218 incidents cyber traités en 2024 sur les collectivités territoriales, soit une moyenne de 18 par mois. Derrière ces statistiques, des réalités très concrètes pour les entreprises locales, les prestataires, les usagers et les élus : guichets fermés, dossiers bloqués, données inaccessibles, facturation perturbée. Au 6 mars 2026, la résilience cyber s’impose comme un sujet de continuité économique autant que de sécurité.

Services publics interrompus : la cyberattaque devient un risque territorial

Lorsqu’une collectivité est touchée, l’incident ne reste pas confiné à une salle serveur. Les conséquences se propagent aux activités administratives courantes et aux chaînes de sous-traitance : gestion des inscriptions, traitement des actes, échanges avec les opérateurs, relation aux entreprises titulaires de marchés publics, délivrance de documents ou suivi des interventions techniques.

Les chiffres communiqués pour 2024 illustrent ce basculement : l’ANSSI a traité 218 incidents cyber visant des collectivités territoriales, dont 25 attaques par rançongiciels avec impacts significatifs (ANSSI, données 2024). Les rançongiciels sont devenus un outil d’extorsion industrialisé, conçu pour interrompre l’activité et exercer une pression maximale sur les décideurs publics.

Bain-de-Bretagne : services municipaux bloqués le 21 février 2025

Le 21 février 2025, la mairie de Bain-de-Bretagne a été paralysée par un rançongiciel bloquant les services municipaux. Ce type d’arrêt brutal a une traduction immédiate : retards de traitement, impossibilité d’accéder aux dossiers, dégradation de la qualité de service et, souvent, bascule vers des procédures papier dans l’urgence.

Thaon-les-Vosges : demande de rançon de plusieurs millions d’euros le 11 mars 2025

Le 11 mars 2025, Thaon-les-Vosges a subi une attaque assortie d’une demande de rançon de plusieurs millions d’euros. Au-delà du montant, ce cas met en lumière la logique des attaquants : cibler des structures perçues comme insuffisamment armées sur le plan organisationnel, mais dont la mission de service public crée une contrainte forte de rétablissement.

Ce que la collectivité risque aussi sur le plan économique

Une indisponibilité prolongée ne pèse pas uniquement sur l’accueil des usagers. Elle peut également désorganiser :

  • la relation avec les titulaires de marchés publics (suivi, validations, transmission de pièces),
  • les circuits de facturation et de paiement,
  • les échanges avec les partenaires du territoire (associations, opérateurs, établissements publics),
  • la capacité à piloter des services numérisés devenus quotidiens (urbanisme, achats, demandes en ligne).

Dématérialisation : l’extension du périmètre numérique accroît la surface d’exposition

Les collectivités ne gèrent plus seulement l’état civil ou l’administration générale. En quarante ans, l’architecture de l’action publique locale s’est profondément élargie. La décentralisation, initiée par les lois Defferre de 1982, a installé les collectivités comme opérateurs de politiques publiques essentielles : mobilité, gestion de l’eau, déchets, action sociale, éducation, sécurité locale, et relation usagers.

Ce périmètre s’est, en parallèle, numérisé à grande vitesse. Le baromètre Collectivités & Numérique 2025, publié le 14 octobre 2025 par la DINUM et le réseau Déclic, confirme des avancées opérationnelles :

  • 76 % des collectivités dématérialisent les demandes d’urbanisme,
  • 72 % disposent d’un profil acheteur pour les marchés publics.

Mais ce même baromètre met en évidence un angle mort qui transforme la modernisation en vulnérabilité : 66 % des collectivités n’ont ni PCA (plan de continuité d’activité) ni PRA (plan de reprise d’activité) face aux cybermenaces. Autrement dit, les usages se digitalisent plus vite que l’organisation de crise.

D’un point de vue de gouvernance, cela change la nature du risque. La question n’est plus de savoir si une collectivité peut être ciblée, mais si elle est capable de maintenir un service minimum, d’absorber le choc, puis de redémarrer selon une trajectoire maîtrisée. La résilience devient une capacité de gestion, comparable à celle qui existe déjà pour les risques climatiques, sanitaires ou budgétaires, avec une spécificité : l’attaque peut survenir sans signe précurseur et se diffuser en quelques minutes.

Un PCA vise à définir comment maintenir des fonctions prioritaires en mode dégradé (organisation, responsabilités, alternatives temporaires, priorités). Un PRA décrit les conditions et l’ordre de remise en service des outils et données après un incident (restauration, délais, tests, critères de retour à la normale). Le baromètre Collectivités & Numérique 2025 indique que 66 % des collectivités n’ont ni l’un ni l’autre, ce qui accroît mécaniquement l’impact d’une attaque.

