Cybersécurité des mairies et petites collectivités : pourquoi elles sont devenues des cibles prioritaires

Le 3 octobre 2025, les agents de la mairie de Fumel (Lot-et-Garonne, environ 5 000 habitants) allument leurs ordinateurs et les trouvent bloqués : comptabilité, ressources humaines et gestion des infrastructures sont paralysées, seul l’état civil fonctionne encore, rapporte Siècle Digital. Neuf mois plus tard, au début de l’été 2026, la ville de Drancy a dû débrancher en urgence une centaine de serveurs et reconstruire son réseau informatique, selon son magazine municipal de septembre 2026. Ces deux villes n’ont rien d’exceptionnel : l’ANSSI a traité 218 incidents touchant des collectivités territoriales en 2024, soit 14 % de l’ensemble de ses incidents, et son directeur général a indiqué au Sénat, en mars 2026, que plus de 300 incidents concernaient des collectivités en 2025.

Pourquoi les mairies, y compris les plus petites, sont-elles devenues des cibles prioritaires ? Cet article répond à partir des sources officielles : les synthèses de l’ANSSI sur la menace ciblant les collectivités, son Panorama de la cybermenace 2025, l’audition de l’ANSSI et de l’ANCT par le Sénat du 24 mars 2026, le guide de la CNIL et de Cybermalveillance.gouv.fr sur les obligations des collectivités, et les communications des villes concernées. Il détaille les menaces et des cas réels, la situation particulière des petites communes, les obligations légales et la responsabilité des élus, le périmètre de NIS2, les aides gratuites, l’enjeu de souveraineté des données des habitants, dix mesures concrètes, et ce que cela change pour les PME qui travaillent avec les collectivités. Les informations sont à jour au 7 novembre 2026.

L’essentiel à retenir

• L’ANSSI a traité 218 incidents affectant des collectivités en 2024 (18 par mois, 14 % de ses incidents). En 2025, « ministères et collectivités territoriales » représentent 24 % des 1 366 incidents, et les collectivités 11 % des victimes de rançongiciels (17 % en 2024).
• Les collectivités sont, selon l’ANSSI, des cibles de choix : souvent peu ou mal sécurisées, gestionnaires de systèmes d’information nombreux et disparates, dépositaires de nombreuses données d’habitants, et sous pression dès que leurs services s’arrêtent.
• Les premières portes d’entrée sont la messagerie (30 % des événements signalés en 2024), les vulnérabilités des équipements de bordure et l’hameçonnage. Les rançongiciels, les attaques en déni de service et les défigurations de sites complètent le tableau.
• Dans les petites communes, le point faible est souvent basique : selon l’ANCT, près de 10 000 communes n’ont pas de nom de domaine institutionnel et près de 20 000 utilisent des adresses de messagerie non professionnelles. L’État a lancé la Suite territoriale le 27 avril 2026 pour y répondre.
• Toute collectivité, quelle que soit sa taille, doit désigner un délégué à la protection des données, notifier à la CNIL sous 72 heures une violation de données à risque et respecter le RGS pour ses téléservices. La responsabilité de la collectivité, voire des élus et agents, peut être engagée.
• NIS2 ne vise, dans le texte adopté par le Sénat, que les plus grandes collectivités (communes de plus de 30 000 habitants, départements, régions, certains EPCI), sans sanction financière. Sa transposition n’était pas adoptée à notre connaissance au 7 novembre 2026.
• Pour une PME qui fournit une mairie, le risque passe par le prestataire : l’ANSSI observe de nombreuses compromissions qui rebondissent d’un fournisseur vers ses clients.

Mairies et collectivités : ce que disent les chiffres de l’ANSSI en 2024 et 2025

Il n’existe pas de comptage exhaustif des cyberattaques contre les communes. Les chiffres disponibles reposent sur les incidents que l’ANSSI traite, c’est-à-dire ceux qui lui sont signalés. Ils donnent néanmoins un ordre de grandeur précis, que l’on peut lire en trois temps.

2024 : 218 incidents. Dans sa synthèse de la menace sur les collectivités territoriales (24 février 2025), l’ANSSI indique avoir traité de janvier à décembre 2024 218 incidents affectant des collectivités, soit une moyenne de 18 par mois et 14 % de l’ensemble de ses incidents. Les communes et les établissements publics de coopération intercommunale (EPCI) à fiscalité propre sont majoritaires, ce que l’agence met en perspective avec leur nombre : près de 35 000 communes, 1 250 EPCI à fiscalité propre et près de 9 000 EPCI sans fiscalité propre. Elle a aussi traité 44 incidents touchant des départements et 29 touchant des régions, des chiffres élevés au regard de leur nombre (101 départements, 18 régions) qui pourraient indiquer un ciblage plus important ou un signalement plus systématique. Trente-trois incidents, soit 15 %, ont eu une criticité élevée.

2025 : 24 % des incidents pour « ministères et collectivités ». Dans son Panorama de la cybermenace 2025 (11 mars 2026), l’ANSSI recense 1 366 incidents, un nombre stable par rapport à 2024 (1 361). Quatre secteurs en concentrent 76 % : l’éducation et la recherche (34 %), les ministères et les collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %). L’agence précise que ces chiffres reflètent les signalements de ses bénéficiaires et ne sont pas nécessairement représentatifs de l’ensemble des événements. Pour les rançongiciels, elle compte 128 compromissions en 2025 (141 en 2024) : la part des collectivités territoriales parmi les victimes est de 11 %, en légère baisse par rapport à 2024 (17 %).

Devant le Sénat, plus de 300 incidents. Lors de l’audition du 24 mars 2026 devant la délégation aux collectivités territoriales, Vincent Strubel, directeur général de l’ANSSI, a indiqué que plus de 300 des 1 366 incidents de 2025 concernaient des collectivités, deuxième secteur le plus touché en volume derrière l’éducation et la recherche. Il a aussi souligné qu’il n’existe pas d’obligation large de notification des incidents à l’ANSSI, ce qui biaise les chiffres. Henri Prévost, directeur général de l’ANCT, a pour sa part estimé qu’environ 10 % des collectivités déclarent subir une cyberattaque chaque année.

