Cyberattaque dans les collectivités : comment se protéger et que faire en cas d’attaque ?

🚨 Cyberattaques : les collectivités face à une menace qui ne cesse de progresser

Une cyberattaque ne prévient pas. Un clic sur un faux e-mail, un compte piraté ou une faille informatique peut suffire à perturber le fonctionnement d’une collectivité. Et lorsque les outils sont bloqués ou les données inaccessibles, ce sont parfois les services publics eux-mêmes qui sont impactés.

Le plus difficile n’est donc pas seulement de se protéger d’une cyberattaque, mais de savoir réagir correctement lorsqu’elle survient. Les premières décisions peuvent faire toute la différence.

Pourquoi les collectivités sont-elles particulièrement exposées ? Quelles sont les principales menaces ? Et surtout, que faire dès les premières minutes d’une cyberattaque ?

Cet article vous aide à comprendre les risques liés à la cybersécurité des collectivités, à identifier les principales vulnérabilités et à connaître les bons réflexes à adopter avant, pendant et après une cyberattaque.

Cyberattaques des collectivités : les chiffres et les principales menaces

Le risque est loin d’être théorique. En 2025, 293 attaques cybercriminelles visant des collectivités territoriales ont été recensées par le COMCYBER-MI. Et le risque ne s’est pas arrêté en 2025 : même si les chiffres consolidés de 2026 ne sont pas encore disponibles, les collectivités continuent d’être ciblées par des cyberattaques.

Les attaques passent notamment par les accès et les messageries : en 2025, 20,1 % des demandes d’assistance des collectivités et administrations concernaient le piratage de comptes, tandis que 19,2 % concernaient le phishing.

Ces chiffres le montrent : la cybersécurité est un enjeu essentiel pour les collectivités, car une cyberattaque peut rapidement perturber leurs services et leurs missions auprès des citoyens.

Les collectivités peuvent être confrontées à différentes formes de cyberattaques, parmi lesquelles :

• Le phishing ou hameçonnage : un message frauduleux cherche à tromper un agent pour obtenir des informations ou provoquer une action.
• Le rançongiciel : un logiciel malveillant bloque ou chiffre des données afin d’exiger une rançon.
• Le piratage de compte : un cybercriminel prend le contrôle d’un compte, par exemple une messagerie professionnelle.
• La fuite ou le vol de données : des informations appartenant à la collectivité ou à ses usagers sont dérobées ou exposées.
• Les attaques informatiques contre les infrastructures : elles peuvent viser les serveurs, les réseaux ou les sites internet d’une collectivité et perturber leur fonctionnement.

🛡️ Que faire en cas de cyberattaque ?

Une cyberattaque peut rapidement perturber le fonctionnement d’une collectivité. Dans cette situation, les premières minutes sont importantes : il faut éviter les réactions précipitées et suivre une procédure claire. Savoir que faire en cas de cyberattaque permet de limiter les dommages et de faciliter le retour à la normale.

Les premiers réflexe en cas de cyberattaque

1. Identifier l’incident

Repérez les signes inhabituels : fichiers inaccessibles, messages suspects, comportement anormal d’un ordinateur ou interruption soudaine d’un service. Ne cherchez pas à résoudre seul un incident que vous ne maîtrisez pas.

2. Isoler les équipements concernés

Si un ordinateur semble compromis, il peut être nécessaire de le déconnecter du réseau afin de limiter la propagation de l’attaque. En cas de doute, demandez rapidement conseil au service informatique ou au prestataire.

3. Ne pas aggraver la situation

Évitez de supprimer des fichiers, de modifier les configurations ou de réinstaller un équipement sans consigne. N’essayez pas non plus de négocier avec l’attaquant ou de payer une éventuelle rançon sans avoir sollicité des professionnels.

4. Prévenir votre service ou prestataire informatique

Contactez immédiatement votre service informatique interne ou votre prestataire informatique. Ils pourront évaluer l’incident, sécuriser les systèmes concernés et déterminer les mesures à prendre.

5. Conserver les preuves

Conservez les e-mails, messages, captures d’écran, fichiers suspects et autres éléments pouvant aider à comprendre l’origine et le déroulement de l’attaque. Ces informations pourront notamment être utiles dans le cadre d’un signalement ou d’un dépôt de plainte.

6. Organiser la gestion de l’incident

Une fois l’incident identifié et contenu, la collectivité doit organiser sa réponse à incident : évaluer les dommages, protéger les systèmes encore opérationnels, assurer la continuité des services et préparer la restauration des données et des équipements.