NIS2 : la conformité bascule en obligation de gouvernance

La directive NIS2 (UE 2022/2555) marque une inflexion majeure : la cybersécurité ne relève plus uniquement d’une démarche technique ou volontaire. Elle fixe un cadre d’obligations renforcées, en particulier pour les entités qui gèrent des services essentiels, et impose une logique de gestion du risque, de déclaration d’incidents sous 24 heures et de pilotage au plus haut niveau.

Sur le calendrier, l’échéance européenne du 17 octobre 2024 n’a pas été respectée par la France. Au 6 mars 2026, la transposition est présentée comme entrant dans sa phase finale via la « Loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité », souvent désignée comme la Loi Résilience.

Les jalons institutionnels communiqués sont précis :

  • le Sénat a approuvé le texte le 12 mars 2025,
  • l’Assemblée nationale examine le texte depuis janvier 2026,
  • les décrets techniques sont attendus mi-2026,
  • la Commission européenne a adressé une mise en demeure le 7 mai 2025.

Pour les collectivités concernées, l’enjeu n’est pas uniquement juridique. La transposition a vocation à structurer des pratiques qui, jusqu’ici, dépendaient largement de la maturité locale, de la disponibilité de compétences et des arbitrages budgétaires. La conformité NIS2 tend ainsi à devenir un standard de pilotage comparable, dans son esprit, aux obligations de contrôle interne ou de gestion des risques dans d’autres secteurs.

Le point de friction pour les décideurs : l’échéance opérationnelle

Au 6 mars 2026, le texte de transposition est encore en discussion parlementaire, tandis que les décrets techniques sont annoncés pour mi-2026. Pour les collectivités, cela crée une période délicate : l’obligation se précise, mais l’outillage opérationnel n’est pas encore pleinement stabilisé. Dans ce contexte, les mesures de base (sauvegardes testées, MFA, gestion des accès, exercices) restent le socle le plus robuste à court terme.

Budgets, compétences, arbitrages : la cybersécurité traitée comme un coût, jusqu’à la crise

Sur le terrain, les freins sont identifiés depuis plusieurs années : manque de profils cyber, priorités concurrentes, dispersion des responsabilités, dépendance à des prestataires et hétérogénéité des systèmes d’information. La cybersécurité est souvent financée comme une dépense contrainte, alors qu’elle agit comme un assureur de continuité pour des services critiques.

Selon une étude de Cybermalveillance.gouv.fr publiée en novembre 2024, 77 % des élus et agents consacrent moins de 2 000 euros par an à la cybersécurité, et seuls 10 % augmentent ce budget annuellement. L’étude pointe également :

  • 47 % de manque de connaissances,
  • 36 % de manque de compétences,
  • 36 % de manque de moyens financiers.

La Cour des comptes, dans son rapport du 16 juin 2025 relatif aux cybermenaces, documente une accélération des modes opératoires : en 2023, les attaques par hameçonnage visant les collectivités ont augmenté de 26 %, le piratage de comptes de 22 % et les fraudes de 36 %. Le rapport souligne également que l’administration publique est le secteur le plus ciblé en Europe.

Pour un lecteur entreprise, cette réalité a une conséquence directe : la robustesse cyber d’une collectivité conditionne aussi la fluidité de nombreux processus économiques locaux, notamment là où la commande publique et les échanges dématérialisés structurent la relation entre acteurs.

Dans une logique d’extorsion, l’arrêt d’activité crée un rapport de force. Une collectivité doit assurer des missions quotidiennes, et la bascule vers des procédures manuelles est vite saturante. Ce levier explique que les attaques recherchent l’indisponibilité (services et applications) autant que l’accès aux données, avec une pression accrue sur les équipes et la gouvernance locale.

Des trajectoires de résilience cyber adaptées aux moyens réels des territoires

La résilience cyber ne suppose pas nécessairement une équipe spécialisée interne. Elle repose d’abord sur l’exécution rigoureuse de fondamentaux, puis sur une montée en maturité progressive. L’ANSSI recommande ces mesures dans son guide « Cybersécurité : toutes les communes et intercommunalités sont concernées ».

Les priorités qui reviennent systématiquement dans les retours d’expérience sont connues : rendre l’attaque plus difficile, réduire la propagation, raccourcir le temps d’indisponibilité. Cela passe notamment par :

  • des sauvegardes régulières, isolées et surtout testées,
  • l’authentification multifacteur (MFA) sur les accès sensibles,
  • une gestion stricte des habilitations fondée sur le principe du moindre privilège,
  • la sensibilisation continue des agents et des élus,
  • des exercices de crise pour éprouver les décisions et les circuits de communication,
  • une capacité de détection proportionnée, par exemple via un SIEM de base ou une supervision externalisée.