Deux lectures sont donc à retenir. D’abord, le niveau d’incidents est élevé et stable : environ 18 par mois en 2024, plus de 300 sur l’année 2025. Ensuite, la baisse de la part des collectivités parmi les victimes de rançongiciels en 2025 (11 % contre 17 %) ne signifie pas une baisse du risque, car la part d’un secteur dépend aussi des autres : l’ANSSI note par exemple que les établissements scolaires ont été particulièrement touchés en 2025. Pour replacer ces chiffres dans le contexte général des petites structures, voir notre analyse Pourquoi les PME sont les cibles préférées des hackers.

Pourquoi les mairies sont devenues des cibles prioritaires ?

L’ANSSI le dit sans détour dans sa synthèse : les attaques à but lucratif sont la principale menace pour les collectivités, qui sont ciblées de façon opportuniste, quelle que soit leur taille, par l’ensemble de l’écosystème cybercriminel. Cinq raisons se dégagent des sources officielles.

1. Des défenses souvent fragiles. Les collectivités sont, selon l’ANSSI, « souvent peu ou mal sécurisées », gèrent des systèmes d’information nombreux et disparates et peuvent avoir du mal à maîtriser la cartographie de leurs réseaux. La Cour des comptes, dans son rapport de juin 2025 résumé par Localtis, relève une maturité très hétérogène, peu de plans de continuité ou de reprise d’activité efficaces et des correctifs critiques appliqués tardivement sur des systèmes exposés à Internet.
2. Des données très nombreuses. Les collectivités gèrent l’état civil, les écoles, les prestations sociales, l’urbanisme, l’eau, parfois des EHPAD : elles sont, écrit l’ANSSI, dépositaires d’un très grand nombre de données personnelles de leurs administrés. Ces données (registres d’état civil, gestion des biens et propriétés, modules de facturation) apparaissent dans les accès et fichiers vendus sur les forums cybercriminels.
3. Un service public qui ne peut pas s’arrêter. L’ANSSI observe que l’arrêt des services d’une collectivité en cas d’attaque, notamment par rançongiciel, revêt une gravité particulière et renforce la pression sur la victime : aides sociales, état civil, urbanisme, cimetières, eau, déchets, mais aussi téléphonie, messagerie, finances et ressources humaines sont touchés.
4. Des interconnexions qui propagent l’incident. Les systèmes d’information sont souvent partagés ou interconnectés entre collectivités. L’ANSSI cite une commune frappée par LockBit 3.0 en avril 2024 qui a dû couper toutes ses connexions avec d’autres communes : son système hébergeait ceux d’autres organisations, devenues indisponibles à leur tour.
5. Un symbole politique. Pour les hacktivistes, les collectivités semblent visées, selon l’ANSSI, essentiellement parce qu’elles représentent l’administration française. L’agence cite les vagues d’attaques en déni de service liées au soutien de la France à l’Ukraine, aux Jeux de Paris 2024 ou au conflit au Proche-Orient.

Un sixième facteur, de calendrier, joue en 2026. Lors de l’audition du Sénat, Henri Prévost (ANCT) a déclaré que la vulnérabilité s’accroît en période électorale et que les très petites collectivités sont parfois désarmées, et le sénateur Bernard Delcros a rappelé que de nouveaux maires venaient d’être élus. Dans son Panorama, l’ANSSI suit de son côté les attaques susceptibles d’être le fait de la Russie pour anticiper les menaces de déstabilisation, notamment dans le contexte des grands événements de 2026 et 2027 (élections, présidence française du G7). Pour une équipe municipale qui vient de prendre ses fonctions, la passation des accès (comptes d’administration, messagerie, site, prestataires) fait partie des premières choses à vérifier : c’est notre recommandation, qui découle de ces constats.

Les six grandes menaces qui visent les collectivités

La synthèse de l’ANSSI sur l’année 2024 permet de décrire six menaces, avec leurs ordres de grandeur. Le tableau les résume, avec le réflexe qui correspond à chacune.

Trois précisions donnent le sens de ces chiffres. La première concerne l’entrée en matière : parmi les intrusions hors rançongiciel, l’ANSSI note que de nombreuses collectivités ont été victimes d’une intrusion par l’exploitation de vulnérabilités, majoritairement sur des équipements de bordure (routeurs, pare-feu, accès à distance). Notre article sur les vulnérabilités zero-day et notre guide sur la gestion des mises à jour décrivent la méthode. La deuxième concerne la prudence face aux revendications : lors de l’audition du Sénat, le directeur général de l’ANSSI a indiqué que 60 % des revendications de vol de données relevaient du bluff. Une revendication de pirates ne prouve donc pas, à elle seule, qu’une fuite a eu lieu. La troisième concerne les sites : l’ANSSI note que les défigurations n’ont pas de grande sophistication, mais qu’elles portent atteinte à l’image de la collectivité et peuvent inquiéter les administrés. Pour le DDoS, voir notre article sur les attaques DDoS, et pour un site déjà touché, que faire quand un site est piraté.

Cas réels : Fumel, Drancy et les enseignements de l’ANSSI

Rien ne vaut des cas concrets pour mesurer ce que signifie « paralysie » dans une collectivité. Nous retenons ici ceux qui reposent sur une communication de la collectivité ou sur un document de l’ANSSI.

Fumel (Lot-et-Garonne), octobre 2025. D’après Siècle Digital, l’attaque est découverte le 3 octobre 2025 : la quasi-totalité des services municipaux (comptabilité, ressources humaines, gestion des infrastructures) est paralysée, seul le service de l’état civil fonctionne encore, et un message d’erreur en anglais s’affiche sur les écrans. La mairie a refusé de payer la rançon, déposé plainte et fait appel à une société spécialisée. Le coût immédiat est estimé à environ 24 000 euros, en partie couvert par l’assurance de la commune. Une partie des fichiers sensibles était sauvegardée sur des serveurs externes, ce qui limite les pertes, mais le maire prévient que de nombreuses données seront probablement perdues. Les pirates, qui se présentent comme malaisiens, affirment avoir chiffré et aspiré les données et menacent de les publier : ces éléments sont revendiqués et non vérifiés.

