Cybersécurité collectivités territoriales : le grand écart

Les collectivités, cibles désignées des cyberattaques

Les administrations locales concentrent des données sensibles et des services qui ne peuvent pas s’arrêter : état civil, aide sociale, gestion de l’eau, paie. Cette combinaison en fait une cible rentable pour les rançongiciels. Cybermalveillance.gouv.fr classe régulièrement les collectivités parmi les publics les plus exposés. Le scénario type est connu : un rançongiciel chiffre les serveurs, l’état civil s’arrête, la paie des agents est suspendue, et la remise en service prend des semaines.

La taille n’offre aucune protection. Une commune de 3 000 habitants traite, proportionnellement, autant de données personnelles qu’une métropole — avec un agent informatique pour plusieurs services, parfois aucun. L’ANSSI le documente dans son panorama annuel de la cybermenace : les attaques visent moins les systèmes les mieux défendus que les plus accessibles. Les collectivités rurales, moins équipées, héritent de cette logique. Le coût d’une attaque dépasse rarement la seule rançon : reconstruction du système, perte des données non sauvegardées, jours d’interruption, puis une confiance des administrés à regagner. Pour une petite structure, la facture peut représenter plusieurs mois de fonctionnement.

La cybersécurité, priorité affichée, stratégie rarement écrite

Le paradoxe tient en deux chiffres. 61 % des collectivités placent la cybersécurité en tête de leurs priorités IT pour 2026, mais 33 % seulement ont formalisé une stratégie. Entre les deux, ce que le baromètre Quorum qualifie de vulnérabilité la plus critique du paysage territorial.

Une prise de conscience qui s'accélère

La menace est désormais comprise. La cybersécurité a gagné 16 points en un an pour devenir le pivot de la stratégie IT des collectivités, selon le comparatif 2024-2025 du baromètre. Les responsables territoriaux citent en tête le piratage des bases de données (63 %) et les rançongiciels (57 %). Signe de cette pression : 40 % des décideurs seulement abordent le numérique avec sérénité, contre 60 % un an plus tôt. La médiatisation des attaques contre des hôpitaux et des mairies a fait son effet. Cette accélération ne tient pas qu’à la peur : les offensives contre le secteur public ont gagné en fréquence et en visibilité, et les budgets de défense commencent à s’aligner.

Mais peu de stratégies réellement écrites

La structuration ne suit pas. À peine une collectivité sur trois dispose d’une stratégie cyber formalisée. Le plan de reprise d’activité figure en tête des procédures jugées les plus stressantes (41 %), devant la gestion documentaire et la sécurisation des accès distants. Autre angle mort : l’erreur humaine, citée par 36 % des répondants, reste absente des stratégies alors qu’elle déclenche la majorité des incidents. Connaître la menace ne suffit pas à s’en protéger.

Pourquoi le passage à l'action coince

Trois obstacles reviennent à chaque édition : le coût, les compétences, la complexité. Le baromètre 2025 ajoute un facteur aggravant — la modernisation elle-même élargit la surface d’attaque.

Un déficit de moyens et de compétences

Le frein est d’abord budgétaire et humain. 53 % des collectivités déclarent manquer de moyens, financiers ou humains, pour mener leurs chantiers IT. Le coût initial (63 %) et le manque de compétences techniques (52 %) arrivent en tête des obstacles. Ces freins se cumulent : sans budget, pas de recrutement ; sans expertise interne, l’arbitrage technique devient hasardeux. Beaucoup de communes fonctionnent sans RSSI, parfois sans informaticien dédié. La sécurité repose alors sur un prestataire, ou sur personne. Mutualiser à l’échelle intercommunale ou s’appuyer sur un opérateur public de services numériques reste l’une des rares portes de sortie pour les communes les plus contraintes.

Une modernisation qui élargit la surface d'attaque

Chaque nouveau service en ligne ouvre une porte. Le cloud, la dématérialisation et les téléservices multiplient les points d’entrée à protéger. Or 61 % des collectivités ont encore au moins 30 % de documents papier à numériser : la transition n’est pas terminée, et chaque étape crée une exposition supplémentaire. Le passage obligatoire à la facturation électronique va accélérer ce mouvement. Moderniser sans sécuriser en parallèle revient à agrandir la maison sans poser de serrure. La sécurité doit avancer au même rythme que les usages, sous peine de laisser une faille ouverte derrière chaque nouveau projet.

Structurer une cybersécurité territoriale qui résiste

La maturité cyber se construit par briques, pas par un grand projet unique. Le baromètre dessine deux leviers complémentaires : une gouvernance interne assumée, et le recours à des partenaires choisis d’abord sur la sécurité.

Les leviers internes : gouvernance, sauvegardes, agents

La gouvernance prime sur l’outil. Inscrire la cybersécurité au niveau des élus et de la direction générale conditionne tout le reste : budget, arbitrages, culture du risque. Viennent ensuite des mesures concrètes — sauvegardes vérifiées, plans de reprise testés pour de bon, gestion des identités, sensibilisation régulière des agents. La formation ne se range pas au second plan : avec 36 % des incidents liés à l’erreur humaine, elle pèse autant qu’un pare-feu. Un référentiel comme l’ISO 27001 donne un cadre, sans dispenser de l’adapter à l’échelle communale. Tester un plan de reprise, c’est simuler une panne réelle et vérifier que les sauvegardes se restaurent dans un délai acceptable — un exercice rarement mené avant la première crise.

Le partenariat public-privé, modèle dominant

Le recours à un partenaire externe s’est généralisé : 82 % des collectivités y font appel en 2025, contre 75 % un an plus tôt. La sécurité est devenue le premier critère de sélection (69 %), devant la confiance (64 %) et l’expertise technique (58 %). Le modèle courant reste la multi-prestation ciblée (59 %), loin devant le prestataire unique référent (23 %). La directive européenne NIS2, en cours de transposition en droit français, étend des obligations de sécurité à de nombreuses entités publiques : le choix du partenaire engage désormais la conformité, pas seulement le confort. Reste à éviter la dépendance — multiplier les prestataires sans pilotage interne déplace le risque plutôt qu’il ne le réduit.

Les collectivités ont quitté la phase de prise de conscience. Reste le plus difficile : passer d’une logique de projets à une logique de capacité, avec des plans de reprise réellement testés et des budgets qui suivent. La prochaine édition du baromètre dira si l’écart entre les 61 % qui priorisent et les 33 % qui structurent commence à se réduire, ou si la modernisation continue de courir plus vite que la cybersécurité territoriale qu’elle exige.