Dans son Panorama de la cybermenace 2024, l’ANSSI relève qu’1 collectivité sur 5 victime d’un rançongiciel était une collectivité territoriale, ce qui renforce l’intérêt d’une approche pragmatique : mieux vaut un socle minimal robuste, déployé partout, qu’une cible théorique jamais mise en œuvre.

Pour les décideurs locaux, l’enjeu est d’aligner la cyber sur une logique de gestion : prioriser les actifs critiques, documenter les dépendances, contractualiser des appuis de reconstruction si nécessaire, et intégrer la cybersécurité dans la gouvernance des projets numériques. La résilience n’est pas une option technique ; c’est une discipline d’organisation.

Commande publique : centrales d’achat et mutualisation pour accélérer sans fragiliser le cadre

La commande publique est un accélérateur possible, mais elle est souvent perçue comme un frein quand l’urgence s’installe. Les collectivités doivent concilier rapidité, conformité, mise en concurrence et sécurisation des prestations. Les mutualisations et centrales d’achat dédiées au numérique jouent ici un rôle d’industrialisation : elles permettent d’accéder à des accords-cadres déjà structurés, avec des périmètres, des titulaires et des conditions d’exécution clarifiés.

Cette dynamique s’inscrit aussi dans un objectif de politique économique. L’État ambitionne de doubler, d’ici 2027, le volume d’achats publics auprès des start-ups françaises, un volume passé de 1 % à 1,4 % du total en 2023, soit 2,3 milliards d’euros (annonces gouvernementales mentionnées en février 2026). Sans surinterpréter, ce signal renforce l’idée que la cybersécurité, lorsqu’elle est bien achetée, touche aussi à la souveraineté numérique et à la structuration d’un tissu de prestataires.

CANUT : accords-cadres « Prestations Cybersécurité » et marché « Cloud et Hébergement »

CANUT (Centrale d’Achat du Numérique et des Télécoms), association loi 1901 pour collectivités et bailleurs sociaux, propose un accord-cadre « Prestations Cybersécurité », avec Sopra Steria et Crisalyde indiqués comme titulaires depuis avril 2025, couvrant notamment audits et AMOA SSI. CANUT a également lancé un marché « Cloud et Hébergement » sécurisé en février 2026.

RESAH : référencements étendus et appui post-incident

Le RESAH (Réseau des Acheteurs Hospitaliers) étend des référencements aux collectivités, incluant des audits techniques (Intrinsec/Amossys, période 2024-2028) ainsi que des prestations d’appui à la reconstruction post-incident (Orange Cyberdefense) et des solutions globales de cybersécurité, selon les éléments communiqués dans la matière fournie.

CAIH : volume annuel de 410 millions d’euros en 2025 et sélection de prestataires cyber

La CAIH (Centrale d’Achat de l’Informatique Hospitalière) indique un volume annuel de 410 millions d’euros en 2025 et 35 marchés actifs. La matière mentionne une sélection de SFR Business et Atos pour des prestations de cybersécurité, d’audits et de sécurisation des données, avec une référence à février 2025.

GIGALIS : « Programme de Cyber Résilience Territoriale » annoncé en février 2026

GIGALIS, GIP des Pays de la Loire, enrichit sa centrale nationale d’un « Programme de Cyber Résilience Territoriale » en février 2026, avec SysDream pour des formations et actions de sensibilisation, et des partenariats CSIRT cités dans la matière source.

Quand une collectivité dispose de peu de ressources internes, l’accès à un accord-cadre déjà structuré réduit les délais de cadrage, facilite la comparaison des offres et sécurise l’exécution contractuelle. L’intérêt est particulièrement fort pour les prestations à déclencher vite (audit, assistance, supervision), à condition d’intégrer ces services dans une gouvernance locale claire et un PCA/PRA, même minimal.

Municipales, confiance et stratégie nationale : la cyber devient un sujet de pilotage public

La cyber n’est pas uniquement un sujet de DSI. Elle touche à la confiance dans l’action publique locale, à l’acceptabilité de la dématérialisation et à la capacité d’un territoire à maintenir des services essentiels en cas de choc. La Stratégie nationale de cybersécurité 2026-2030, dévoilée le 29 janvier 2026, cible explicitement PME et territoires pour une « synergie renforcée », ce qui confirme un mouvement de fond : l’État attend une montée en maturité hors des seules grandes administrations.

Au 6 mars 2026, la ligne de partage est de plus en plus nette. D’un côté, des collectivités qui s’équipent de fondamentaux et organisent leur réponse, quitte à externaliser une partie des compétences. De l’autre, des organisations qui restent dépendantes d’un « retour à la normale » improvisé, souvent plus coûteux et plus long lorsque l’incident survient.

La résilience cyber n’est pas une promesse technologique ; c’est une capacité de continuité qui se construit, étape par étape, dans la gouvernance locale.