Cybersécurité des collectivités : assurer la continuité du service public

Face à la multiplication des cybermenaces, la cybersécurité s’impose comme une condition essentielle de la continuité du service public local. Bien plus qu’un enjeu technique, elle concerne l’ensemble des métiers territoriaux, la protection des données, la confiance des usagers et la résilience des systèmes d’information. Enjeux, chiffres clés et réponses concrètes pour accompagner les collectivités dans leur sécurisation numérique.

Par Mustapha Derras, Directeur de la Recherche et de l’Innovation scientifique chez Berger-Levrault

La cybersécurité n’est plus un domaine réservé aux équipes informatiques. Elle touche désormais au cœur même de l’activité, en engageant la continuité du service, la protection des données, la fiabilité de la relation avec les usagers et la capacité des exécutifs et des agents à tenir leurs missions dans la durée. À mesure que les communes, les intercommunalités, les départements et les régions ont numérisé leurs procédures, leurs outils et leurs échanges, la sécurité numérique aurait dû s’imposer comme une condition de fonctionnement évidente, structurante et ordinaire de l’institution locale. Qu’elle doive encore être rappelée avec autant d’insistance nous renseigne sur le chemin restant à parcourir. Car voilà plus d’une décennie que les alertes s’accumulent, que les recommandations existent, que les incidents se multiplient, et pourtant la cybersécurité continue trop souvent d’apparaître comme un sujet secondaire, abordé tardivement, alors même qu’elle conditionne désormais le fonctionnement quotidien de toutes les institutions professionnelles publiques et privées.

Ce déplacement du regard et de notre compréhension est désormais décisif. Pendant longtemps, la cybersécurité a pu être perçue comme un sujet technique, éloigné des priorités politiques et administratives du quotidien. Or l’extension des usages numériques a profondément modifié la situation. Tous les métiers, tous les services, toutes les décisions reposent aujourd’hui sur des systèmes d’information étroitement imbriqués. Lorsqu’un incident survient, il ne touche donc pas seulement une infrastructure. Il affecte des procédures, des délais, des arbitrages, parfois des droits, et très concrètement la capacité de la collectivité à répondre à ses habitants.

Cette réalité mérite d’être posée aussi simplement avec clarté car une cyberattaque contre une collectivité ne se limite plus à une panne informatique. Elle peut ralentir ou interrompre la délivrance de documents, désorganiser la paie, empêcher l’accès aux logiciels métiers, dégrader la coordination entre services, compromettre des données sensibles, retarder des paiements, fragiliser la confiance des usagers et imposer un fonctionnement en mode dégradé pendant plusieurs jours ou semaines. La cybersécurité locale ne protège pas uniquement des machines. Elle protège une capacité d’action.

Cette situation n’est pourtant pas apparue soudainement. Il existe un historique solide, utile à rappeler, car il permet de mesurer que la cybersécurité territoriale ne peut plus être traitée comme une préoccupation émergente.

Dès janvier 2013, l’Agence Nationale de la Sécurité des Systèmes d’Information, ANSSI, publiait une première version de son Guide d’hygiène informatique, document de référence destiné à diffuser les règles fondamentales de protection des systèmes d’information. Ce texte montrait déjà que, depuis plus d’une décennie en 2013, les principes socles étaient connus, documentés et mis à disposition des organisations publiques.

Quelques années plus tard, le sujet était entré pleinement dans le débat sur l’action publique. En 2018, la revue Horizons publics publiait un grand entretien avec Marc Goodman intitulé L’État doit protéger la vie numérique des citoyens.
L’entretien soulignait alors la vulnérabilité croissante du monde connecté et rappelait que les pouvoirs publics, dont les collectivités locales, avaient un rôle majeur à jouer face à la criminalité high-tech.

Ce rappel historique permet de comprendre que la cybersécurité locale ne relève pas d’une mode récente, mais d’une problématique durable qui s’est progressivement rapprochée du cœur même des missions territoriales.

Depuis lors, la transformation numérique des collectivités, et donc la généralisation des usages du numérique, s’est accélérée. La dématérialisation s’est largement diffusée, les échanges administratifs se sont intensifiés, les outils de télétravail se sont installés, les accès distants se sont multipliés, les portails usagers se sont développés, et les services métiers se sont davantage interconnectés. Cette évolution a produit des gains en matière de rapidité, de traçabilité, d’accessibilité et de fluidité de gestion. Mais elle a grandement élargi la surface d’exposition aux risques cyber.
En somme, plus une organisation utilise des outils numériques pour fonctionner, plus la question de sa résilience devient cruciale.

