Cyberattaque en mairie: l’exercice de crise qui oblige le maire à trancher vite

Une mairie peut basculer en quelques minutes, plus d’accès aux dossiers, messagerie bloquée, logiciels métiers à l’arrêt, et une question qui tombe tout de suite sur le bureau du maire, qui décide quoi, et dans quel ordre. Le risque cyber n’est plus un sujet réservé aux grandes villes, il touche aussi les communes petites et moyennes, avec des équipes réduites et des prestataires parfois éloignés.

Dans ce contexte, l’exercice de crise n’a rien d’un jeu de rôle. Il sert à vérifier que le plan tient quand tout se dégrade, réseau interne, internet, téléphonie, accès aux fichiers, et que la commune garde un minimum de services. L’objectif est simple, éviter l’improvisation, et forcer des choix concrets, isoler, alerter, continuer l’activité, informer, puis documenter pour progresser.

Le maire intègre le risque cyber au Plan communal de sauvegarde

La première étape, c’est de traiter le cyber comme un risque de crise à part entière, au même niveau que d’autres menaces déjà gérées par les communes. Dans l’exercice, le maire doit rattacher le scénario au Plan communal de sauvegarde, avec une logique claire, qui commande, quels services sont prioritaires, et quelles procédures s’appliquent quand les outils numériques deviennent instables. Sans ce cadre, chacun fait « comme il peut », et la coordination se délite.

Le point sensible, c’est l’analyse des risques propres à la collectivité. Une commune n’a pas les mêmes dépendances selon ses compétences et ses outils, état civil, finances, ressources humaines, police municipale, gestion des équipements, ou inscriptions scolaires. L’exercice sert à identifier ce qui casse en premier si le système d’information est touché, et à lister les activités qui doivent tenir même en mode dégradé, pour les habitants.

Concrètement, le maire doit arbitrer sur des priorités de service public. Dans un jeu d’injection réaliste, on simule un rançongiciel qui bloque les postes, et on demande, qu’est-ce qu’on maintient, accueil physique, délivrance de documents, coordination avec les services de sécurité, gestion de l’eau, ou communication d’alerte. La réponse passe par une liste de missions vitales et des solutions non numériques, formulaires papier, procédures manuelles, et circuits de validation simplifiés.

Ce travail implique aussi de clarifier les rôles, et c’est souvent là que ça coince. L’exercice oblige à nommer une équipe, qui fait le lien entre technique, juridique et communication, et qui reste pilotée par le maire. On y intègre le responsable informatique quand il existe, et le délégué à la protection des données si des informations personnelles sont en jeu. Sans cette identification préalable, on perd du temps, et en crise cyber, le temps coûte cher.

Déconnexion immédiate: les gestes réflexes testés en conditions dégradées

Dans le scénario, un agent signale un comportement anormal, fichiers chiffrés, lenteurs, messages suspects. Le maire doit faire appliquer des actions réflexes, et l’exercice vérifie que tout le monde les connaît. Première règle, déconnecter les équipements d’internet et du réseau interne, câble réseau retiré, wifi coupé, 4G désactivée si elle sert de relais. Le but, limiter la propagation et l’exfiltration.

Deuxième règle, contre-intuitive pour beaucoup, ne pas éteindre les postes compromis. L’exercice met ce point en tension, parce que le réflexe « on coupe tout » est fréquent. Or, l’arrêt peut faire disparaître des traces utiles aux investigations. Le maire doit donc faire passer une consigne simple, on isole, on observe, on documente, et on évite les manipulations improvisées. Dans le jeu, on teste si les agents appliquent la consigne sous stress.

Troisième règle, ne pas brancher les sauvegardes hors ligne au mauvais moment. L’exercice insiste sur cette erreur classique, vouloir restaurer trop tôt et contaminer ce qui était sain. Le maire n’entre pas dans la technique, mais il doit exiger une discipline, personne ne reconnecte des supports de sauvegarde sans validation de la cellule de crise. Dans une commune, un disque dur externe « dans un tiroir » peut devenir un vecteur de propagation.

Enfin, l’alerte doit partir vite vers les bons interlocuteurs. L’exercice vérifie que la chaîne d’alerte existe, prestataire informatique, dispositifs d’assistance et de signalement, et forces de sécurité si nécessaire. Le maire doit aussi anticiper un angle mort, la crise peut toucher les moyens de communication, messagerie indisponible, téléphone perturbé, accès aux annuaires impossible. On teste alors des alternatives, listes papier, numéros d’urgence, et messagerie externe de secours.

Cellule de crise: rôles, informations fiables et décisions sous contrainte

Une cyberattaque crée une crise technique, mais aussi une crise d’organisation. L’exercice met en place une cellule de crise sous l’autorité du maire, avec un fonctionnement encadré. L’objectif n’est pas de multiplier les réunions, mais de traiter l’information entrante, la rendre cohérente, puis diffuser des décisions applicables. Sans ce cadrage, on obtient des consignes contradictoires, et les services continuent à travailler sur des hypothèses fausses.

