveau régional : ils assurent une réponse de premier niveau aux incidents, des actions de prévention et de sensibilisation, et un accompagnement de proximité des collectivités, en articulation avec le Computer Emergency Response Team français et Cybermalveillance.gouv.fr.

Toutes les plus grandes collectivités sont concernées par cette directive, et la responsabilité des élus est engagée sur le plan juridique

Sous réserve de la publication des décrets d’application nationaux, le périmètre d’application de NIS 2 repose sur des critères cumulatifs et sectoriels, notamment un seuil d’effectif (au moins 50 agents) ou un budget annuel supérieur à 10 M€. 1 500 collectivités environ seraient ainsi directement concernées.

Sont ainsi visées en priorité les régions et départements, qualifiés d’entités essentielles, ainsi que les EPCI dépassant ces seuils (communautés d’agglomération, métropoles, communautés urbaines, et certaines communautés de communes). Les communes sont également concernées lorsqu’elles dépassent un seuil d’environ 30 000 habitants ou présentent un budget supérieur au seuil ou un niveau de criticité significatif.

Indépendamment de ces critères démographiques, les opérateurs publics de réseaux (eau potable, assainissement, déchets, transports) demeurent couverts par d’autres entrées sectorielles de l’annexe I de la directive, en raison du caractère essentiel de leurs services. Le périmètre inclut également des acteurs publics mutualisés exerçant des fonctions numériques ou informatiques structurantes : syndicats mixtes numériques, centres de gestion assurant la mutualisation des systèmes d’information, GIP territoriaux, ainsi que certaines structures de services numériques publics. Peuvent enfin être concernés les bailleurs sociaux publics, les CCAS (Centre communal d’action sociale) de taille significative et divers établissements publics locaux dépassant les seuils réglementaires.

Au-delà des entités directement assujetties, les collectivités sont également indirectement impactées par NIS 2 via les prestataires critiques auxquels elles recourent, la directive imposant une vigilance accrue sur la sécurité de la chaîne de sous-traitance et des services numériques externalisés.

Les exigences induites par NIS 2 font partie des responsabilités juridiques des exécutifs locaux : maires, DGS et élus peuvent voir leur responsabilité administrative, civile voire pénale engagée en cas de manquement aux obligations de sécurité, de protection des données ou de continuité du service public, comme le rappellent la CNIL et Cybermalveillance.gouv.fr, la cybersécurité relevant de la gouvernance de la collectivité.

L’ANSSI accompagne les collectivités dans leur mise en conformité via des ressources dédiées et un référentiel cyber, outil de pilotage mis à leur disposition

L’ANSSI propose un accompagnement progressif et non coercitif pour aider les entités concernées à se mettre en conformité avec la directive NIS2. Elle met à disposition des ressources pédagogiques pour comprendre la réglementation et les attentes de l’autorité, un espace numérique dédié (MonEspaceNIS2) pour guider les démarches, ainsi que des dispositifs existants comme MonAideCyber et MonServiceSécurisé pour faciliter l’appropriation des enjeux cyber.

L’ANSSI rappelle que la directive NIS2 implique une montée en maturité progressive des collectivités, avec des échéances réglementaires liées à sa transposition en droit national. Son accompagnement a pour objectif de permettre d’anticiper ces dates limites, en comprenant les mesures attendues (gouvernance, gestion des risques cyber, incidents, continuité, etc.) et en se préparant progressivement à leur mise en œuvre.

L’ANSSI propose des outils et services pour soutenir cette démarche d’acculturation progressive

Les outils numériques sont les suivants :

• MonEspaceNIS2, un espace numérique dédié pour centraliser informations, ressources et orientations ;
• Des services déjà éprouvés comme MonAideCyber et MonServiceSécurisé, qui facilitent l’appropriation des enjeux de cybersécurité et l’amélioration du niveau de protection des organisations.