Drancy (Seine-Saint-Denis), été 2026. Dans son magazine de septembre 2026, la ville explique que, début juillet, une cyberattaque massive a contraint le service informatique à arrêter l’ensemble des serveurs pour enrayer la propagation d’un logiciel malveillant qui chiffre les données et réclame une rançon. Près d’une centaine de serveurs ont été débranchés en urgence le matin de l’attaque, puis analysés et restaurés à partir de sauvegardes saines, avec l’appui de l’ANSSI, saisie dès le dépôt de plainte. Le maire, Jean-Christophe Lagarde, écrit avoir refusé le paiement de la rançon, ce qui a imposé de reconstituer le réseau informatique « comme s’il n’avait jamais existé auparavant ». Pendant de longues semaines, les serveurs ont été intégralement arrêtés et l’activité des services fortement ralentie, avec un service public maintenu mais dégradé. Au 17 août, près de 700 postes et leurs logiciels étaient de nouveau opérationnels grâce à des serveurs distants, tandis qu’une centaine d’ordinateurs classiques devaient être réinitialisés un par un. Les investigations ont établi que les cybercriminels ont pu extraire certaines données, dont la nature et l’étendue restent à déterminer ; la ville recommande aux habitants de redoubler de vigilance face aux courriels et SMS qui utiliseraient des informations communiquées à la mairie.

Quatre cas décrits par l’ANSSI en 2024. Sans nommer les victimes, la synthèse de l’agence décrit : une commune chiffrée par LockBit 3.0 en avril 2024, qui a dû isoler son système d’internet et couper toutes ses interconnexions ; une commune de taille importante dont plusieurs serveurs ont été chiffrés par Babuk en avril 2024, avec arrêt de l’ensemble de ses services publics et internes puis redémarrage progressif sur plusieurs semaines ; un conseil départemental dont l’Active Directory a été compromis avec exfiltration de données en novembre 2024, système isolé d’internet et perte de la messagerie ; et une commune dont l’annuaire complet a été exfiltré et partagé sur des forums en janvier 2024, exposant les données personnelles de ses agents.

L’effet d’un prestataire commun. L’ANSSI cite aussi le rapport 2024 du CERT-Bund allemand : en octobre 2023, la compromission par rançongiciel (revendiquée par Akira) d’un fournisseur de services informatiques dédié aux collectivités allemandes a touché en même temps 72 collectivités et 20 000 postes de travail, avec des interruptions de service pour 1,7 million d’habitants et une restauration encore incomplète plusieurs mois plus tard.

Ces cas ont cinq points communs. Premièrement, la première réaction est d’arrêter ou d’isoler le système, ce qui suspend les services avant même l’analyse. Deuxièmement, la qualité des sauvegardes et d’un plan de reprise d’activité détermine la durée : l’ANSSI souligne que, dans de nombreux cas, un PRA recensant et priorisant les applications et des sauvegardes saines, déconnectées du réseau, améliorent significativement le temps de remédiation, tandis que les incidents de criticité importante demandent souvent plusieurs mois avant le retour à un fonctionnement nominal. Troisièmement, l’étendue de l’exfiltration reste longtemps inconnue. Quatrièmement, les interconnexions et les prestataires multiplient les victimes. Cinquièmement, la communication aux habitants (changer ses mots de passe, redoubler de vigilance) fait partie de la gestion de crise. Notre pilier sur la cyber-résilience détaille cette logique de reprise.

Petites communes : un maillon faible faute de moyens et de nom de domaine

Les chiffres nationaux masquent une réalité : la France compte près de 35 000 communes, et la plupart sont petites. Lors de l’audition du Sénat, Henri Prévost (ANCT) a estimé à 30 000 le nombre de communes de moins de 3 500 habitants susceptibles de relever de l’offre de l’État. Pour ces collectivités, le point faible n’est souvent ni sophistiqué ni coûteux à corriger : il est basique.

• Pas de nom de domaine, messagerie grand public. Dans son communiqué de lancement de la Suite territoriale du 27 avril 2026, l’ANCT indique que près de 10 000 communes ne disposent pas de nom de domaine institutionnel et que près de 20 000 utilisent des adresses de messagerie non professionnelles pour leurs communications officielles. Or la compromission de messagerie est la première catégorie d’événements signalés à l’ANSSI par les collectivités (30 % en 2024). Une adresse grand public ne permet pas de garantir l’authenticité des messages d’une mairie, et elle n’offre pas les protections que l’on peut configurer sur un nom de domaine propre. Notre guide sur SPF, DKIM et DMARC et notre article sur la sécurité DNS expliquent ces protections.
• Peu d’information, beaucoup de préjugés. Selon le guide publié par Cybermalveillance.gouv.fr avec la CNIL, une étude menée dans le cadre de France Relance auprès des collectivités de moins de 3 500 habitants a montré que ces publics sont peu informés ou sensibilisés à la cybersécurité, ont de nombreux préjugés sur le sujet, connaissent mal le cadre juridique (à l’exception du RGPD) et jugent la réglementation complexe.
• Peu de moyens humains et techniques. Le président de la délégation aux collectivités du Sénat, Bernard Delcros, a jugé lors de l’audition que l’immense majorité des collectivités ne peut pas faire face à des attaques. Le sénateur Ludovic Haye a rappelé que le maire confronté à un problème le week-end peine à joindre un interlocuteur et se tourne souvent vers son prestataire informatique.
• Un accompagnement difficile à lire. La Cour des comptes parle d’une illisibilité des dispositifs d’accompagnement, nombreux mais peu articulés (rapport de juin 2025, résumé par Localtis). C’est l’une des raisons pour lesquelles la section suivante les remet à plat.

La mutualisation est la réponse structurelle. Les 29 opérateurs publics de services numériques (OPSN), structures de mutualisation locales, sont associés au déploiement de la Suite territoriale, selon Acteurs Publics, et le délégué à la protection des données peut lui aussi être mutualisé à l’échelle d’un ensemble de communes. Henri Prévost a également cité les intercommunalités et le réseau Déclic comme relais. Pour une commune de quelques centaines d’habitants, la bonne question n’est donc pas « comment recruter un expert », mais « à quelle structure mutualisée suis-je rattachée, et que me propose-t-elle ? ». Cette question aide aussi les très petites entreprises et les associations d’un territoire, dont les besoins sont proches : voir notre guide pour les indépendants et auto-entrepreneurs.

