Cybersécurité des communes : l’enquête qui mesure les fragilités locales

La sécurité informatique des collectivités ne se joue pas seulement dans les grandes métropoles dotées de directions du numérique et de marchés spécialisés. Elle se joue aussi dans les secrétariats de mairie, les postes informatiques polyvalents et les prestataires auxquels les petites communes délèguent une part croissante de leurs outils. C’est ce maillage que Cybermalveillance.gouv.fr entend documenter avec sa quatrième enquête sur la cybersécurité des communes.

Le questionnaire est ouvert aux élus et aux agents des communes françaises de moins de 25 000 habitants : directeurs généraux des services, secrétaires de mairie, responsables informatiques ou agents disposant d’une vision sur l’organisation numérique locale. Les réponses sont attendues jusqu’au 4 octobre. Le dispositif interroge notamment l’impact des incidents récents sur les décisions prises, les ressources budgétaires affectées à la protection informatique et le partage des tâches entre équipes internes et prestataires.

Cette collecte intervient après un été marqué par plusieurs atteintes aux données et cyberattaques visant des organismes publics, dont un vol de données signalé à la Direction générale des finances publiques. La question n’est donc pas uniquement technique. Une compromission peut rendre indisponibles les outils de gestion, perturber l’accueil des administrés ou exposer des informations détenues dans le cadre de missions administratives.

La cybersécurité des communes, un indicateur de capacité administrative

Les communes de moins de 25 000 habitants constituent le périmètre central de l’enquête parce qu’elles concentrent l’essentiel du tissu municipal. Cybermalveillance.gouv.fr indique qu’elles représentent 99 % des 34 945 communes françaises et regroupent 67 % de la population. Ces proportions donnent une dimension nationale à un risque souvent abordé à l’échelle de cas isolés.

Pour ces collectivités, la cybersécurité des communes dépend d’abord de capacités administratives très inégales. Une mairie peut disposer d’un agent informatique identifié, mutualiser ses compétences avec une intercommunalité ou recourir à un prestataire. Ces organisations ne produisent ni les mêmes délais de réaction, ni les mêmes conditions de contrôle des accès, des sauvegardes ou des mises à jour. L’externalisation peut apporter une expertise difficile à recruter localement ; elle ne dispense pas la collectivité de savoir ce qu’elle confie, à qui et selon quelles procédures.

Le budget constitue un autre révélateur. Dans une petite commune, une dépense de sécurité est en concurrence avec les besoins ordinaires de maintenance, de renouvellement du matériel et de dématérialisation. L’enquête ne vise pas seulement à recenser des montants : elle doit permettre de relier le niveau de préparation à la façon dont les décisions sont prises. Une ligne budgétaire ne protège pas à elle seule un système ; l’absence d’inventaire, de procédures ou d’interlocuteur clairement désigné peut neutraliser l’effet d’un investissement ponctuel.

Du questionnaire au baromètre de la cybersécurité des communes

Les résultats doivent nourrir un baromètre de la maturité cyber des collectivités, présenté lors du 108e Congrès des maires et des présidents d’intercommunalité, prévu du 24 au 26 novembre à Paris. L’intérêt de cet exercice dépendra de sa capacité à distinguer les difficultés de moyens des difficultés d’organisation. Agréger des réponses ne suffit pas : il faut pouvoir identifier les besoins récurrents, les modèles de mutualisation utiles et les points sur lesquels une intervention nationale ou départementale est nécessaire.

Cybermalveillance.gouv.fr, dispositif national d’assistance et de prévention, s’inscrit dans l’écosystème public de protection numérique aux côtés de l’ANSSI. Cette dernière rappelle, dans son Panorama de la cybermenace, que les attaques contre les organisations publiques visent autant la perturbation des services que la captation de données. Pour les élus, la sécurité numérique doit ainsi être regardée comme une composante de la continuité administrative, et non comme un simple poste informatique.

La cybersécurité des communes pose enfin un problème de pilotage territorial. Les dispositifs d’aide, les compétences techniques et les achats de services sont dispersés entre communes, intercommunalités, syndicats et prestataires. Le futur baromètre pourra être utile s’il donne aux décideurs publics une base pour comparer les situations sans réduire la maturité cyber à la seule possession d’outils.

La participation des communes conditionne donc la portée du diagnostic. Plus le panel sera large, plus il permettra de passer du récit des attaques visibles à une cartographie des vulnérabilités ordinaires : dépendance à un prestataire unique, budgets limités, absence de responsable identifié ou difficulté à maintenir les services en cas d’incident. C’est à cette échelle que se mesure la résilience effective des services locaux.