Le Défi de la mise en conformité à la directive NIS 2 pour les collectivités territoriales

À l’heure où le nombre de cyberattaques a explosé avec une augmentation de 22% en Europe en 2025[1], de telles réglementations constituent une première étape dans la mise en place d’une forteresse numérique sur le vieux continent. D’autant plus qu’à travers cette version retravaillée de la directive, Bruxelles souhaite non seulement homogénéiser le niveau de maturité cyber des États-membres, mais également étendre sa mise en application au périmètre le plus large possible.

Car contrairement à sa grande sœur, la directive NIS 1, qui se focalisait sur les Opérateurs de Services Essentiels (OSE) et les Fournisseurs de Services Numériques (FSN), la directive NIS 2 distingue désormais deux nouvelles catégories : les entités essentielles (EE) et les entités importantes (EI). Or, cette redéfinition des catégories a comme impact la prise en compte de nouvelles organisations, dont les administrations publiques centrales et locales.

En France, l’inclusion des collectivités territoriales est une véritable opportunité, ces dernières subissant régulièrement des cyberattaques depuis de nombreuses années[2]. Mais elle est également source de défis, aussi bien politiques, économiques que sociaux. En effet, les administrations publiques locales représentent le maillage même du territoire français et donc des cibles idéales pour les cyberattaquants. Pour autant, elles ne bénéficient pas des mêmes moyens financiers et de protection que certaines administrations centrales et le budget qu’elles peuvent allouer à la cybersécurité et à la résilience de leurs systèmes diffère d’une collectivité à une autre en fonction de ses revenus, mais également des priorités des mandats. Qui plus est, leur gestion en grande partie autonome de leurs systèmes et des services auxquels elles souscrivent, augmente considérablement la surface d’attaque et complexifie leur protection. Alors dans quelle mesure la mise en conformité à NIS 2 représente-t-elle autant une opportunité qu’un challenge pour les collectivités territoriales ?

Les enjeux (géo)politiques

Directement liés à la mise en application de la directive NIS 2, les défis politique et géopolitique restent les principaux enjeux de cette mise en conformité. Comme énoncé précédemment, la France et son système décentralisé font que les collectivités territoriales sont aujourd’hui le maillage même du pays. Des cyberattaques bien menées et coordonnées pourraient donc facilement paralyser le territoire et handicaper le fonctionnement de services pourtant essentiels au bon fonctionnement du pays. En octobre 2025, la Région Hauts-de-France[3] était ainsi touchée par un rançongiciel du Groupe Qilin, issu de la sphère d’influence russe. Cette cyberattaque avait entre autres impacté 80% des lycées publics de la région, soit 60 000 ordinateurs au total[4]. Plus d’un To de données auraient par ailleurs été exfiltrées[5].

De même, en août 2025, c’était la ville de Poitiers qui était victime d’une cyberattaque, ayant pour conséquence le blocage des services d’urbanisme et de médiathèque pendant plusieurs semaines[6]. À ce jour, aucun groupe n’a officiellement été identifié ou n’a revendiqué l’action[7]. À travers ces deux exemples isolés et déjà lourds localement en termes d‘impacts, il est facile d’imaginer les conséquences d’une attaque simultanée touchant bien plus d’organisations de cet acabit, non seulement pour la continuité du service public, mais aussi pour la confidentialité des données hébergées par ces mêmes organisations…

Si les cyberattaques touchant ces organisations ont pour l’instant eu des impacts limités, rien ne garantit donc que d’autres ne pourraient avoir des effets plus dévastateurs. Or, la France est aujourd’hui la cible de plus en plus d’États et d’organisations criminelles profitant de moyens financiers parfois colossaux pour parvenir à leurs fins. Outre les États opposés au modèle démocratique français, comme la Russie ou la Corée du Nord, des organisations cyberterroristes ou encore des gangs criminels ont des intérêts convergents à s’attaquer aux systèmes d’information (SI) des organisations locales françaises. C’est dans ce contexte que les collectivités territoriales représentent, comme exprimé plus haut, le moyen de faire mal facilement à l’État. Qu’il s’agisse de déployer des ransomwares lucratifs, de voler des données sensibles, ou simplement de perturber le fonctionnement des services publics, il y a de nombreuses motivations à s’attaquer à ces organisations.