Ce qu’une cyberattaque change pour les habitants et le budget

Pour une entreprise, une cyberattaque interrompt une production ou des ventes. Pour une mairie, elle interrompt des services publics, ce qui change la nature du dommage.

• Des services du quotidien à l’arrêt. D’après l’ANSSI, une compromission du parc informatique peut rendre inopérants les aides sociales, l’état civil, l’urbanisme, l’administration des cimetières, la gestion de l’eau et des déchets, ainsi que la téléphonie, la messagerie, les finances et les ressources humaines. La collectivité bascule en mode dégradé, voire manuel. Lors d’incidents de criticité importante, il faut souvent plusieurs mois pour revenir à un fonctionnement nominal, à cause du temps nécessaire pour reconstruire et durcir le système puis remonter les applications métiers.
• Un coût qui varie de dizaines de milliers à plus d’un million d’euros. Selon l’ANSSI, citée dans le résumé du rapport de la Cour des comptes, la cyberattaque contre la métropole Aix-Marseille-Provence (mars 2020) a coûté 960 000 euros et celle de la ville de Bondy (novembre 2020) plus de 1,5 million d’euros ; les coûts indirects sont plus difficiles à chiffrer. À l’autre bout de l’échelle, le coût immédiat de l’attaque de Fumel est estimé à environ 24 000 euros, en partie couvert par l’assurance.
• Des données d’habitants exposées. L’ANSSI cite des accès à des registres d’état civil et de gestion de biens et propriétés ou aux modules de facturation, et des atteintes à la vie privée des administrés comme des agents, avec des enjeux juridiques et réputationnels. Les habitants deviennent la cible de fraudes qui s’appuient sur des informations réelles : c’est le sens de l’appel à la vigilance lancé par la ville de Drancy.
• Des préjudices en cascade. Le guide de Cybermalveillance.gouv.fr et de la CNIL distingue les préjudices pour les administrés et la fragilisation du lien de confiance, les préjudices financiers directs (reconfiguration du système, interventions d’urgence de prestataires), les préjudices financiers indirects (fermeture contrainte d’une piscine, d’un musée, d’une bibliothèque ou d’un parking public) et, plus rarement, des dommages aux personnes ou aux biens (accident lié à un dysfonctionnement de signalisation ou d’éclairage public).

Pour les PME, ces chiffres donnent un point de comparaison utile : notre pilier sur le coût réel d’une cyberattaque pour une PME montre que le principal poste de dépense n’est pas la rançon, mais l’arrêt d’activité et la remise en état. C’est exactement ce que décrivent les collectivités.

Obligations légales et responsabilité des élus

Une mairie n’a pas besoin que NIS2 soit transposée pour être tenue à des obligations de cybersécurité. Le guide « Obligations et responsabilités en matière de cybersécurité des collectivités locales », rédigé par Cybermalveillance.gouv.fr avec la CNIL (publié en juillet 2022, d’après Maire-info), en identifie trois : la protection des données personnelles, la sécurisation des téléservices locaux et l’hébergement des données de santé. Le tableau les résume.

Quelques précisions utiles. Le responsable de traitement est, en pratique, le représentant légal de la collectivité : le maire ou le président de l’EPCI. Le guide rappelle que les traitements ne sont pas forcément informatisés (un fichier papier d’usagers de la médiathèque en est un) et que les mesures de sécurité de base requises dans la quasi-totalité des cas sont la protection des postes (antivirus, EDR), du réseau (pare-feu, proxy), les mises à jour suivies, les sauvegardes régulières et testées, l’authentification robuste, le chiffrement (HTTPS, ordinateurs portables, clés USB), les habilitations et les journaux de connexion supervisés. Côté téléservices, le guide précise qu’à partir de 5 000 euros de recettes annuelles, la mise à disposition de services de paiement en ligne auprès des usagers est obligatoire pour les collectivités, ce qui multiplie les points d’exposition. Pour les données de santé, voir notre article sur la certification HDS.

Sur le DPO, la CNIL a déjà agi. Le 31 mai 2022, d’après Localtis, la CNIL a mis en demeure 22 communes de 20 000 habitants et plus de désigner un DPO dans un délai de quatre mois, la mise en demeure pouvant déboucher sur une amende rendue publique. À cette date, environ 17 900 communes, soit 51 %, avaient désigné un DPO selon le fichier ouvert de la CNIL.

Responsabilité de la collectivité, des élus et des agents. Le guide distingue trois régimes. Sur le plan administratif, la CNIL peut sanctionner la collectivité, des administrés ou des entreprises pourraient demander réparation en cas de faute de l’administration, et, dans des cas exceptionnels, un dommage de travaux publics pourrait être invoqué. Sur le plan civil, un élu ou un agent peut voir sa responsabilité personnelle engagée en cas de faute détachable du service, la collectivité pouvant alors se retourner contre lui. Sur le plan pénal, l’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de traiter des données sans mettre en œuvre les mesures de sécurité prévues, et les fautes d’imprudence ou de négligence (article 121-3) pourraient être invoquées si une cyberattaque entraînait des atteintes aux personnes à cause de manquements graves à la sécurité. Le guide présente ces situations comme des exemples plausibles et non comme une jurisprudence établie : il écrit que l’application d’un régime de responsabilité pour faute en cas de cyberattaque « n’est pas à exclure ». Les plafonds de sanction de la CNIL sont ceux du RGPD : 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements à la sécurité et à la notification, 20 millions ou 4 % pour les principes de base (article 83).

Ce raisonnement vaut aussi pour les dirigeants d’entreprise : notre article sur la responsabilité du dirigeant de PME en cas de cyberattaque décrit un cadre comparable, et notre guide sur le RGPD et la cybersécurité en PME détaille les obligations de sécurité et de notification.

NIS2 : quelles collectivités sont concernées ?