Quels sont les obligations légales pour une collectivité ?

Une cyberattaque ne doit pas rester sans suite. La collectivité doit prévenir son service informatique ou son prestataire, signaler l’incident à l’ANSSI et déposer plainte auprès de la police ou de la gendarmerie. Ces démarches permettent de limiter les conséquences de l’attaque et de conserver une trace officielle de l’incident.

Si la cyberattaque entraîne le vol ou la fuite de données personnelles, la collectivité doit également agir rapidement. Elle doit être signalée à la CNIL dans les meilleurs délais et au plus tard dans les 72 heures après la découverte de l’incident. Les personnes concernées doivent également être prévenues rapidement afin qu’elles puissent se protéger.

La collectivité doit enfin garder une trace de l’incident : quelles données ont été volées, combien de personnes sont concernées, quand l’incident a eu lieu et quelles mesures ont été prises.

Il n’existe pas de délai général imposant à toutes les collectivités de signaler une cyberattaque à l’ANSSI. En revanche, certaines entités concernées par la directive NIS 2 devront signaler les incidents importants dans les 24 heures. Les obligations peuvent donc varier selon la situation de la collectivité.

Qui contacter en cas d’attaque informatique ?

L’objectif est de réagir rapidement sans agir dans la précipitation. Une procédure de réponse à incident préparée en amont permet à la collectivité de savoir précisément qui contacter et quelles actions entreprendre.

Après avoir identifié une cyberattaque, il est essentiel de ne pas rester seul. Plusieurs interlocuteurs peuvent accompagner la collectivité selon la nature et la gravité de l’incident.

• Le service informatique interne ou le prestataire informatique : c’est le premier interlocuteur à prévenir. Il pourra analyser l’incident, sécuriser les équipements concernés et mettre en œuvre les premières mesures de protection.
• Cybermalveillance.gouv.fr : le dispositif national accompagne les victimes de cyberattaques, les oriente vers les interlocuteurs adaptés et propose des ressources pour sécuriser les systèmes. Il permet également d’être orienté vers les démarches de signalement et de dépôt de plainte.
• La police ou la gendarmerie : en cas d’infraction, la collectivité peut déposer plainte afin de signaler l’attaque et permettre son traitement par les autorités compétentes.
• La CNIL : si la cyberattaque entraîne une violation de données personnelles, la collectivité doit évaluer ses obligations au titre du RGPD. Lorsque la violation présente un risque pour les personnes concernées, elle doit notamment être notifiée à la CNIL dans un délai de 72 heures après en avoir pris connaissance.
• 17Cyber et l’ANSSI : pour les situations nécessitant un accompagnement spécifique, notamment lorsqu’une attaque présente un niveau de gravité important, ces dispositifs peuvent permettre d’obtenir une orientation ou un accompagnement adapté.

🏛️ Pourquoi les collectivités territoriales sont-elles particulièrement exposées aux piratage de données ?

Les collectivités territoriales sont des cibles privilégiées pour les cybercriminels. Mairies, intercommunalités, départements et régions gèrent de nombreux systèmes informatiques et détiennent une grande quantité de données personnelles et sensibles. Une attaque informatique peut ainsi perturber leurs services, bloquer leur activité ou permettre le vol d’informations.

La taille de la collectivité ne protège pas du risque : les cyberattaques touchent aussi bien les petites communes que les grandes collectivités.

Quels sont les risques et conséquences d’une cyberattaque pour une collectivité ?

Les conséquences d’une cyberattaque peuvent être importantes pour une collectivité, quelle que soit sa taille. Elles peuvent notamment entraîner :

• Une interruption des services : certains outils, logiciels ou services numériques peuvent devenir indisponibles, perturbant le fonctionnement de la collectivité.
• Une perte de données : des informations peuvent être supprimées, endommagées ou rendues inaccessibles.
• Un vol ou une fuite de données : des données personnelles ou sensibles peuvent être dérobées et exposées, avec un risque d’atteinte à la vie privée des administrés ou des agents.
• Des conséquences financières : la remise en état des systèmes, l’intervention d’experts ou l’interruption de certaines activités peuvent générer des coûts importants.
• Des conséquences humaines et organisationnelles : les agents peuvent être confrontés à une forte désorganisation et à une augmentation importante de leur charge de travail.
• Une atteinte à l’image et à la confiance : une cyberattaque peut fragiliser la confiance des citoyens envers leur collectivité et sa capacité à assurer la protection de leurs informations.