Le scénario force une difficulté récurrente, la cellule de crise peut se retrouver « en orbite », déconnectée du terrain. L’exercice impose donc des boucles de retour, chaque service remonte ce qu’il voit, ce qui marche, ce qui ne marche plus, et ce que les usagers demandent. Le maire doit trancher sur la base d’informations vérifiées, et accepter une règle de base, mieux vaut une décision imparfaite mais rapide qu’une attente qui paralyse tout.

La dimension RGPD apparaît vite dans l’exercice, parce qu’une attaque peut impliquer une violation de données personnelles. Le maire doit s’assurer que la collectivité sait identifier les données concernées, et qu’elle est prête à enclencher les démarches de notification quand c’est nécessaire. Ce n’est pas un détail administratif, c’est un volet de confiance avec les administrés, et une obligation de moyens, avec des mesures de sécurité adaptées.

L’exercice teste aussi la discipline de communication interne. Quand la messagerie est inutilisable, la mairie doit quand même produire des consignes claires, qui fait quoi, quels outils ne plus utiliser, quels postes sont isolés, et où centraliser les demandes. Un expert interrogé dans le cadre de l’exercice, Marc, consultant SSI, résume la difficulté, « le plus dangereux, ce n’est pas l’attaque, c’est le flottement, chacun cherche une solution locale et on perd la maîtrise du périmètre ».

Plan de continuité d’activité: maintenir l’eau, l’accueil et les services essentiels

Une commune ne peut pas se permettre un arrêt complet. L’exercice sert à vérifier l’existence d’un Plan de continuité d’activité et sa compatibilité avec les ressources réelles, surtout dans les petites collectivités. Le PCA vise un accès minimal aux services essentiels, et cherche à éviter des crises secondaires, files d’attente ingérables, retards administratifs, tensions avec les usagers, ou incapacité à coordonner des actions de sécurité.

Le scénario insiste sur la continuité des communications. Une crise cyber peut se doubler d’une dégradation des moyens, internet instable, téléphonie saturée, accès aux fichiers indisponible. L’exercice oblige à prévoir des canaux alternatifs, un téléphone dédié, des listes de contacts hors système, et des procédures papier. Le maire doit accepter une réalité, le numérique est un accélérateur, mais en crise il faut savoir revenir à des modes simples.

Dans la simulation, l’accueil en mairie devient un point de friction. Sans logiciel, l’état civil ou certaines démarches se font au ralenti. Le PCA doit préciser ce qui est maintenu, ce qui est reporté, et comment informer les administrés. On teste une organisation de guichets, des formulaires imprimés, une caisse sécurisée si des paiements sont concernés, et des règles de saisie différée. Le but, éviter le chaos et garder une traçabilité minimale.

Le PCA sert aussi à cadrer la relation avec les prestataires. Dans l’exercice, on introduit un délai d’intervention, ou un prestataire lui-même indisponible, pour éviter l’illusion « ils vont régler ça ». Le maire doit demander des engagements, des contacts d’astreinte, et des procédures d’escalade. Nuance importante, un PCA trop ambitieux, avec trop d’outils « de secours », peut devenir inexploitable le jour J, l’exercice sert justement à couper ce qui est irréaliste.

Exercices réguliers et retour d’expérience: la mise à jour devient une obligation

Un plan de crise figé vieillit mal. L’exercice se termine par une phase de retour d’expérience structurée, et c’est là que le maire doit imposer une démarche d’amélioration continue. On documente ce qui a été compris, ce qui a été mal exécuté, et ce qui manquait, numéros de contact, consignes d’isolement, procédures de communication, ou inventaire des équipements. Chaque incident ou quasi-incident devient une leçon exploitable.

Les guides de préparation insistent sur la crédibilité du scénario. L’exercice doit s’appuyer sur l’analyse de risques de la collectivité, pas sur un cas générique. Une attaque par rançongiciel illustre très bien la nécessité d’une politique de sauvegarde, mais on peut aussi centrer le jeu sur une application métier critique, ou un réseau interne, pour démontrer pourquoi il faut le protéger. Le maire y gagne un outil politique, objectiver des besoins concrets.

La formation et l’entraînement du personnel sont un objectif explicite. L’exercice vérifie que les acteurs se sont approprié les procédures, et qu’ils savent arbitrer entre endiguement, contournement et reprise. Dans la simulation, on mesure aussi la capacité des équipes SSI et des équipes habituées aux crises à travailler ensemble. Marc, le même expert, insiste, « on ne s’entraîne pas pour avoir bon, on s’entraîne pour gagner des réflexes quand tout part de travers ».

Dernier point, l’exercice sert de vecteur de sensibilisation interne. Il rend visibles des projets difficiles à défendre en temps normal, comme renforcer les sauvegardes, durcir les authentifications, ou clarifier les responsabilités de traitement. Mais il faut une critique, un exercice vitrine, trop scénarisé, peut rassurer à tort. Le maire doit accepter des injections qui dérangent, communications coupées, décisions impopulaires, et délais longs, sinon la collectivité apprend surtout à jouer un rôle, pas à tenir une crise.