La directive NIS2 range l’administration publique parmi les secteurs hautement critiques. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui la transpose, a été adopté par le Sénat le 12 mars 2025. Selon la Banque des Territoires, le texte étend les obligations à environ 15 000 entités, dont 1 500 collectivités :

• Entités essentielles : les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines, les communautés d’agglomération comprenant au moins une commune de plus de 30 000 habitants, ainsi que les services départementaux d’incendie et de secours et les centres de gestion.
• Entités importantes : les communautés d’agglomération sans commune de plus de 30 000 habitants et les communautés de communes dont les activités relèvent de secteurs critiques.
• Pas de sanction financière : le texte confirme la dispense de sanctions financières pour les collectivités, et une période de transition de trois ans est prévue, pendant laquelle seuls des contrôles à visée éducative, sans sanction, seraient réalisés.

Lors de l’audition du 24 mars 2026, Vincent Strubel a précisé que les communes de moins de 30 000 habitants ne seraient concernées que via leur intercommunalité, que les régions et les départements seraient des entités essentielles et que toutes les entités concernées devraient s’enregistrer et notifier leurs incidents à l’ANSSI, une obligation qu’il juge peu lourde. Il a regretté le retard de la transposition.

Ce texte n’est pas en vigueur. L’examen du projet de loi en séance publique à l’Assemblée nationale, prévu le 7 octobre 2026, a été retiré de l’ordre du jour le 6 octobre, sans nouvelle date, selon Leto. Nous n’avons pas trouvé trace d’une adoption au 7 novembre 2026 ; vérifiez l’état du dossier sur le site de l’Assemblée nationale avant de vous appuyer sur ces dispositions, qui peuvent encore être modifiées.

Pour une petite commune, la conclusion pratique est double. NIS2 ne lui imposerait pas directement d’obligation, mais elle reste tenue au RGPD, au RGS et à la notification des violations, et elle subit les mêmes menaces que les grandes collectivités. Pour une PME, NIS2 compte pour une autre raison : si l’un de vos clients est une collectivité ou une entité concernée, il traitera la sécurité de sa chaîne d’approvisionnement, donc la vôtre. Notre pilier sur les nouvelles obligations réglementaires 2026 situe NIS2, DORA et le Cyber Resilience Act.

Aides et dispositifs gratuits : CSIRT, Suite territoriale, diagnostics

La bonne nouvelle, c’est que plusieurs dispositifs publics existent, et que la plupart sont gratuits pour une petite collectivité. La moins bonne, relevée par la Cour des comptes, c’est qu’ils sont difficiles à repérer. Voici ceux que nous avons pu vérifier dans des sources officielles ou institutionnelles.

Trois compléments. Le premier concerne la Suite territoriale : d’après Acteurs Publics (avril 2025), le projet a été testé par 75 collectivités pilotes depuis décembre 2024, avec un budget de 2,5 millions d’euros financé par l’ANSSI dans le cadre de France 2030 ; les sources que nous avons consultées ne précisent pas l’hébergeur des données. Le deuxième concerne les parcours de cybersécurité de l’ANSSI financés par France Relance, aujourd’hui terminés : selon le bilan d’avril 2025 relayé par Localtis, ils ont accompagné 945 structures dont 707 collectivités (près de 75 %), avec un audit subventionné à hauteur de 40 000 euros puis des mesures cofinancées à 30 %. Ils exigeaient toutefois un responsable de la sécurité des systèmes d’information en interne, ce qui écartait de fait les petites collectivités, et l’ANSSI n’envisageait ni leur poursuite ni leur transformation. Pour la suite, la revue nationale stratégique 2025 prévoit un cofinancement pluriannuel des CSIRT territoriaux par l’État et les régions à partir de 2026 et un programme d’accompagnement des collectivités en 2026, sans montant précisé. Le troisième concerne le guide AMF-ANSSI « Cybersécurité : toutes les communes et intercommunalités sont concernées » (novembre 2020), qui place la gouvernance en tête de ses priorités : la cybersécurité d’une commune est d’abord une décision d’élus, pas seulement une question de technique.

Pour les PME et les associations, les financements ne sont pas les mêmes : voir notre article sur les aides et subventions cybersécurité en 2026 et notre guide sur le budget cybersécurité d’une PME.

Souveraineté : où sont les données des habitants ?

Une commune détient les listes électorales, l’état civil, les inscriptions scolaires, les dossiers sociaux de son CCAS. Elle ne les héberge presque jamais seule : elle les confie à des éditeurs de logiciels de gestion, souvent en ligne (mode SaaS), et à des prestataires d’hébergement. La question « où sont ces données et sous quel droit ? » est donc une question de sécurité, pas seulement de principe. L’ANSSI en donne une illustration dans son Panorama 2025 : en octobre 2025, elle a été informée d’une attaque par rançongiciel ayant chiffré des ressources liées à une solution SaaS d’un éditeur français hébergée sur un environnement cloud Amazon Web Services. Elle observe aussi que le manque de contrôle du client final sur ces environnements peut freiner l’analyse lors d’une réponse à incident, par exemple faute d’accès aux journaux d’activité. Ce constat ne dit pas qu’un hébergeur est moins sûr qu’un autre ; il montre que la chaîne éditeur-hébergeur fait partie de votre surface d’attaque.

Le CLOUD Act, adopté aux États-Unis le 23 mars 2018, permet aux autorités américaines d’exiger d’un fournisseur soumis au droit américain les données qu’il détient ou contrôle, y compris lorsqu’elles sont stockées hors des États-Unis. Le critère est donc la juridiction du fournisseur, pas l’adresse du centre de données. Notre guide de la cybersécurité souveraine anti-CLOUD Act détaille le mécanisme, et notre pilier sur la sécurité cloud pour PME compare les offres.

