Pourquoi les collectivités territoriales sont-elles les cibles des cyberattaques ?

Avec NIS 2, les données personnelles deviennent un enjeu central de cybersécurité pour les collectivités. État civil, inscriptions scolaires, aide sociale, fiscalité ou téléservices multiplient les traitements sensibles. Cette exposition élargit la surface d’attaque : chaque application, capteur ou accès distant peut devenir une porte d’entrée pour un attaquant.

Longtemps perçue comme une affaire de spécialistes, la cybersécurité est devenue une préoccupation quotidienne des collectivités. Pourtant, selon le baromètre 2024 de Cybermalveillance.gouv.fr, seules 14 % d'entre elles déclarent être bien préparées à une cyberattaque. (lien externe) Or, la cybersécurité va entrer dans une nouvelle phase avec la directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, dont la transposition française est attendue via le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Elle imposera une montée en maturité — gouvernance des risques, sécurité des prestataires, notification des incidents, continuité d'activité. Le message adressé aux collectivités est clair. La cybersécurité n'est plus une option technique. Elle devient une condition de fonctionnement du service public local. Trois questions permettent d'en prendre la mesure : la place des données personnelles, les vulnérabilités à l'œuvre, et la manière de structurer une réponse.

En quoi la place centrale des données personnelles expose-t-elle davantage les collectivités territoriales ?

La donnée personnelle est devenue le cœur de l'action publique locale. État civil, listes électorales, inscriptions scolaires et périscolaires, cantine, aide sociale, fiscalité locale, stationnement, vidéoprotection, téléservices : presque chaque compétence se traduit aujourd'hui en traitements de données personnelles. La conséquence est directe. Plus une collectivité traite de données personnelles, plus sa surface d'attaque s'étend. Chaque application, chaque capteur, chaque connexion d'un agent à distance devient une porte d'entrée potentielle.

Trois facteurs aggravent cette exposition. D'abord, les collectivités concentrent des données sensibles. CCAS, fichiers scolaires et aide sociale à l'enfance combinent identités, données financières et données de santé, autant d'informations recherchées par les cyberattaquants. Ensuite, ces données ont une forte valeur de revente et de chantage. Exfiltrées, elles alimentent usurpations d'identité, hameçonnage ciblé et extorsion. Enfin, un effet domino territorial peut amplifier l’attaque initiale. Une commune partage des applications avec son intercommunalité et dépend parfois d'un syndicat informatique mutualisé. La compromission d'un maillon peut alors paralyser plusieurs collectivités à la fois, comme à Saint-Nazaire en avril 2024. (lien externe)

Détenir ces données n'est donc pas neutre ; c'est assumer une responsabilité de gardien. Le RGPD impose depuis 2018 une obligation de sécurité et la notification des violations sous 72 heures. La CNIL veille et sanctionne. Une commune de 25 000 habitants s'est ainsi vu infliger une amende de 5 000 € et une injonction de désigner un délégué à la protection des données (lien externe), assortie d'une astreinte de 150 € par jour de retard, pour avoir négligé cette désignation et manqué à son obligation de coopération avec la CNIL. Au-delà de la sanction financière, c'est la confiance des administrés qui est en jeu.

Qu'est-ce qui rend les collectivités particulièrement vulnérables aujourd'hui ?

Les chiffres parlent d'eux-mêmes. Selon le panorama de la cybermenace 2025 de l'ANSSI (lien externe), sur 1 366 incidents traités, les ministères et les collectivités territoriales en concentrent 24 %. Ces attaques poursuivent trois finalités : le gain financier (rançongiciels, exfiltrations et reventes de données), la déstabilisation (hacktivisme, défigurations de sites Internet) et, plus marginalement, l'espionnage.

Cette vulnérabilité n'est pas qu'une question de malchance. Elle est structurelle.

La première fragilité est budgétaire. Beaucoup de communes et d'intercommunalités ne disposent ni d'un responsable de la sécurité des systèmes d'information, ni d'un budget cyber dédié suffisant. Les systèmes d'information sont souvent anciens, hétérogènes, mal cartographiés. La Cour des comptes, dans son rapport de juin 2025, rappelle pourtant que les coûts de sécurisation restent inférieurs à ceux d'une cyberattaque. (lien externe) Le coût d'une attaque a été chiffré à 960 000 € à Aix-Marseille-Provence et à plus de 1,5 M€ à Bondy.