Dans ces conditions, il est donc indispensable qu’un État comme la France soit suffisamment protégé pour être paré face à toutes les cybermenaces auxquelles il est exposé. En tant que septième puissance mondiale et par son hard power, elle incarne également un rôle d’exemplarité dans le domaine de la cybersécurité. La directive NIS 2 est donc un passage indispensable pour confirmer à la France son adaptation aux nouveaux enjeux technologiques et géopolitiques d’aujourd’hui.

Le périmètre des collectivités territoriales précisément concerné

Selon le Code Générale des Collectivités Territoriales (CGCT) et la Constitution de 1958, une collectivité territoriale est une personne de droit public, distincte de l‘État, qui bénéficie d’une autonomie juridique et financière pour gérer les affaires d’un territoire déterminé. Elle dispose de ses propres compétences, d’un budget et de personnels spécifiques. Parmi les trois échelons principaux, on retrouve la commune, le département et la région.

Dans ce contexte de découpage administratif très réglementé, le premier défi a été pour l’ANSSI de répartir ces différentes collectivités entre les deux catégories incontournables de NIS 2 : les Entités Essentielles et Importantes.[8]

Une Entité Essentielle (EE) est une organisation qui emploie au moins 250 personnes, ou qui a un chiffre d’affaires annuel supérieur à 50 millions d’euros et un bilan annuel supérieur à 43 millions d’euros. L’ANSSI a décidé de placer dans cette catégorie les régions, les départements, les communes de plus de 30 000 habitants ainsi que les établissements publics de coopération intercommunale (EPCI) ayant une ville de plus de 30 000 habitants dans cette catégorie.

De l’autre côté, on retrouve les Entités Importantes (EI). Si une organisation n’est pas une entité essentielle, emploie au moins 50 personnes, ou a un chiffre d’affaires et un bilan annuel supérieur à six millions d’euros, elle rentre dans cette catégorie. L’ANSSI a notamment placé dans cette catégorie les autres EPCI de moins de 30 000 habitants.

Ce premier découpage permet de fixer des objectifs adaptés aux tailles des différentes collectivités. Il crée cependant une inégalité dans la protection des systèmes d’information de ces organisations. En effet, cela pourrait inciter les cyberattaquants à privilégier les attaques contre les entités importantes, moins protégées et ayant un budget plus restreint pour la cybersécurité.

Le défi de la sensibilisation à la cybersécurité dans les collectivités territoriales

C’est probablement la problématique la plus importante dans ce type de structure : parvenir à imposer une véritable culture de la cybersécurité. Si les plus grandes organisations sont parvenues aujourd’hui à instaurer des sensibilisations régulières avec un bon accueil global de la part de leurs collaborateurs, les entités plus petites restent encore le maillon faible pour la cybersécurité.

Selon la note de conjoncture Data, IA et Cybersécurité dans les territoires[9]publiée par la Banque des Territoires en 2025, 50% des communes de moins de 300 habitants considèrent « ne pas être une cible », alors qu’elles représentent une véritable opportunité pour les attaquants. Cette insouciance du risque numérique est notamment renforcée par le turnover des élus très élevé dans ces organisations, priorisant d’autres projets jugés plus importants pour l’intérêt général. Elle est également accrue par l’insouciance même de la population qui a d’autres préoccupations : on note ainsi que la cybersécurité n’est pas en règle générale l’un des sujets phares des programmes de campagne. Les élus concentrent leurs budgets et leurs efforts sur des sujets à plus fort impact pour leurs administrés.

Paradoxalement, dans l’étude citée ci-dessus, 49% des communes de moins de 3500 habitants ont désormais intégré les menaces cyber comme un enjeu de gouvernance et non plus seulement comme un problème technique.