Que dit le cadre applicable aux collectivités ? La doctrine « cloud au centre », actualisée par la circulaire du 31 mai 2023, est adressée aux ministres : elle impose pour les administrations de l’État un hébergement qualifié SecNumCloud (qualification de l’ANSSI) pour les données dites sensibles. Elle ne mentionne pas les collectivités territoriales. La Banque des Territoires estime néanmoins, dans son analyse, que les collectivités qui gèrent des données d’état civil, scolaires, électorales, médico-sociales (CCAS) ou de sécurité des personnes sont concernées en pratique, et qu’elles doivent surtout veiller à ce que leur éditeur de logiciel en ligne utilise un hébergement qualifié SecNumCloud. La portée juridique exacte pour une commune n’est pas tranchée dans ces sources : demandez-la à votre préfecture ou à votre OPSN avant de contractualiser. Par ailleurs, le référentiel SecNumCloud 3.2 (8 mars 2022) prévoit, pour protéger des lois extra-européennes, des plafonds de capital de 24 % pour un actionnaire individuel et de 39 % pour l’ensemble des actionnaires, lorsqu’ils sont des entités hors de l’Union européenne (référentiel, page 51).

La souveraineté est aussi au cœur de la réponse de l’État aux petites communes : l’ANCT présente le lancement de la Suite territoriale comme une offre destinée à renforcer la sécurité et la souveraineté numérique des petites collectivités, et Acteurs Publics rapporte que le pari est de détourner les collectivités des « solutions non sécurisées ou étrangères ». Pour concrétiser ces repères sans compétence technique, posez ces cinq questions à votre éditeur de logiciel ou à votre hébergeur :

1. Où mes données sont-elles stockées, sauvegardées et administrées, et des équipes situées hors de l’Union européenne peuvent-elles y accéder à distance ?
2. Votre société, votre maison mère ou votre hébergeur sont-ils soumis à une législation d’un pays tiers (capital, contrôle, sous-traitants) ? Quelles mesures sont prévues si une autorité étrangère demande l’accès à mes données ?
3. Votre hébergement est-il qualifié SecNumCloud (et certifié HDS si des données de santé sont concernées) ?
4. Comment récupérer mes données si je change de prestataire : format, délai, coût ? Et puis-je obtenir mes journaux d’activité en cas d’incident ?
5. En cas d’incident, sous quel délai m’informez-vous, afin que je puisse notifier la CNIL sous 72 heures ?

Un fournisseur européen n’est pas automatiquement meilleur : comparez aussi ses certifications, son historique d’incidents et la réversibilité de son offre. Notre article sur le serveur physique ou le cloud souverain aide à arbitrer pour une structure de petite taille.

Pour aller plus loin sur ces alternatives, voir notre article sur kSuite, l’alternative souveraine à Microsoft 365 et notre pilier sur l’écosystème Infomaniak pour les PME.

Dix mesures prioritaires pour une petite commune

Une petite commune ne peut pas tout faire, mais elle peut faire l’essentiel. Les dix mesures ci-dessous découlent directement des recommandations de l’ANSSI dans sa synthèse sur les collectivités (sauvegardes déconnectées, sensibilisation, mises à jour des équipements de bordure, cartographie, plan de reprise d’activité) et des mesures de base du guide de la CNIL et de Cybermalveillance.gouv.fr. La colonne « Pourquoi » indique le constat qui la justifie.

Chaque ligne renvoie à un guide détaillé : la double authentification, les gestionnaires de mots de passe, la règle 3-2-1 de sauvegarde, la gestion des correctifs, la segmentation réseau, la formation des équipes, la détection du phishing et notre pilier sur la gestion des identités et des accès. Pour formaliser l’ensemble, notre pilier sur la politique de sécurité informatique fournit un modèle, et l’audit cybersécurité de SIAC Media permet de mesurer l’écart pour une PME ou une association.

PME fournisseurs des collectivités : ce que cela change pour vous

Si votre PME vend un logiciel, de la maintenance, de l’hébergement, du conseil ou des travaux à une mairie, votre sécurité fait partie de la sienne. L’ANSSI le documente dans son Panorama 2025, à la rubrique consacrée au ciblage des sous-traitants :

• en 2025, l’agence a été témoin de nombreuses compromissions d’entités par des attaquants en mesure de se latéraliser depuis les systèmes d’information de prestataires vers leurs clients ;
• dans l’un des cas cités, un attaquant a compromis et exfiltré des ressources clientes chez un prestataire de nombreuses entités françaises, puis, grâce aux interconnexions et à des authentifiants volés, s’est déplacé sur le système de plusieurs clients ;
• plusieurs prestataires ont subi un rançongiciel avec de forts impacts sur leurs clients, dont une entité française dont l’application était inaccessible pour tous ses clients, perturbant fortement de nombreux acteurs d’un même secteur ;
• les mesures d’endiguement prises chez le prestataire peuvent elles-mêmes priver les clients de l’accès à certaines ressources.

Côté collectivités, la synthèse de l’ANSSI sur 2024 rappelle que les interconnexions et regroupements de systèmes d’information entre collectivités peuvent avoir des effets de bord, avec l’exemple du prestataire allemand qui gérait 72 collectivités. Pour une PME, cela a trois conséquences concrètes. D’abord, un client public vous demandera de plus en plus de garanties : questionnaires de sécurité, clauses de confidentialité et de notification d’incident, parfois audit. Ce n’est pas encore une obligation générale tant que NIS2 n’est pas transposée, mais NIS2 prévoit que les entités concernées traitent la sécurité de leur chaîne d’approvisionnement, et le RGPD (article 28) oblige déjà la collectivité à ne choisir que des sous-traitants offrant des garanties suffisantes. Ensuite, si votre client est paralysé, vos paiements peuvent l’être aussi : l’ANSSI cite les finances parmi les services internes touchés par ces incidents, ce qui peut retarder le règlement des factures (c’est notre analyse). Enfin, votre propre réputation est en jeu : un prestataire à l’origine d’une compromission perd souvent son client.

Voici six réflexes pour un fournisseur de collectivités, tirés des constats ci-dessus et de nos guides :

1. Double authentification sur tous les accès distants aux réseaux de vos clients, avec des comptes nominatifs et des journaux conservés.
2. Cloisonner les environnements clients pour qu’une compromission ne se propage pas d’un client à l’autre.
3. Appliquer vite les correctifs sur vos équipements exposés, comme vous demandez à vos clients de le faire.
4. Sauvegarder hors ligne et tester la restauration, pour que votre propre arrêt ne devienne pas celui de vos clients.
5. Prévoir une clause et une procédure d’information rapide du client en cas d’incident, afin qu’il puisse tenir ses délais de notification à la CNIL.
6. Vérifier votre assurance cyber et mesurer votre niveau avec un diagnostic.

