En 2024, l’ANSSI a traité 218 incidents cyber affectant des collectivités territoriales, soit environ 14 % de l’ensemble des incidents pris en charge par l’agence. Face à cette pression croissante, le gouvernement structure une réponse qui dépasse le simple financement ponctuel : la Stratégie nationale de cybersécurité 2026-2030, dévoilée en janvier 2026, fixe un cadre d’action sur cinq ans pour protéger les territoires.
Rançongiciels et collectivités : anatomie d’une menace persistante
Les collectivités locales concentrent une part disproportionnée des attaques par rapport à leurs moyens de défense. Sur les 218 incidents traités par l’ANSSI en 2024, 33 ont été classés en criticité élevée, majoritairement des attaques par rançongiciel couplées à des exfiltrations de données.
Les conséquences dépassent la simple interruption informatique. Quand un conseil départemental subit une compromission de son Active Directory, c’est l’ensemble de son système d’information qui doit être isolé. Les services métiers (état civil, aide sociale, gestion scolaire) sont paralysés pendant plusieurs semaines.
Le cas récent de la mairie de Drancy illustre ce schéma : tous les serveurs ont été débranchés, la municipalité a refusé de payer la rançon et a dû alerter ses administrés sur un risque de fuite de données personnelles. Pour une commune de cette taille, la remise en service complète mobilise des ressources considérables.
Stratégie nationale de cybersécurité 2026-2030 : ce que le plan prévoit concrètement
Dévoilée le 29 janvier 2026 par Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, cette stratégie prolonge la Revue nationale stratégique de 2025, qui avait fait de la cyber-résilience de la Nation un objectif prioritaire. Le texte couvre la période 2026-2030 et s’articule autour de plusieurs axes.
- Le renforcement de la protection des systèmes d’information de l’État et des collectivités, avec un accent sur les fonctions numériques dites « traditionnelles » (messagerie, annuaires, postes de travail) longtemps délaissées au profit de la protection des données classifiées.
- Un soutien financier et opérationnel via l’ANSSI, dans la continuité de l’enveloppe de 136 millions d’euros allouée par le plan France Relance pour la cybersécurité des services publics et des collectivités territoriales.
- La montée en compétence des agents territoriaux, identifiée comme un levier indispensable pour réduire les failles liées au facteur humain (hameçonnage, mots de passe faibles, absence de mises à jour).
Le Premier ministre Sébastien Lecornu a reconnu que la situation était « assez grave » et que les intrusions informatiques et vols de données se multipliaient depuis le début de l’année 2026. Ce constat public marque une inflexion par rapport au discours habituel, plus mesuré.
Petites communes et cybersécurité : le problème du dernier kilomètre
Le dispositif le plus récent cible spécifiquement les petites structures. Depuis le 31 mars, les syndicats mixtes, opérateurs de services numériques et certains centres de gestion peuvent soumettre un dossier à l’ANSSI pour obtenir un soutien au déploiement de produits et services de cybersécurité au bénéfice des petites communes.
Le mécanisme repose sur une subvention forfaitaire calculée par habitant, ce qui le rend accessible même aux plus petites collectivités. L’objectif est de mutualiser les coûts via des structures intermédiaires plutôt que de demander à chaque commune de monter son propre dispositif.
Cette approche répond à un constat récurrent : les communes rurales disposent rarement d’un responsable informatique dédié. Un reportage de France 3 Bourgogne-Franche-Comté a documenté le cas d’une commune ayant perdu 9 000 euros après une attaque, faute de protection adéquate. La mutualisation via les syndicats mixtes reste la seule voie réaliste pour couvrir les milliers de communes de moins de 3 500 habitants.
Directive NIS 2 et collectivités territoriales : nouvelles obligations réglementaires
La transposition de la directive européenne NIS 2 ajoute une couche d’exigences pour les collectivités. Ce cadre réglementaire élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité, en incluant des acteurs publics locaux qui n’étaient pas concernés auparavant.
Pour les collectivités, NIS 2 implique des obligations concrètes :
- La mise en place de politiques de gestion des risques cyber formalisées, avec des procédures documentées de réponse aux incidents.
- L’obligation de notification des incidents significatifs dans des délais courts, ce qui suppose une capacité de détection que beaucoup de collectivités ne possèdent pas encore.
- Des exigences sur la sécurité de la chaîne d’approvisionnement numérique, incluant les prestataires informatiques auxquels les collectivités sous-traitent leur infrastructure.
La convergence entre NIS 2 et la Stratégie nationale 2026-2030 crée un double levier, réglementaire et financier, qui devrait accélérer la mise à niveau. Les collectivités qui n’ont pas encore engagé de démarche structurée de cybersécurité disposent d’un cadre clair, mais aussi de délais serrés.
Le plan gouvernemental ne résoudra pas en quelques mois des années de sous-investissement numérique dans les territoires. Les 218 incidents de 2024 rappellent que la menace progresse plus vite que les défenses. La prochaine étape sera de mesurer, fin 2027, si les dispositifs de mutualisation portés par l’ANSSI ont effectivement réduit le nombre de collectivités paralysées par une attaque.