C’est notamment cette contradiction qui explique aujourd’hui l’hétérogénéité du déploiement des bonnes pratiques de cybersécurité entre les différentes collectivités territoriales. Aussi, dans ce cas de figure, NIS 2 apporte la possibilité d’imposer à ces dernières un certain nombre de règles permettant de davantage homogénéiser les bonnes pratiques de la cybersécurité.

On peut également espérer pour les plus grandes collectivités territoriales bénéficiant de meilleurs moyens, que les dernières cyberattaques de cet été sur de nombreuses administrations publiques, qui ont entrainé la fuite de quantités colossales de données sensibles d’administrés (Education Nationale, DGFIP, plateforme publique « Zéro Logement Vacant », France Travail, Santé publique France, CCI de Nice Côté d’Azur…),  ont aussi provoqué une certaine prise de conscience des administrations et des administrés, motivant les élus à prioriser davantage le sujet de la cybersécurité.

Les problématiques de financement

C’est probablement l’une des plus grosses problématiques concernant la mise en conformité à NIS 2. Les collectivités territoriales, notamment les plus petites, ont souvent un budget réduit concernant la cybersécurité. Or, même en faisant partie des entités essentielles, les coûts de mise en conformité, notamment le déploiement de solutions de sécurité ou de sécurisation renforcée des infrastructures, peuvent atteindre des sommes très importantes pour des organisations de taille modeste.

C’est pourquoi le Gouvernement a décidé de déployer une stratégie à trois leviers pour financer la mise en conformité à NIS 2 des collectivités territoriales :

• Une assistance renforcée de l’ANSSI : cette dernière a développé deux outils afin d’aider les organisations concernées dans leur mise en conformité à NIS 2. Il s’agit de MonEspaceNIS2[10]pour l’autoévaluation et l’enregistrement, ainsi que du dispositif MonServiceSécurisé[11]pour aider à la rédaction des politiques de sécurité.
• Des programmes spécifiques de sécurisation des systèmes d’information : des financements sont programmés, notamment via des parcours de cybersécurité, ainsi que par des appels à projet spécifiques gérés par les CSIRT régionaux.
• La mutualisation des moyens : le Gouvernement encourage entre autres la mutualisation au sein des EPCI pour partager les coûts engendrés par cette mise en conformité, ainsi que l’utilisation de centrales d’achats comme l’Union des Groupements d’Achats Publics (UGAP) pour obtenir des tarifs préférentiels sur les solutions de sécurité.

Par le déploiement de ces trois différents leviers, l’État souhaite ainsi faciliter le plus possible le financement de la mise en conformité à NIS 2 pour les collectivités territoriales, notamment les plus modestes. Cet effort de la part du gouvernement symbolise également la volonté de ce dernier d’accélérer le mouvement de cybersécurisation de ses organisations et de se protéger davantage contre les différentes menaces planant aujourd’hui sur la France. L’État crée par la même occasion une feuille de route plus claire entre les collectivités selon leur entité d’appartenance.

Des défis importants, mais une opportunité unique

C’est pourquoi, à l’instar des autres entités concernées par la directive NIS 2, les collectivités territoriales ont le devoir de se mettre en conformité vis-à-vis de cette réglementation. Cela permettra ainsi de renforcer indéniablement la robustesse de l’ensemble des SI du système administratif de l’État et de protéger la société tout entière face aux menaces numériques qui se multiplient de nos jours.

La mise en conformité à NIS 2 pour les collectivités territoriales, bien qu’étant un challenge difficile à relever, représente ainsi une opportunité unique pour l’État de dynamiser la cybersécurité de son écosystème et de se parer contre les menaces planant aujourd’hui sur la France et l’Europe. Malgré des problématiques de sensibilisation, des financements difficiles et des enjeux géopolitiques majeurs, NIS 2 se veut un catalyseur de la cybersécurité au sein de l’Union Européenne, permettant d’uniformiser les entités essentielles et importantes des États-membres sur des standards de la cybersécurité. Ce sont ces standards qui permettront, demain, de contrer les groupes paraétatiques, les cybercriminels et le terrorisme numérique.