Collectivités territoriales et cybersécurité
La responsabilité numérique des élus ne peut plus être déléguée
Une cyberattaque contre une collectivité territoriale n’est jamais un simple problème informatique. C’est une mairie qui ne peut plus délivrer d’actes d’état civil. C’est une paie retardée. C’est un service urbanisme bloqué. Ce sont des agents contraints de revenir au papier, des administrés sans réponse et une confiance publique fragilisée.
Pendant longtemps, la cybersécurité a été considérée comme une affaire de techniciens. Le sujet était confié au service informatique, au prestataire, ou repoussé faute de budget. Cette approche n’est plus tenable. Pour une commune, une intercommunalité, un département, une région ou un établissement public local, le risque cyber est désormais un sujet de gouvernance, de continuité du service public, de protection des données personnelles et de responsabilité des décideurs.
La question n’est plus de savoir si une collectivité sera ciblée. La vraie question est plus directe. La collectivité saura-t-elle fonctionner demain matin si sa messagerie, son logiciel d’état civil, sa paie, son outil d’urbanisme ou son prestataire informatique devient indisponible ?
Une menace concrète pour le service public local
Les chiffres confirment que les collectivités territoriales sont devenues des cibles régulières. En 2024, l’ANSSI a traité 218 incidents cyber concernant les collectivités territoriales. Ces attaques ne relèvent donc pas de cas isolés. Elles s’inscrivent dans une tendance durable, qui touche aussi bien les grandes collectivités que les structures plus modestes.
Le baromètre Cybermalveillance.gouv.fr montre également qu’une collectivité sur dix a subi une cyberattaque au cours des douze derniers mois. Les conséquences sont opérationnelles avant même d’être techniques. Dans 37 % des cas, l’attaque entraîne une interruption d’activité ou de service. Dans 24 % des cas, elle provoque une destruction ou un vol de données.
Derrière ces statistiques, il y a une réalité simple. Quand le système d’information tombe, le service public ralentit ou s’arrête. Les agents perdent leurs outils. Les administrés perdent leurs repères. Les élus doivent répondre publiquement, souvent dans l’urgence, parfois sans disposer d’une vision claire de la situation.
C’est précisément pour cette raison que la cybersécurité doit être traitée comme un sujet de direction générale et d’exécutif territorial.
L’élu n’a pas à devenir technicien, mais il doit piloter le risque
La responsabilité de l’élu n’est pas de configurer un pare-feu, d’analyser un journal système ou de comprendre chaque détail d’une vulnérabilité logicielle. Sa responsabilité est d’organiser la préparation, d’arbitrer les moyens, de choisir le niveau de risque acceptable et d’exiger des garanties.
La cybersécurité n’est donc pas seulement une ligne budgétaire informatique. Elle touche à la continuité d’activité, à la protection des données personnelles, à la relation avec les prestataires, à la communication de crise et à la capacité de la collectivité à maintenir ses missions essentielles.
Un exécutif local devrait pouvoir répondre à quelques questions fondamentales.
Quels services doivent continuer à fonctionner en priorité en cas d’attaque ? Où sont stockées les données sensibles des administrés et des agents ? Qui dispose d’un accès aux applications critiques ? Les sauvegardes sont-elles testées régulièrement ? Les prestataires essentiels sont-ils identifiés ? Existe-t-il un plan de fonctionnement dégradé ? Qui décide, qui communique et qui alerte en cas de crise ?
Ces questions sont politiques avant d’être techniques. Elles relèvent de la gouvernance.
Le RGPD impose une méthode, pas seulement une conformité documentaire
Une cyberattaque peut aussi devenir une violation de données personnelles au sens du RGPD. Cela concerne les fichiers administrés, les données sociales, les dossiers RH, les données scolaires, les informations d’état civil, les documents d’urbanisme, les échanges avec les usagers ou les données confiées à des sous-traitants.
La CNIL rappelle qu’une violation de données doit être documentée en interne. Lorsqu’elle présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans un délai maximal de 72 heures. Lorsque le risque est élevé, les personnes concernées doivent également être informées.
Ce point est souvent sous-estimé. Pendant une crise cyber, la collectivité doit gérer en même temps la technique, le juridique, la communication, les relations avec les prestataires, les élus, les agents, les administrés et parfois les autorités. Si les rôles ne sont pas définis avant l’incident, le délai de 72 heures devient très court.
Le RGPD oblige donc les collectivités à dépasser la logique du classeur de conformité. Il impose une organisation vivante. Registre des traitements, gestion des habilitations, clauses avec les sous-traitants, registre des violations, procédure d’alerte, analyse des risques, information des personnes et pilotage par le DPO doivent être articulés avec la gestion de crise cyber.
Les prestataires numériques sont devenus un point critique
Les collectivités dépendent de plus en plus d’outils et d’acteurs externes. Logiciels métiers, hébergement, messagerie, sauvegarde, téléphonie, cybersécurité, plateformes collaboratives, intelligence artificielle, archivage, maintenance, support informatique. Cette dépendance n’est pas un problème en soi. Elle devient dangereuse lorsqu’elle n’est pas connue, contractualisée et réversible.
