Rançongiciels contre les collectivités : pourquoi NIS 2 peine encore à s’imposer aujourd’hui ?

NIS 2 arrive comme un test grandeur nature pour les collectivités, et le terrain montre déjà les limites. La directive européenne, publiée en décembre 2022, élargit le périmètre de la cybersécurité bien au-delà des seules infrastructures critiques. Elle vise aussi des administrations publiques et des collectivités, avec des exigences de gouvernance, de gestion des risques et de signalement des incidents. Sur le papier, c’est carré. Dans les mairies et intercommunalités, c’est souvent plus bancal.

Le contexte n’aide pas. Les rançongiciels ont augmenté de 30% entre 2022 et 2023 avant une stabilisation en 2024, et les coûts 2022 ont été estimés à 2 milliards d’euros en France. Les collectivités figurent régulièrement parmi les victimes, avec près de 23% des victimes de rançongiciels recensées dans un panorama de menace, et 187 incidents traités par l’ANSSI entre janvier 2022 et juin 2023. Résultat, NIS 2 ne ressemble plus à une réforme lointaine, mais à une mise à niveau urgente.

La directive NIS 2 élargit le périmètre aux administrations publiques

Le changement majeur, c’est l’échelle. Avec NIS 1, l’approche se concentrait sur un nombre limité d’infrastructures critiques, environ 500 en France. NIS 2 bascule vers une logique de résilience des organisations et de leurs systèmes d’information, pas seulement de quelques sites sensibles. Les estimations évoquent jusqu’à 15 000 entités potentiellement concernées en France, ce qui modifie la charge de travail pour tout le monde, y compris pour l’accompagnement public.

Dans ce cadre, les administrations publiques et des collectivités territoriales entrent dans le champ, avec une distinction entre entités essentielles et entités importantes. Pour les collectivités, un seuil revient dans les discussions opérationnelles, celui des communes de plus de 30 000 habitants, souvent associées au statut d’entité essentielle. Dit autrement, la cybersécurité n’est plus un « sujet informatique », elle devient un sujet d’organisation, de continuité de service et de responsabilité.

Ce glissement s’observe aussi dans les obligations attendues. NIS 2 met l’accent sur la gouvernance et la capacité à piloter le risque, avec des décisions structurées, des arbitrages, et une trace de ce qui est fait. Cela implique des règles internes, des procédures, des rôles clairs, et une capacité à prouver qu’on gère, pas seulement qu’on installe des outils. Pour une collectivité, cela touche autant la DSI que la direction générale et les élus.

Un élu local peut vite se retrouver face à une équation difficile, surtout quand les priorités s’empilent. Marc, directeur des systèmes d’information dans une ville moyenne, résume la tension, « on me demande de sécuriser, de moderniser, de tenir les budgets, et de ne jamais interrompre le service, mais je n’ai pas l’équipe pour faire tout ça en même temps ». NIS 2 pousse ce type de collectivité à formaliser ce qui reposait parfois sur des habitudes et sur de la débrouille.

Les rançongiciels frappent les communes, avec 23% des victimes en 2022

Les chiffres rappellent que la menace n’est pas théorique. Les collectivités territoriales et locales représentaient près de 23% des victimes de rançongiciels sur une année de référence citée dans un panorama de menace. Et l’ANSSI a traité 187 incidents concernant des collectivités entre janvier 2022 et juin 2023. On parle de systèmes d’état civil, de services techniques, de ressources humaines, de finances, parfois de portails citoyens, bref du quotidien.

Ce qui fait mal, ce n’est pas seulement la machine bloquée. Une attaque, c’est des services publics locaux perturbés, des rendez-vous annulés, des démarches ralenties, et parfois des données perdues. Les conséquences « invisibles » comptent aussi, fuite de données personnelles, atteinte à l’image, perte de confiance, stress des agents. Pour une mairie, la confiance est un capital politique et social, et une crise cyber peut le grignoter en quelques heures.

Les rançongiciels ont progressé de 30% entre 2022 et 2023 avant de se stabiliser en 2024. Et le coût global des attaques en 2022 a été évalué à 2 milliards d’euros en France. Même sans détailler une facture par commune, l’ordre de grandeur suffit à comprendre la pression, une collectivité qui doit financer une remédiation, des audits, des renouvellements de postes, et parfois des prestations d’urgence, peut voir ses projets numériques gelés pendant des mois.

Le plus piégeux, c’est que la porte d’entrée peut être banale. Une application périphérique, un site ancien, un équipement connecté laissé en ligne. Un exemple typique cité par des acteurs du secteur, le site web d’une piscine municipale, maintenu avec des outils vieillissants, peut rester exposé et servir de point d’appui. Dans une collectivité, l’empilement historique est fréquent, et NIS 2 vient rappeler que la surface d’attaque est souvent plus large que ce que les organigrammes laissent croire.

La transposition française attendue en 2025 inquiète sur les moyens

La transposition en droit français, annoncée comme attendue à la rentrée 2025 dans plusieurs échanges publics, est déjà perçue comme un moment de vérité. Elle était initialement prévue pour octobre 2024, mais le calendrier a glissé, avec un texte déjà voté par le Sénat et en cours d’examen à l’Assemblée nationale. Pour les collectivités, ce décalage ne supprime pas l’urgence, il la prolonge, parce que les attaques, elles, ne patientent pas.