La protection des données et la sécurité des systèmes informatiques constituent donc une responsabilité essentielle pour les collectivités. Au-delà de la protection informatique, il s’agit de garantir une véritable confiance numérique aux usagers et de préserver la continuité des services publics.

Qui est responsable en cas de piratage ?

Lorsqu’une cyberattaque survient, plusieurs acteurs peuvent être impliqués. Il est toutefois important de distinguer l’auteur de l’attaque des personnes ou organisations pouvant voir leur responsabilité engagée.

Le principal responsable de l’attaque est le cybercriminel ou le hacker qui cherche à exploiter une faille, obtenir des informations ou perturber le fonctionnement de la collectivité. L’attaque peut également être facilitée par une erreur humaine, une mauvaise configuration ou une faille de sécurité.

Du côté de la collectivité, la responsabilité peut dépendre des circonstances. Elle doit notamment prendre les mesures nécessaires pour assurer la sécurité informatique, protéger les données personnelles et mettre en place des mesures de protection des données adaptées.

Les prestataires informatiques peuvent également avoir des obligations, notamment lorsque leur intervention ou une défaillance dans les services prévus au contrat contribue à l’incident. Leur responsabilité dépend alors notamment des engagements définis dans le contrat.

Enfin, en cas de violation de données personnelles, la collectivité peut avoir des obligations au titre du RGPD, notamment en matière de protection et, selon la situation, de notification de l’incident.

L’objectif n’est donc pas seulement d’identifier « qui a attaqué », mais aussi de déterminer comment l’attaque a été rendue possible et quelles mesures doivent être prises pour éviter qu’elle ne se reproduise.

🇫🇷 Que fait l’État pour renforcer la cybersécurité des collectivités ?

Face à l’augmentation des piratages informatique visant les collectivités, l’État et les organismes publics mettent en place différents dispositifs pour renforcer la cybersécurité des collectivités, sensibiliser les agents et accompagner les structures dans la prévention et la gestion des incidents.

MonAideCyber : un diagnostic cyber gratuit pour les collectivités

Les collectivités qui souhaitent renforcer leur sécurité informatique peuvent bénéficier de MonAideCyber, un dispositif porté par l’État et l’ANSSI. Il permet de réaliser gratuitement un diagnostic de cybersécurité afin d’identifier les principales vulnérabilités d’une organisation et de déterminer les actions prioritaires à mettre en place.

Concrètement, un Aidant Cyber accompagne la collectivité lors d’un échange d’environ 1h30. À l’issue du diagnostic, la collectivité obtient des recommandations adaptées à sa situation pour améliorer sa protection informatique et réduire les risques de cyberattaque.

Ce dispositif constitue donc un bon point de départ pour les collectivités qui souhaitent faire le point sur leur niveau de sécurité et mettre en place progressivement de bonnes pratiques de cybersécurité.

Cybermois : sensibiliser les collectivités aux risques cyber

Organisé chaque année en octobre, le Cybermois est le mois européen consacré à la sensibilisation à la cybersécurité. En France, il est piloté par Cybermalveillance.gouv.fr et vise à informer les publics sur les menaces numériques et à promouvoir les bonnes pratiques de cybersécurité.

Les collectivités peuvent s’appuyer sur les nombreuses ressources mises à disposition : supports de sensibilisation, conseils pratiques, outils de communication et contenus permettant de mieux comprendre les risques et d’adopter les bons réflexes. Elles peuvent également participer au Cybermois en organisant leurs propres actions de sensibilisation auprès des agents et des usagers.

Projet de loi Résilience : renforcer la cybersécurité des collectivités

Pour mieux protéger les organisations contre les cyberattaques, l’État prépare de nouvelles règles. C’est l’objectif du projet de loi Résilience, qui vise notamment à renforcer la cybersécurité des structures publiques et de certaines collectivités.

Attention : il s’agit encore d’un projet de loi en cours d’examen. Les nouvelles règles ne s’appliquent donc pas encore à toutes les collectivités.

L’objectif est simple : faire en sorte que les collectivités soient mieux préparées face aux cyberattaques. Cela passe notamment par une meilleure protection des systèmes informatiques, une préparation aux incidents et une réaction plus rapide en cas d’attaque.

Certaines collectivités pourraient être particulièrement concernées, notamment les régions, les départements, les métropoles, certaines intercommunalités et les communes de plus de 30 000 habitants. Les obligations exactes dépendront toutefois du périmètre définitif du texte.

FAQ : Les questions fréquentes sur les cyberattaques dans les collectivités