Notre article sur les attaques par la chaîne d’approvisionnement décrit ces mécanismes, notre guide sur la gestion des risques tiers aide à auditer vos propres fournisseurs, et celui sur le choix d’un prestataire informatique de confiance est utile si vous êtes de l’autre côté de la table. Pour l’assurance, voir notre pilier sur l’assurance cyber pour PME, et pour mesurer votre niveau, l’audit cybersécurité PME de SIAC Media est le point de départ le plus simple.

Que faire en cas de cyberattaque : les 72 premières heures

Les consignes ci-dessous combinent les recommandations de l’ANSSI, les obligations de la CNIL et ce que les villes de Fumel et de Drancy ont décrit de leur gestion de crise. Agissez dans l’ordre, sans attendre de tout comprendre.

1. Isolez ce qui est touché. Déconnectez les machines atteintes et, si la propagation est en cours, le réseau d’internet. C’est ce qu’ont fait Drancy (arrêt de l’ensemble des serveurs) et les communes décrites par l’ANSSI. Avant toute réinstallation, conservez les traces : Drancy a analysé ses serveurs « comme lors d’une scène de crime » avant de restaurer.
2. Appelez votre prestataire informatique, votre CSIRT régional et Cybermalveillance.gouv.fr (17Cyber). Vous pouvez aussi contacter le CERT-FR de l’ANSSI, dont le Panorama 2025 indique l’adresse cert-fr@ssi.gouv.fr et le numéro 3218 (service gratuit plus prix d’un appel). Il n’existe pas aujourd’hui d’obligation large de notification des incidents à l’ANSSI, selon son directeur général, mais l’agence recommande de lui signaler rapidement tout incident.
3. Déposez plainte. À Drancy, l’ANSSI a été saisie dès le dépôt de plainte ; à Fumel, la mairie a aussi porté plainte. Si la collectivité est assurée, vérifiez les conditions de déclaration de votre contrat : l’article L. 12-10-1 du Code des assurances subordonne l’indemnisation des atteintes à un système de traitement automatisé de données à une plainte déposée dans les 72 heures suivant leur connaissance, et il vise les personnes morales.
4. Documentez tout. Date et heure de la découverte, personnes alertées, actions menées, journaux conservés : ce journal servira à la plainte, à l’assureur, à la CNIL et à l’enquête.
5. Passez en mode dégradé. État civil, paie et finances sur papier si nécessaire, numéros d’urgence imprimés, information des agents. À Fumel, seul l’état civil fonctionnait encore après la découverte de l’attaque.
6. Évaluez la violation de données et notifiez la CNIL sous 72 heures si elle présente un risque pour les droits et libertés des personnes ; informez les personnes concernées si le risque est élevé, et sollicitez la CNIL en cas de doute sur le niveau de risque, comme le recommande le guide de la CNIL et de Cybermalveillance.gouv.fr.
7. Communiquez aux habitants et aux agents. Drancy a recommandé aux habitants de redoubler de vigilance face aux courriels et SMS utilisant des informations qu’ils auraient communiquées à la mairie. Invitez à changer les mots de passe si des identifiants ont pu être exposés.
8. Ne payez pas sans avis. Drancy et Fumel ont refusé de payer. L’ANSSI rappelle, dans son rapport sur les cabinets d’avocats, que le paiement d’une rançon n’assure pas le déchiffrement des données. Notre article faut-il payer la rançon ? détaille les enjeux.
9. Restaurez depuis des sauvegardes saines, après analyse, et durcissez. Drancy a restauré à partir de sauvegardes saines et mis en place des protocoles de sécurité plus stricts.

Pour la conduite détaillée d’un incident, consultez notre plan de réponse à incident, notre article sur les 24 premières heures après une cyberattaque et notre pilier Qui prévenir en cas de cyberattaque. Pour savoir si des données circulent déjà, voir notre guide sur la fuite de données sur le dark web, et pour limiter l’impact sur l’image, notre article sur la réputation après une cyberattaque.

Plan d’action sur 90 jours

Un plan réaliste pour une petite commune sans service informatique, à partager avec le maire, le secrétaire de mairie et le prestataire. Les PME fournisseurs des collectivités peuvent l’adapter à leur propre structure.

1. Jours 1 à 30 : reprendre la main. Récupérez et documentez tous les accès (messagerie, site web, nom de domaine, logiciels de gestion, comptes d’administration) et la liste des prestataires, surtout après un renouvellement du conseil. Vérifiez que la commune dispose d’un nom de domaine et d’une messagerie professionnelle, et renseignez-vous sur l’éligibilité à la Suite territoriale auprès de votre OPSN. Activez la double authentification sur la messagerie et les accès à distance. Faites une sauvegarde hors ligne et testez une restauration. Notez les numéros d’urgence (prestataire, CSIRT, 17Cyber, CERT-FR).
2. Jours 31 à 60 : se mettre en conformité. Désignez ou mutualisez le DPO, tenez le registre des traitements, écrivez la procédure de notification à la CNIL sous 72 heures. Faites l’inventaire des équipements de bordure (routeur, pare-feu, accès à distance) et exigez un délai de correction dans les contrats de maintenance. Vérifiez le RGS pour les téléservices (paiement en ligne, démarches). Demandez à vos éditeurs et hébergeurs les réponses aux cinq questions de souveraineté. Relisez votre contrat d’assurance.
3. Jours 61 à 90 : tenir dans la durée. Formez élus et agents à l’hameçonnage et à l’arnaque au président. Simulez une demi-journée en mode dégradé (état civil, paie, finances sur papier). Demandez un diagnostic gratuit (MonAideCyber via votre centre de gestion, ou un prestataire labellisé ExpertCyber). Revoyez les accès des anciens élus, agents et prestataires. Prévenez les habitants des adresses officielles de la commune pour les aider à repérer les faux messages.

