Cybersécurité des collectivités territoriales : comment protéger les données et les services publics ?
La cybersécurité des collectivités territoriales est devenue un enjeu majeur pour les communes, les intercommunalités, les départements et les régions. À mesure que les administrations locales développent leurs services numériques, elles deviennent également plus exposées aux cyberattaques, aux tentatives de rançongiciels et aux violations de données personnelles. Ces menaces peuvent avoir des conséquences importantes : interruption des services publics, fuite d'informations confidentielles, perte de données administratives et atteinte à la confiance des administrés.
L'actualité récente rappelle que ces risques ne doivent pas être sous-estimés. Dans un article publié le 9 novembre 2026, la Commission nationale de l'informatique et des libertés (CNIL) annonce avoir prononcé dix sanctions simplifiées à l'encontre de collectivités territoriales et d'un établissement public pour des manquements relatifs à la cybersécurité.
Au-delà des sanctions financières, cette décision souligne l'importance de mettre en place des mesures techniques, organisationnelles et juridiques adaptées pour protéger les données des citoyens.
Alors, quelles sont les obligations des collectivités territoriales en matière de cybersécurité ? Quels sont les principaux risques et comment renforcer efficacement la protection des systèmes d'information ?
Pourquoi la cybersécurité des collectivités territoriales est-elle devenue indispensable ?
Les collectivités territoriales occupent une place centrale dans la vie quotidienne des citoyens. Elles assurent de nombreuses missions de service public et collectent, à ce titre, une quantité importante de données personnelles.
État civil, inscriptions scolaires, gestion des prestations sociales, ressources humaines, fiscalité locale, services périscolaires, vidéoprotection ou encore démarches administratives en ligne : les traitements numériques sont nombreux et concernent des publics parfois vulnérables.
Cette diversité des activités augmente les risques en matière de sécurité informatique.
Des données personnelles particulièrement sensibles
Les systèmes d'information des collectivités peuvent contenir des informations particulièrement confidentielles :
- Identité et coordonnées des administrés
- Informations relatives à l'état civil et à la situation familiale
- Coordonnées bancaires utilisées pour le paiement des services municipaux
- Données relatives aux enfants et aux activités scolaires
- Informations sociales et données relatives aux bénéficiaires de prestations
- Données des agents territoriaux
- Images issues des dispositifs de vidéoprotection
Une cyberattaque peut entraîner la divulgation, la modification ou la destruction de ces informations.
Des collectivités parfois insuffisamment protégées
Les moyens humains et financiers consacrés à la cybersécurité varient considérablement d'une collectivité à l'autre.
Les petites communes, notamment, ne disposent pas toujours d'un service informatique dédié ou de compétences internes spécialisées en sécurité numérique.
Elles peuvent s'appuyer sur des prestataires extérieurs pour assurer la maintenance de leurs équipements, l'hébergement de leurs logiciels ou l'administration de leurs infrastructures informatiques.
Cette organisation nécessite une vigilance particulière : les accès des prestataires, les comptes administrateurs et les modalités de partage des informations doivent être strictement encadrés.
La sécurité informatique ne peut donc pas reposer uniquement sur les outils techniques. Elle doit s'inscrire dans une véritable politique de gouvernance des données.
Cyberattaques : quelles sont les principales menaces pour les collectivités locales ?
Les collectivités territoriales sont exposées à différentes formes de cybermenaces. Certaines visent directement leurs systèmes informatiques, tandis que d'autres exploitent les erreurs humaines ou les faiblesses de leurs prestataires.
Les rançongiciels (ransomwares)
Les rançongiciels constituent l'une des menaces les plus préoccupantes pour les administrations locales.
Le principe est simple : un logiciel malveillant chiffre les fichiers ou bloque l'accès à tout ou partie du système informatique. Les cybercriminels réclament ensuite une rançon pour permettre la récupération des données.
Une telle attaque peut paralyser de nombreux services :
- Les services administratifs et d'état civil
- Les services financiers et comptables
- Les services scolaires et périscolaires
- Les outils de gestion des ressources humaines
- Les plateformes de démarches administratives
- Les systèmes de communication internes
Le phishing et l'ingénierie sociale
Le phishing, ou hameçonnage, consiste à tromper un utilisateur pour obtenir ses identifiants ou lui faire exécuter une action dangereuse.
Un agent territorial peut, par exemple, recevoir un courriel semblant provenir d'un fournisseur, d'une administration ou d'un collègue. En cliquant sur un lien frauduleux ou en ouvrant une pièce jointe infectée, il peut permettre à un attaquant d'accéder au réseau de la collectivité.
Ces attaques exploitent principalement le facteur humain. La sensibilisation des agents constitue donc une mesure de prévention essentielle.
Les accès informatiques insuffisamment sécurisés
Les accès à distance, les comptes administrateurs et les connexions des prestataires représentent des points d'entrée potentiels pour les cybercriminels.
Des mots de passe trop simples, des comptes partagés entre plusieurs intervenants ou l'absence d'authentification multifacteur peuvent faciliter les intrusions.