Un prestataire peut être attaqué. Un éditeur peut changer ses conditions. Un service cloud peut être suspendu. Une solution peut devenir indispensable sans alternative prévue. Une donnée peut être hébergée dans un cadre juridique mal maîtrisé. Une clause de réversibilité peut être absente ou trop vague.
La collectivité reste pourtant responsable de ses données et de la continuité de ses missions. Elle doit donc connaître ses dépendances numériques et exiger des garanties adaptées. Cela passe par une cartographie des outils critiques, une revue des contrats, une vérification des sous-traitants, une analyse des lieux d’hébergement, une clarification des délais de rétablissement et une évaluation des solutions de secours.
La dépendance numérique doit être pilotée comme un risque stratégique.
L’intelligence artificielle accélère les attaques et les dépendances
L’intelligence artificielle modifie aussi la menace. Elle rend les tentatives d’hameçonnage plus crédibles, facilite la production de faux messages, accélère la création de contenus trompeurs et peut aider à identifier plus rapidement des vulnérabilités exploitables.
Pour les collectivités, le risque ne se limite pas à l’email frauduleux. Il concerne aussi les usages internes de l’IA. Quels agents utilisent des outils d’IA générative ? Quelles données y sont déposées ? Les informations transmises sont-elles confidentielles ? Les solutions utilisées sont-elles encadrées ? Existe-t-il une charte d’usage ? Les élus et agents savent-ils distinguer un usage utile d’un usage risqué ?
L’actualité récente a également rappelé que la souveraineté numérique n’est pas un concept théorique. En juin 2026, la suspension de l’accès à certains modèles avancés d’Anthropic pour des utilisateurs non américains a illustré la fragilité d’organisations dépendantes d’outils numériques extra-européens sans solution de repli.
Une collectivité n’a pas nécessairement vocation à se couper de tous les outils internationaux. En revanche, elle doit savoir ce qu’elle utilise, pour quels usages, avec quelles données, sous quel cadre contractuel et avec quelle alternative.
La désinformation doit entrer dans la gestion de crise locale
Le risque numérique ne se limite plus au blocage des systèmes. Il peut aussi viser la confiance.
Un faux communiqué municipal, un faux compte d’élu, un site imitant celui de la mairie, une rumeur sur la qualité de l’eau, une fausse fermeture d’école ou une vidéo manipulée peuvent créer une crise locale en quelques heures. Dans un contexte électoral, social ou sanitaire, ce type d’attaque peut avoir des effets immédiats sur la population.
Les collectivités doivent donc intégrer la communication numérique dans leurs scénarios de crise. Qui valide un message officiel ? Où est publiée l’information fiable ? Comment réagir si un faux message circule ? Qui contacte les plateformes ? Comment informer les agents et les administrés sans amplifier la rumeur ?
Là encore, l’enjeu n’est pas seulement technique. Il est organisationnel.
Ce qu’une collectivité devrait vérifier dès maintenant
Une collectivité ne sera jamais invulnérable. En revanche, elle peut être préparée.
La première étape consiste à identifier les services critiques. État civil, paie, finances, urbanisme, action sociale, écoles, messagerie, téléphonie, sauvegardes et accès administrateurs doivent être cartographiés.
La deuxième étape consiste à vérifier les responsabilités. Qui décide en cas d’incident ? Qui contacte le prestataire ? Qui alerte le DPO ? Qui évalue la nécessité d’une notification CNIL ? Qui parle aux agents, aux élus et aux administrés ?
La troisième étape consiste à tester les sauvegardes et le fonctionnement dégradé. Une sauvegarde non testée n’est pas une garantie. Une procédure jamais jouée reste théorique. Un exercice simple, même court, permet souvent d’identifier des failles majeures.
La quatrième étape consiste à revoir les contrats prestataires. Les délais d’intervention, les obligations de notification, l’hébergement des données, la sous-traitance, la réversibilité et la sécurité des accès doivent être explicites.
La cinquième étape consiste à former les élus, les directions, les agents et les équipes techniques. La cybersécurité repose autant sur les comportements, les arbitrages et les réflexes de crise que sur les outils.
OPTIMEX DATA accompagne les collectivités dans leur responsabilité numérique
OPTIMEX DATA accompagne les organisations publiques et privées sur la protection des données, la conformité RGPD, les audits, les analyses d’impact, la gouvernance des traitements et la sensibilisation des équipes.
Pour les collectivités territoriales, l’enjeu est désormais d’articuler ces sujets avec la cybersécurité opérationnelle, la gestion de crise, les prestataires numériques et la continuité du service public.
L’objectif n’est pas de produire un document de conformité supplémentaire. L’objectif est de donner aux élus et aux directions une vision claire de leurs risques, de leurs obligations et des décisions à prendre.
Un accompagnement peut démarrer simplement par un audit flash de maturité, une revue des traitements sensibles, une cartographie des prestataires critiques, une vérification des procédures de violation de données, une sensibilisation des élus et agents, ou un exercice de crise adapté à la taille de la collectivité.
La cybersécurité des collectivités n’est plus une option technique. C’est une condition de continuité du service public, de protection des administrés et de confiance démocratique.
La responsabilité numérique des élus commence avant l’incident.