Pour structurer le suivi, notre modèle d’audit avec checklist PDF (pilier) peut servir de trame, même hors du monde de l’entreprise, et notre guide complet de la cybersécurité PME 2026 replace ces actions dans une stratégie d’ensemble.

Questions fréquentes sur la cybersécurité des mairies

Pourquoi les mairies sont-elles ciblées par les cyberattaques ?

Selon l’ANSSI, les collectivités sont des cibles de choix pour les cybercriminels : souvent peu ou mal sécurisées, gestionnaires de systèmes d’information nombreux et disparates, dépositaires de nombreuses données d’habitants, et soumises à une forte pression dès que leurs services s’arrêtent. Les groupes hacktivistes les visent aussi parce qu’elles représentent l’administration française.

Combien de collectivités sont attaquées chaque année ?

L’ANSSI a traité 218 incidents affectant des collectivités en 2024, soit 14 % de ses incidents, et le directeur général de l’agence a indiqué en mars 2026 que plus de 300 incidents concernaient des collectivités en 2025. Ces chiffres reposent sur les signalements, et il n’existe pas d’obligation large de notification à l’ANSSI, ce qui, selon son directeur général, biaise les chiffres.

Une petite commune est-elle vraiment visée ?

Oui. L’ANSSI écrit que les collectivités sont ciblées de façon opportuniste, quelle que soit leur taille, et que la majorité des incidents concerne des communes et des EPCI à fiscalité propre. Fumel, commune d’environ 5 000 habitants, en est un exemple.

Une mairie doit-elle avoir un délégué à la protection des données ?

Oui. Selon le guide de Cybermalveillance.gouv.fr et de la CNIL, toute collectivité locale, quelle que soit sa taille, doit désigner un DPO. Il peut être un agent, être mutualisé entre plusieurs collectivités (par exemple via un opérateur public de services numériques) ou être un conseil externe. Les fonctions de directeur général ou de responsable informatique sont susceptibles de créer un conflit d’intérêts.

Que faire en cas de fuite de données d’habitants ?

Toute violation doit être documentée. Si elle présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures, et les personnes concernées doivent être informées si le risque est élevé. En cas de doute sur le niveau de risque, la CNIL peut être sollicitée.

Une mairie doit-elle payer la rançon ?

Les villes de Drancy et de Fumel ont refusé de payer. L’ANSSI rappelle, dans un autre rapport, que le paiement d’une rançon n’assure pas le déchiffrement des données. La meilleure protection reste une sauvegarde saine et déconnectée du réseau, qui a permis à Drancy de restaurer ses systèmes.

La directive NIS2 s’applique-t-elle aux petites communes ?

Dans le texte adopté par le Sénat, les communes de plus de 30 000 habitants, les départements, les régions et certains EPCI sont visés ; les communes plus petites ne seraient concernées que via leur intercommunalité, et les collectivités seraient dispensées de sanctions financières. Le texte n’était pas définitivement adopté à notre connaissance au 7 novembre 2026.

Qui appeler en cas d’attaque ?

Votre prestataire informatique, votre CSIRT régional s’il existe, Cybermalveillance.gouv.fr (17Cyber) et, si besoin, le CERT-FR de l’ANSSI. Déposez plainte et, si la collectivité est assurée, prévenez l’assureur dans les délais de votre contrat.

Existe-t-il des aides gratuites pour les petites communes ?

Oui. La Suite territoriale de l’ANCT, lancée le 27 avril 2026, s’adresse aux communes de moins de 3 500 habitants et aux EPCI de moins de 15 000 habitants et comprend notamment une messagerie professionnelle et ProConnect. Les CSIRT régionaux, Cybermalveillance.gouv.fr et les diagnostics comme MonAideCyber complètent l’offre. L’ANCT s’appuie sur les opérateurs publics de services numériques pour le déploiement.

Les élus peuvent-ils être tenus personnellement responsables ?

Le guide de Cybermalveillance.gouv.fr et de la CNIL envisage une responsabilité civile personnelle en cas de faute détachable du service, et une responsabilité pénale en cas de violation des règles de protection des données ou de faute d’imprudence ayant causé des atteintes aux personnes. Il présente ces cas comme plausibles et non comme une jurisprudence établie : pour une situation précise, consultez un avocat.

Une PME qui travaille avec une mairie est-elle concernée ?

Oui, indirectement. L’ANSSI observe de nombreuses compromissions qui rebondissent d’un prestataire vers ses clients. Une PME fournisseur doit protéger ses accès distants, cloisonner les environnements clients, sauvegarder hors ligne et prévoir une information rapide du client en cas d’incident, car celui-ci doit pouvoir tenir ses délais de notification.

Conclusion

Les mairies et les petites collectivités ne sont pas ciblées par hasard. Elles cumulent des données nombreuses, des systèmes disparates, des moyens limités et un service public qui ne peut pas s’arrêter, et elles sont visées de façon opportuniste, quelle que soit leur taille. Les chiffres de l’ANSSI (218 incidents en 2024, plus de 300 en 2025) et les cas de Fumel et de Drancy montrent à quoi ressemble la réalité : des services à l’arrêt pendant des semaines, un réseau parfois à reconstruire, des données d’habitants exposées et des responsabilités juridiques qui ne dépendent pas de NIS2.

La bonne séquence est simple. Commencer par les mesures qui coûtent peu et pèsent beaucoup (messagerie sur nom de domaine de la commune, double authentification, sauvegardes déconnectées, mises à jour des équipements de bordure), s’appuyer sur l’offre publique (Suite territoriale, CSIRT, Cybermalveillance.gouv.fr, DPO mutualisé), vérifier où vivent les données des habitants, puis préparer la crise. Pour une PME qui travaille avec les collectivités, la même logique s’applique, avec un enjeu supplémentaire : votre sécurité fait partie de celle de votre client. Cette démarche s’inscrit dans votre stratégie globale, présentée dans notre guide complet de la cybersécurité PME 2026 et dans notre panorama des technologies IA en cybersécurité. Pour mesurer rapidement où se situent vos priorités, l’audit cybersécurité PME de SIAC Media est le point de départ le plus simple, et la checklist de 10 actions permet de commencer aujourd’hui.