La deuxième fragilité est humaine. L'essentiel des attaques commence par un courriel piégé, un mot de passe faible ou une pièce jointe ouverte sans méfiance. Un simple message frauduleux imitant un fournisseur ou un collègue suffit à ouvrir la brèche. Agents comme élus, le facteur humain demeure le premier vecteur — la sensibilisation est donc aussi décisive que la technique.

La troisième tient au recours massif aux prestataires et à l'hébergement externalisé. Chaque sous-traitant est un maillon supplémentaire qui démultiplie les points d'entrée, d'où la multiplication des attaques par rebond, via un éditeur ou un infogéreur, le prestataire qui exploite à distance le système d'information.

Comment structurer une politique efficace de protection et de cybersécurité ?

Une politique efficace tient en trois temps — anticiper, protéger, réagir — et repose sur un principe transversal : mutualiser.

Anticiper, c'est gouverner. Cela impose de désigner un délégué à la protection des données (obligatoire dans le secteur public) et, idéalement, un responsable de la sécurité des systèmes d'information ; de tenir le registre des traitements ; de cartographier données et systèmes ou encore de conduire une analyse d'impact pour les traitements sensibles (vidéoprotection, fichiers sociaux). On ne protège bien que ce que l'on a recensé. Avec la future transposition de la directive NIS 2, cette gouvernance va devenir une obligation formelle. Les exécutifs locaux devront approuver et superviser les mesures, et se former à la cybersécurité. Certaines régions pionnières ont déjà structuré leur démarche cyber, à l'image des Hauts-de-France, de la Bretagne ou de l'Occitanie.

Protéger, c'est appliquer une hygiène numérique largement documentée. (lien externe) Mots de passe robustes, authentification multifacteur, gestion stricte des habilitations, mises à jour régulières, chiffrement et journalisation en forment le socle. Les sauvegardes doivent être régulières, comporter au moins une copie hors ligne et faire l'objet d'un test périodique de restauration. Ces mesures bloquent l'immense majorité des attaques. Ce sont précisément les manquements (mots de passe faibles, absence de double authentification, journalisation insuffisante) que sanctionne régulièrement la CNIL (lien externe). Avec la transposition de la directive NIS 2, ces mesures de protection devront être plus systématiquement formalisées, documentées et contrôlées.

Réagir, c'est d'abord se préparer avant l'incident. Un plan de continuité et de reprise régulièrement testé et des exercices de crise constituent le premier socle. L'attaque survenue, la collectivité doit notifier la CNIL sous 72 heures, déposer plainte et solliciter l'ANSSI et Cybermalveillance.gouv.fr. Depuis la LOPMI de 2023, le dépôt de plainte conditionne d'ailleurs l'indemnisation par l'assurance cyber. La transposition de la directive NIS 2 ira plus loin en imposant une notification en trois temps. Une alerte précoce intervient à 24 heures, suivie d'une notification à 72 heures et d'un rapport final à un mois. La sensibilisation des élus et des agents, par des campagnes dédiées, fait partie intégrante de cette préparation. C'est un investissement à part entière, non une formalité.

Mutualiser, enfin, est le levier le plus adapté aux petites collectivités. Elles peuvent s'appuyer sur des dispositifs partagés comme Cybermalveillance.gouv.fr (lien externe) et les CSIRT régionaux. (lien externe) Ensemble, elles accèdent à une expertise et à des outils qu'aucune ne pourrait financer seule.

Conclusion

La cybersécurité est devenue, à mesure que la donnée personnelle s'installait au cœur des politiques publiques locales, un enjeu de souveraineté territoriale. Les collectivités ne doivent donc pas attendre. Cartographier les risques, sécuriser les accès, former les agents, encadrer les prestataires, préparer la crise sont autant de mesures qui ne relèvent plus du confort technique, mais de la continuité du service public. L'ANSSI a publié un référentiel cyber (ReCyF) (lien externe) et ouvert le guichet MonEspaceNIS2, (lien externe) qui permettent dès aujourd'hui aux collectivités de se mettre en mouvement pour répondre pleinement aux enjeux de la cybersécurité.