C’est précisément ce que montrent les données récentes. Le 24 février 2025, le CERT FR, service opéré par l’ANSSI, publiait un rapport intitulé Collectivités territoriales, Synthèse de la menace. Ce document rappelait que les collectivités territoriales gèrent de nombreux services administratifs, sociaux, territoriaux et économiques et que les conséquences d’attaques informatiques peuvent être majeures à l’échelle d’un territoire. Le rapport indiquait également qu’en 2024, l’ANSSI avait traité 218 incidents concernant ce périmètre. Ce chiffre mérite d’être lu pour ce qu’il est. Il ne décrit pas une hypothèse de risque mais une réalité opérationnelle.

La même logique de clarification ressort de l’étude publiée par Cybermalveillance.gouv.fr le 19 novembre 2024 sous le titre Cybermalveillance.gouv.fr publie sa 3e étude sur la maturité cyber des collectivités et souligne une prise en compte des risques insuffisante.

Cette étude apporte plusieurs enseignements utiles pour comprendre la situation actuelle des collectivités :

• une collectivité sur dix déclare avoir été victime d’une ou de plusieurs cyberattaques au cours des 12 derniers mois
• seules 14% des collectivités interrogées se sentent bien préparées
• 73% des petites et moyennes collectivités disposent d’un budget informatique annuel inférieur à 5 000 euros
• 77% des élus et des agents interrogés déclarent dépenser moins de 2 000 euros pour la cybersécurité
• 62% des collectivités appellent à une sensibilisation accrue des agents et des élus

Ces chiffres permettent de comprendre que le sujet ne se résume pas à la menace extérieure. Il touche aussi au niveau d’impréparation, à la disponibilité des moyens, à la capacité d’évaluation et à l’accompagnement.

Un cadre institutionnel qui appelle à un changement d’échelle

Le 16 juin 2025, la Cour des comptes a publié une analyse intitulée La réponse de l’État aux cybermenaces sur les systèmes d’information civils.
Elle y souligne la forte croissance de cybermenaces de plus en plus sophistiquées et diversifiées, ainsi que la nécessité de diffuser la culture de la sécurité numérique dans l’ensemble de la société.

Même si le rapport porte sur l’action de l’État, son diagnostic éclaire directement les collectivités. Il montre que la cybersécurité ne peut plus être pensée comme un sujet marginal ou ponctuel. Elle doit être intégrée à la gouvernance, à la planification, à la conduite du changement et à l’organisation du service.

Des systèmes d’information devenus essentiels et complexes

À ce stade, un élément très important doit être rappelé et souligné. Si les collectivités sont davantage exposées aujourd’hui, ce n’est pas uniquement parce que les attaquants sont plus nombreux ou plus sophistiqués. C’est aussi parce que les systèmes d’information des collectivités sont devenus plus essentiels, plus distribués, plus dépendants d’interconnexions et, souvent, plus complexes à administrer. Une petite commune, par exemple, peut s’appuyer sur un portail famille, un logiciel de gestion financière, une messagerie collaborative, un accès distant pour certains agents, un outil de télétransmission et une solution d’archivage. Chacun de ces éléments répond à un besoin légitime sans que soit explicitement identifié le fait que leur addition augmente mécaniquement les points d’entrée potentiels, les contraintes de mise à jour, les exigences de configuration et les dépendances contractuelles.

Rendre la cybersécurité compréhensible et pilotable

C’est pourquoi la cybersécurité ne doit pas être réservée à un discours spécialisé. Elle doit pouvoir être comprise par les élus, les directions générales, les services métiers et les agents de terrain. Tant qu’elle reste enfermée dans un vocabulaire exclusivement technique, elle demeure périphérique. En revanche, dès lors qu’elle est reliée à des scènes très concrètes de l’action publique locale, elle devient immédiatement lisible. Protéger les accès, sauvegarder les données, segmenter les réseaux, actualiser les équipements ou former les agents ne sont pas des gestes abstraits. Ce sont des conditions de maintien du service public. Cette traduction opérationnelle suppose un premier changement de posture. Une collectivité doit aborder sa sécurité numérique comme une démarche pilotée. Cela implique de mieux connaître son système d’information, de cartographier les applications et les dépendances, d’identifier les données sensibles, de clarifier les niveaux d’accès, de vérifier les sauvegardes, de recenser les équipements critiques et de formaliser les procédures de gestion d’incident. La sécurité commence par la connaissance. On protège mal ce que l’on connaît mal.