Les logiciels et serveurs obsolètes
L'utilisation de logiciels ou de systèmes d'exploitation qui ne bénéficient plus de mises à jour de sécurité constitue également une vulnérabilité importante.
Les failles connues peuvent être exploitées par des attaquants lorsque les correctifs ne sont pas appliqués.
Les collectivités doivent donc disposer d'une politique de maintenance permettant d'identifier les équipements obsolètes, de suivre les mises à jour et de remplacer les solutions qui ne sont plus maintenues.
Dix sanctions prononcées contre des collectivités territoriales en novembre 2026
La cybersécurité des collectivités territoriales fait désormais l'objet d'une attention renforcée de la CNIL.
Dans son actualité du 9 novembre 2026, l'autorité annonce dix sanctions simplifiées visant des collectivités territoriales et un établissement public, à la suite de contrôles portant sur la sécurité des données personnelles.
Cette actualité constitue un signal important pour l'ensemble des administrations locales.
La CNIL rappelle que les collectivités traitent des données particulièrement sensibles, notamment dans le cadre de la gestion de l'état civil, des prestations sociales, des activités scolaires et des services numériques destinés aux administrés.
Les contrôles ont notamment mis en évidence plusieurs catégories de manquements.
Des défauts d'authentification et de gestion des accès
Certaines collectivités ne disposaient pas de mécanismes d'authentification suffisamment robustes pour les connexions à distance.
La CNIL relève notamment l'absence d'authentification multifacteur pour certains comptes administrateurs.
Cette mesure de sécurité permet pourtant de limiter considérablement les risques liés au vol ou à la compromission d'un mot de passe.
L'autorité pointe également les accès permanents accordés à certains prestataires extérieurs, ainsi que l'utilisation de comptes partagés entre plusieurs intervenants.
Ces pratiques compliquent l'identification des personnes ayant accédé au système d'information et augmentent les risques d'intrusion.
Une surveillance insuffisante des systèmes informatiques
Les contrôles ont également révélé des dispositifs de journalisation incomplets ou insuffisamment exploités.
La journalisation consiste à conserver des traces des événements survenant dans un système informatique : connexions, modifications, accès aux données ou tentatives d'intrusion.
Ces journaux permettent notamment de détecter des comportements inhabituels et de reconstituer les événements après un incident.
Sans surveillance adaptée, une intrusion peut passer inaperçue pendant une période prolongée.
Des systèmes obsolètes et des mots de passe insuffisamment protégés
La CNIL a également relevé l'utilisation de systèmes d'exploitation qui n'étaient plus maintenus par leurs éditeurs.
D'autres manquements concernaient des mots de passe insuffisamment robustes, transmis en clair aux utilisateurs ou stockés dans des conditions ne garantissant pas leur confidentialité.
Ces exemples montrent que des mesures de sécurité élémentaires restent parfois insuffisamment appliquées.
Des amendes pouvant atteindre 20 000 euros
Les dix sanctions prononcées par la CNIL ont donné lieu à des amendes comprises entre 3 000 et 20 000 euros.
Les montants ont notamment été déterminés en fonction de la gravité des manquements, du nombre de personnes concernées, de la nature des données traitées et du budget des collectivités.
La CNIL précise également que certaines collectivités contrôlées avaient déjà subi des violations de données qui auraient pu être évitées grâce à des mesures de sécurité adaptées.
Pour consulter l'ensemble des manquements constatés et les sanctions prononcées, retrouvez l'article officiel de la CNIL : Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions.
Quelles sont les obligations réglementaires des collectivités territoriales en matière de cybersécurité ?
La sécurité informatique des collectivités ne relève pas uniquement d'une bonne pratique. Elle répond à plusieurs obligations réglementaires.
L'article 32 du RGPD : garantir la sécurité des données personnelles
Le Règlement général sur la protection des données (RGPD) impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques.
L'article 32 du RGPD constitue ainsi une référence essentielle pour la cybersécurité des collectivités territoriales.
Il prévoit notamment la prise en compte de plusieurs dimensions :
- La confidentialité des données
- L'intégrité des informations
- La disponibilité des systèmes et des données
- La capacité à rétablir l'accès aux données après un incident
La mise en place de procédures permettant de tester et d'évaluer régulièrement l'efficacité des mesures de sécurité.
Le niveau de protection doit être adapté à la nature des données traitées et aux risques encourus.
Une collectivité qui gère des informations relatives à des mineurs ou des données financières doit donc intégrer ces enjeux dans sa politique de sécurité.
L'analyse d'impact relative à la protection des données (AIPD)
L'article 35 du RGPD prévoit la réalisation d'une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées.
Cette obligation concerne notamment certains dispositifs de vidéoprotection ou des téléservices impliquant des données sensibles et des personnes vulnérables.
Dans son actualité de novembre 2026, la CNIL souligne que plusieurs collectivités ont été sanctionnées pour ne pas avoir réalisé cette analyse avant la mise en œuvre de certains traitements.