Au Sénat, le débat a posé un point concret, l’intégration de toutes les collectivités n’est pas garantie, et le ciblage pourrait dépendre de la taille. Cela peut sembler rassurant pour les petites communes, mais la réalité opérationnelle est plus rude, une petite collectivité peut être touchée tout autant, et elle a souvent moins de ressources. L’enjeu, c’est d’éviter une cybersécurité à deux vitesses, avec des obligations fortes pour certains et une vulnérabilité persistante pour les autres.

La question des moyens revient comme un refrain. Le rapporteur Patrick Chaize a insisté sur le coût de mise en uvre des obligations et sur le risque de surtransposition. Dans le même temps, il souligne que la résilience est indispensable parce que les collectivités sont de plus en plus victimes. Dit autrement, la norme peut être utile, mais si elle arrive sans accompagnement, elle peut se transformer en injonction difficile à appliquer, surtout pour des équipes informatiques déjà sous tension.

Dans une étude relayée dans les échanges institutionnels, 62% des collectivités demandent une sensibilisation accrue des élus et des agents. Ce chiffre dit quelque chose de simple, le problème n’est pas seulement technique. Une collectivité peut acheter des solutions, mais si les pratiques restent les mêmes, mots de passe partagés, postes non mis à jour, clics sur des pièces jointes douteuses, la protection s’effrite. La transposition 2025, si elle est bien calibrée, peut servir de levier pour structurer cette montée en maturité.

La mise en conformité impose gouvernance, risques fournisseurs et signalement ANSSI

NIS 2 ne se limite pas à « mettre un antivirus ». Le texte pousse une logique de gestion des risques, avec des mesures organisationnelles et techniques, et un pilotage au niveau des décideurs. La gouvernance devient un attendu, avec formation des dirigeants et implication réelle, parce que la responsabilité peut être engagée en cas d’incident majeur ou lors d’un contrôle. Pour des élus, c’est un changement culturel, la cyber n’est plus un sujet délégué sans suivi.

Autre pilier, la chaîne d’approvisionnement. La directive demande une surveillance proactive des tiers, pour détecter plus vite les incidents qui peuvent remonter via un prestataire, un hébergeur, un intégrateur, un éditeur. Dans une collectivité, c’est souvent là que ça coince, les contrats sont multiples, parfois anciens, et les exigences cyber n’étaient pas toujours formalisées. NIS 2 oblige à regarder les fournisseurs comme une partie du système d’information, pas comme un simple achat.

Le troisième bloc, c’est le signalement des incidents au régulateur, en France l’ANSSI. Cela implique une capacité à détecter, qualifier, documenter et remonter l’information. Dit autrement, si personne ne surveille réellement, il n’y a rien à signaler, mais il y a quand même un incident. Beaucoup de collectivités doivent donc investir dans la détection et dans des procédures de crise, avec des rôles clairs, qui appelle qui, qui décide de couper un service, qui communique.

Sur le terrain, des démarches d’évaluation se mettent en place. Justine Terzi, qui accompagne des communes, décrit des audits structurés, « nous passons 250 points de contrôle avec les communes concernées, l’objectif est de démystifier la directive ». Ce type de grille est utile, mais il révèle aussi l’ampleur du chantier, inventaire des actifs, cartographie des accès, sauvegardes, tests de restauration, gestion des droits, suivi des prestataires. Et là, nuance importante, si l’on transforme NIS 2 en checklist bureaucratique, on risque de rater l’objectif, la résilience réelle.

Seulement 14% des collectivités se disent prêtes, les mutualisations s’accélèrent

Le chiffre qui revient et qui pique, c’est celui de la préparation. Selon des acteurs de l’accompagnement, seulement 14% des collectivités se sentent prêtes face à la menace cyber. Dans le même temps, le vécu est lourd, 30% des collectivités auraient été victimes d’un rançongiciel en 2024. Même si les méthodologies peuvent varier, l’écart entre perception de préparation et exposition au risque dessine une zone rouge.

Un des freins, c’est la difficulté à faire porter le sujet au bon niveau. Des DSI et RSSI expliquent encore peiner à se faire entendre auprès des élus, quand la cyber est perçue comme un centre de coûts. Anne-Sophie Colléaux défend l’idée inverse, la cybersécurité permet des services plus résilients et plus innovants pour les citoyens. Sur le papier, l’argument est solide. Dans la vraie vie, il faut quand même arbitrer, et une collectivité préfère parfois financer un projet visible plutôt qu’un renforcement discret.

La réponse la plus réaliste, c’est souvent la mutualisation. Les centres de gestion, les intercommunalités, les syndicats numériques, et des programmes d’accompagnement structurés deviennent des points d’appui, surtout pour absorber le choc organisationnel. Le député européen Bart Groothuis évoquait un impact potentiel de plus de 160 000 entités à l’échelle, ce qui donne une idée du marché de la conformité et de la tension sur les compétences. Les collectivités n’ont pas toutes les moyens de recruter, donc elles cherchent à partager.

Une nouvelle phase de programmes d’accompagnement, comme CYBIAH 2.0, doit aussi intégrer des enjeux liés à l’IA, signe que le sujet s’élargit encore. Et c’est là que la critique s’impose, la réglementation peut pousser à faire mieux, mais elle arrive dans un moment où les collectivités gèrent déjà la dématérialisation, la modernisation des infrastructures, et des contraintes budgétaires. NIS 2 peut devenir un accélérateur utile si l’accompagnement suit, sinon elle risque de créer une conformité de façade, avec des documents à jour et des systèmes encore fragiles.