L’ANSSI met également à disposition une « FAQ NIS2 » destinée à aider les futures entités essentielles et importantes, dont certaines collectivités territoriales, à comprendre le périmètre de la directive, leurs obligations et les attentes de l’autorité. Cette FAQ vise à donner une orientation générale. Elle précise notamment que les entités sont libres de choisir leurs prestataires.

Ces derniers sont en effet divers : réponse aux incidents de sécurité, experts cyber, détection des incidents de sécurité, assistance et conseil en sécurité des systèmes d’information… L’ANSSI propose ainsi une liste de prestataires qualifiés et labellisés, sur MesServicesCyber.

L’ANSSI ajoute qu’aucun moyen financier direct n’est alloué aux entités pour leur mise en conformité avec NIS2. L’accompagnement proposé est donc méthodologique, informationnel et outillé, laissant aux entités la responsabilité du financement des actions nécessaires (audits, prestations, outils, renforcement des équipes).

Le référentiel cyber donne un cadre opérationnel de référence destiné à structurer la mise en conformité des organisations avec la directive NIS2

Le 17 mars 2026, l’ANSSI a édité un référentiel cyber : le Référentiel Cyber France (ReCyF), Ce dernier formalise les attentes de cybersécurité sous la forme d’objectifs de sécurité et propose, pour chacun, des moyens acceptables de conformité, permettant aux entités de démontrer qu’elles atteignent le niveau de sécurité requis sans imposer de solutions uniques.

Conçu selon un principe de proportionnalité, le référentiel adapte l’effort attendu à la taille, à la maturité et aux ressources des entités concernées. Il est vu comme un outil de pilotage de gestion des risques cyber, de priorisation des actions de sécurité et de socle de référence lors des contrôles de conformité.

Toute collectivité territoriale peut se saisir du référentiel de l’ANSSI pour monter en maturité sur les sujets cyber et protéger ses données

Toutes les collectivités territoriales peuvent enfin bénéficier du référentiel cyber de l’ANSSI (ReCyF) comme d’un outil pour renforcer leur cybersécurité, même lorsque NIS2 ne leur est pas directement applicable. En effet, le référentiel leur permet de disposer d’un cadre clair et partagé pour évaluer leur niveau de maturité cyber : en s’appuyant sur des objectifs de sécurité explicites (gouvernance, gestion des risques, protection des systèmes, gestion des incidents, continuité d’activité), les collectivités peuvent réaliser un diagnostic de l’existant, identifier les écarts et prioriser leurs actions.

Le principe de proportionnalité intégré au ReCyF permet d’adapter les mesures aux ressources, à la taille et aux contraintes opérationnelles des collectivités.

Enfin, le référentiel facilite l’inscription des collectivités dans une dynamique nationale de cybersécurité : il sert de langage commun avec l’ANSSI, les prestataires et les autres acteurs publics. Il peut servir à l’élaboration des plans de sécurisation, à préparer d’éventuels contrôles réglementaires futurs ou sécuriser les relations avec les opérateurs et services essentiels du territoire.

Sources :

• Agence nationale de la sécurité des systèmes d’information (ANSSI) – Synthèse de la menace pour les collectivités territoriales – année 2024, février 2025.
• ANSSI – MonEspaceNIS2 – FAQ : Accompagnement de l’ANSSI et périmètre des entités concernées par NIS 2.
• Open Data France – La directive européenne NIS 2 : quelles conséquences pour les collectivités territoriales ?, 9 avril 2025.
• Territoire Connecté Durable – Directive NIS 2 : de nouvelles obligations pour la cybersécurité des collectivités, septembre 2025.
• ANSSI – Référentiel Cyber France (ReCyF), version de travail publiée en mars 2026.
• Banque des Territoires – Localtis – État de la menace 2024 : 18 collectivités ciblées par une cyberattaque chaque mois, février 2025.
• ANSSI / CERT-FR – CSIRT territoriaux : rôle et missions.
• CNIL & Cybermalveillance.gouv.fr – Guide sur les obligations et responsabilités des collectivités locales en matière de cybersécurité, mise à jour 2026.