L'AIPD permet pourtant d'identifier les risques, d'évaluer leur gravité et de déterminer les mesures nécessaires pour les réduire.
Elle doit être envisagée dès la conception d'un projet numérique, et non uniquement après son déploiement.
Le référentiel général de sécurité (RGS)
Le référentiel général de sécurité encadre la sécurité des échanges électroniques entre les autorités administratives et les usagers.
La CNIL rappelle également, dans ses récentes décisions, que certains systèmes d'information utilisés pour les échanges en ligne avec les administrés n'avaient pas fait l'objet de l'homologation de sécurité requise.
Cette homologation permet de formaliser l'évaluation des risques et de s'assurer que les mesures de sécurité sont adaptées avant la mise en service du système concerné.
La directive européenne NIS 2
La directive européenne NIS 2 vise à renforcer le niveau de cybersécurité dans l'Union européenne et à harmoniser les exigences applicables à différents secteurs et catégories d'entités.
Son articulation avec les collectivités territoriales doit faire l'objet d'une attention particulière, notamment au regard des règles nationales de transposition et du périmètre des entités concernées.
Dans son actualité du 9 novembre 2026, la CNIL indique que ses actions de contrôle et de sensibilisation s'inscrivent également dans la préparation de l'entrée en application de cette directive, alors en cours de transposition.
Les collectivités ont donc intérêt à anticiper le renforcement de leurs pratiques de sécurité et à suivre les évolutions réglementaires.
Comment améliorer concrètement la cybersécurité d'une collectivité territoriale ?
La mise en place d'une politique de cybersécurité efficace nécessite une démarche structurée. Elle doit associer les élus, la direction générale, les services informatiques, les agents et les prestataires.
1. Réaliser un audit de sécurité et identifier les risques
La première étape consiste à disposer d'une vision claire du système d'information.
Il est nécessaire d'identifier les équipements, les logiciels, les applications métiers, les bases de données et les différents accès au réseau.
Cet inventaire doit permettre de repérer les éventuelles vulnérabilités et de hiérarchiser les risques.
Une attention particulière doit être portée aux traitements impliquant des données sensibles, aux applications accessibles depuis Internet et aux accès accordés aux prestataires.
2. Renforcer l'authentification et les droits d'accès
La gestion des accès constitue un pilier de la sécurité informatique.
Chaque agent doit disposer uniquement des autorisations nécessaires à l'exercice de ses missions.
3. Mettre en place des sauvegardes sécurisées
Les sauvegardes constituent une protection essentielle contre les rançongiciels et les incidents informatiques.
Il ne suffit toutefois pas de sauvegarder régulièrement les données : il faut également s'assurer que les copies sont protégées contre toute modification ou suppression malveillante.
Il est recommandé de disposer de sauvegardes isolées du réseau principal, de vérifier régulièrement leur intégrité et de réaliser des tests de restauration.
La collectivité doit également définir des priorités de reprise afin de rétablir rapidement les services publics les plus importants.
4. Sensibiliser les élus et les agents territoriaux
Les utilisateurs jouent un rôle essentiel dans la prévention des cyberattaques.
Une politique de cybersécurité efficace doit donc prévoir des actions régulières de sensibilisation.
Les agents doivent notamment apprendre à :
- Identifier les courriels frauduleux
- Éviter de cliquer sur des liens suspects
- Protéger leurs identifiants
- Adopter de bonnes pratiques lors du télétravail
- Signaler rapidement toute anomalie
- Respecter les procédures de sécurité internes
Ces actions doivent être adaptées aux missions des agents et renouvelées régulièrement.
Préparer un plan de gestion des incidents
Même avec des mesures de sécurité solides, le risque zéro n'existe pas.
Une collectivité doit donc anticiper les scénarios de crise et prévoir une procédure de gestion des incidents.
Cette organisation doit notamment préciser :
- Les personnes à prévenir en cas d'incident
- Les modalités d'isolement des équipements compromis
- Les procédures de sauvegarde et de restauration
- Les modalités de communication avec les administrés
- Les obligations de notification auprès des autorités compétentes
- Les responsabilités de chaque intervenant
En cas de violation de données personnelles présentant un risque pour les droits et libertés des personnes, le responsable de traitement doit notamment notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Pourquoi faire accompagner sa collectivité dans sa démarche de cybersécurité et de conformité RGPD ?
La multiplication des obligations réglementaires et la sophistication des cybermenaces rendent parfois difficile la mise en place d'une stratégie cohérente.
Les collectivités doivent concilier plusieurs objectifs : assurer la continuité des services publics, protéger les données des administrés, sécuriser leurs outils numériques et respecter leurs obligations réglementaires.
Un accompagnement spécialisé permet de structurer cette démarche et d'identifier les actions prioritaires.
Vous souhaitez renforcer la conformité RGPD de votre collectivité territoriale ? FCN Data vous accompagne dans la mise en place de votre démarche de protection des données, avec des solutions adaptées à vos besoins et à votre organisation. Contactez-nous pour en savoir plus 👇
