Secteur
Cybersécurité pour les collectivités et le secteur public
Menace dominante
Comptes piratés, hameçonnage, rançongiciel
Textes
NIS2 à venir, homologation RGS, RGPD
Le contexte
Des services publics très exposés
Une petite commune n'a ni responsable de la sécurité ni équipe de supervision, et dépend souvent d'un prestataire ou d'un syndicat informatique. Selon la lettre ouverte aux maires publiée par Cybermalveillance.gouv.fr en novembre 2025, seules 14 % des collectivités se déclarent bien préparées face aux cyberattaques.
24 %
des incidents traités par l'ANSSI en 2025 visent ministères et collectivités[1]
141 / 1 000
collectivités territoriales assistées par Cybermalveillance.gouv.fr en 2025[2]
+262 %
de demandes d'assistance pour fraude au virement en 2025[2]
Les menaces
Ce qui vise votre secteur
- 01
Le piratage de comptes
Premier motif d'assistance des collectivités en 2025 : 20,1 % des parcours, en hausse de 14 %. Le compte de messagerie d'un élu ou d'un agent sert ensuite à hameçonner les partenaires ou à détourner des paiements.[2]
- 02
L'hameçonnage
19,2 % des demandes d'assistance des collectivités en 2025. C'est le point d'entrée le plus courant des comptes piratés et des intrusions.[2]
- 03
Le rançongiciel
13,1 % des demandes d'assistance des collectivités en 2025, et 11 % des victimes de rançongiciel recensées par l'ANSSI. Un chiffrement arrête l'état civil, la paie, les démarches en ligne et parfois l'accueil.[2, 1]
- 04
La fraude au virement
En très forte hausse (+262 % de demandes d'assistance en 2025) : faux changement de RIB d'un fournisseur, fausse facture, usurpation d'un élu. Elle vise directement les finances de la collectivité.[2]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- Loi en discussion
NIS2 : près de 1 500 collectivités visées
Selon le rapport du Sénat, le projet de loi inclut les régions, les départements, environ 300 communes de plus de 30 000 habitants et un millier d'intercommunalités. Le texte adopté par le Sénat les soumet aux obligations et aux contrôles, mais les exempte d'amendes. Au 6 octobre 2026, la loi n'est pas votée : son examen en séance à l'Assemblée nationale a été reporté.
- En vigueur
Homologuer vos téléservices (RGS)
Les téléservices des autorités administratives (démarches en ligne, portail famille, prise de rendez-vous) doivent faire l'objet d'une homologation de sécurité au titre du Référentiel général de sécurité (décret n° 2010-112). Le service gratuit MonServiceSécurisé de l'ANSSI guide la démarche.
- En vigueur
Désigner un délégué à la protection des données
Toute autorité ou tout organisme public doit désigner un délégué à la protection des données (article 37 du RGPD), qui peut être mutualisé entre plusieurs collectivités.
- En vigueur
Notifier les violations de données
Notification à la CNIL sous 72 heures d'une violation de données personnelles présentant un risque (article 33 du RGPD), et information des personnes concernées si le risque est élevé.
Pour décider
Acheter une prestation : seuils, pièces, financements
Une collectivité doit pouvoir commander simplement et justifier son choix. Les règles au 6 octobre 2026 :
- Depuis le 1er avril 2026, un marché de services de moins de 60 000 € HT peut être conclu sans publicité ni mise en concurrence préalables (décret n° 2025-1386 du 29 décembre 2025). L'acheteur doit choisir une offre pertinente, bien utiliser les deniers publics et ne pas contracter systématiquement avec le même prestataire.
- Au-delà, procédure adaptée jusqu'au seuil européen de 216 000 € HT applicable aux collectivités en 2026 et 2027, puis procédure formalisée. Nos prix publics permettent de situer votre besoin dès le départ.
- Pièces habituellement demandées au titulaire : extrait Kbis, attestation de vigilance URSSAF (renouvelée tous les six mois pendant l'exécution), attestation de régularité fiscale, attestation d'assurance de responsabilité civile professionnelle, formulaires DC1 et DC2 ou équivalents.
- Financements : les aides France Relance de 2021-2022 sont closes. L'État a annoncé en juillet 2025 un cofinancement État-régions des CSIRT régionaux à partir de 2026 et un programme d'accompagnement des collectivités, sans montant publié à ce jour. Interrogez le CSIRT de votre région et votre préfecture avant de lancer un projet.
- Gratuits et utiles avant toute commande : MonAideCyber (diagnostic par un aidant de l'ANSSI), MonServiceSécurisé (homologation), SensCyber (sensibilisation des agents) et 17Cyber en cas d'incident.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions des collectivités
Une commune de 8 000 habitants sera-t-elle concernée par NIS2 ?
Selon le projet de loi adopté par le Sénat, les communes de moins de 30 000 habitants ne sont pas visées en propre, mais leur intercommunalité peut l'être. Le texte peut encore évoluer à l'Assemblée nationale : nous vous donnerons une réponse argumentée une fois la loi publiée.
Peut-on vous confier une mission sans appel d'offres ?
Oui, sous 60 000 € HT pour un marché de services, sans publicité ni mise en concurrence préalables, à condition de choisir une offre pertinente, de bien utiliser les deniers publics et de ne pas contracter systématiquement avec le même prestataire. Au-delà, une procédure adaptée s'applique.
Un RSSI externalisé peut-il être partagé entre plusieurs collectivités ?
C'est possible, par exemple via une intercommunalité, un syndicat informatique ou un centre de gestion. Le contrat précise alors le temps consacré à chaque collectivité et les livrables de chacune.
Que faire en cas de cyberattaque ?
Appelez le 17Cyber pour l'assistance de premier niveau, déposez plainte et prévenez la CNIL sous 72 heures si des données personnelles sont touchées. Notre intervention d'urgence peut ensuite contenir l'incident et préparer la reprise.
Sources (7)Afficher
- [1]ANSSI, Panorama de la cybermenace 2025 (mars 2026)
- [2]Cybermalveillance.gouv.fr, rapport d'activité 2025 (mars 2026)
- [3]Sénat, rapport sur le projet de loi Résilience (synthèse) (2025)
- [4]Décret n° 2025-1386 du 29 décembre 2025 modifiant certains seuils des marchés publics, Légifrance (2025)
- [5]Préfecture de la Charente-Maritime, seuils européens applicables au 1er janvier 2026 (2026)
- [6]Décret n° 2010-112 du 2 février 2010 (RGS), Légifrance (2010)
- [7]Banque des Territoires, « Cybersécurité : l'État s'engage à accompagner CSIRT et collectivités » (juillet 2025)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).