Le facteur humain au cœur des risques cyber

Le deuxième changement de posture concerne les femmes et les hommes qui font vivre les collectivités. Dans la plupart des incidents, la dimension humaine joue un rôle central, qu’il s’agisse d’un hameçonnage, d’une mauvaise manipulation, d’un mot de passe faible, d’un partage inadapté d’informations ou d’un défaut de signalement. Il ne s’agit pas de culpabiliser les agents ou les élus. Il s’agit de reconnaître que la culture cyber est devenue une compétence collective au même titre que les autres qu’il faut développer en continu. L’étude 2024 de Cybermalveillance.gouv.fr le rappelle d’ailleurs très nettement en mettant en avant le besoin de sensibilisation et d’accompagnement. Dans une collectivité, reconnaître une tentative d’hameçonnage, comprendre les risques liés aux pièces jointes, adopter de bons réflexes de mot de passe, savoir à qui transmettre un incident ou utiliser correctement les accès distants doit faire partie des gestes de protection ordinaires. Cette dimension humaine peut être illustrée par des situations très concrètes. Un agent reçoit un message semblant provenir d’un fournisseur ou d’un collègue et clique sur un lien frauduleux. Une secrétaire de mairie répond à une demande urgente paraissant venir d’un responsable et transmet un document sensible sans avoir vérifié l’expéditeur. Un élu utilise le même mot de passe pour plusieurs services. Un ordinateur portable non mis à jour est utilisé à distance hors du réseau habituel. Chacune de ces situations et bien d’autres peut sembler minime prise isolément. Mais c’est précisément dans cette banalité que se loge le risque. La cybersécurité quotidienne repose donc moins sur une logique d’alerte spectaculaire que sur une discipline régulière, intégrée aux pratiques de travail.

Anticiper la crise pour garantir la continuité de service

Enfin, le troisième changement de posture relève de la préparation à la crise. Une collectivité doit pouvoir se demander, avant l’incident, comment elle continuerait à fonctionner si sa messagerie, ses logiciels métiers ou ses données devenaient indisponibles. Quels services doivent être rétablis en priorité ? Qui décide du déclenchement d’un mode dégradé ? Qui informe les agents ? Qui contacte les prestataires ? Quelles procédures papier ou alternatives existent encore ? Où se trouvent les sauvegardes ? Sous quel délai peut-on redémarrer ? Ce questionnement global n’est pas accessoire. Il constitue le cœur d’une logique de résilience.

Une approche structurée pour accompagner les collectivités

Sur ces points, Berger Levrault vous propose une approche explicitement structurée autour du cycle de la menace au travers de BL.numea cybersécurité. Berger Levrault y décrit des solutions complètes et modulables pour élever votre niveau de cybersécurité et accompagner les équipes informatiques, les agents et les élus tout au long du processus de sécurisation. Cinq modules couvrent la sensibilisation des équipes, la prévention des risques, la sécurisation et la protection des systèmes d’information et des données, la détection des incidents et la continuité de service. Cette solution peut vous permettre d’inscrire la cybersécurité dans une trajectoire générale plutôt que dans une logique d’achat ponctuel. La progressivité est en effet un point clé pour les collectivités. Toutes ne disposent pas du même niveau de maturité, du même budget, des mêmes compétences internes ou du même degré d’autonomie vis-à-vis de leurs prestataires. Il est donc peu réaliste de présenter la cybersécurité comme un standard uniforme applicable partout de la même manière. Une grande intercommunalité dotée d’une direction des systèmes d’information structurée ne se trouve pas dans la même situation qu’une petite commune dépendant d’un prestataire externe pour l’essentiel de son environnement numérique. Pourtant, dans les deux cas, une trajectoire de sécurisation est possible dès lors qu’elle est pensée de manière graduelle.

Pour conclure, insistons sur un fait majeur. La cybersécurité doit être comprise comme un investissement dans la confiance publique. Les habitants confient aux collectivités des données personnelles, administratives, familiales, financières et parfois sociales particulièrement sensibles. Les agents ont également besoin d’environnements fiables pour exercer leurs missions. Les élus, enfin, ont besoin de pouvoir arbitrer, communiquer et piloter sans dépendre d’un système fragile ou opaque. Protéger les systèmes d’information, ce n’est donc pas uniquement éviter une attaque ou des pannes. C’est garantir une relation institutionnelle stable, crédible et protectrice. Cette lecture de la cybersécurité ouvre une perspective plus large qui établit qu’une transformation numérique réussie ne peut pas reposer exclusivement sur la multiplication des outils ou sur la dématérialisation accélérée des procédures. Elle suppose aussi un cadre de sécurité, une méthode, des procédures de reprise, des réflexes collectifs et une gouvernance claire. C’est d’ailleurs ce que souligne la solution BL.numea cybersécurité lorsqu’elle présente la sécurité numérique comme un pilier de la transformation digitale. Ce choix délibéré de positionnement de notre solution rappelle que la modernisation n’a de valeur durable que si elle s’appuie sur une infrastructure sécurisée et sur une organisation capable de faire face aux incidents.