Cyberattaque en mairie : le protocole de communication des vingt-quatre premières heures

Par Rédaction E.T Editalent, publié le 2026-09-04.

Contenu partiellement rédigé par l’IA.

Illustration : Cyberattaque en mairie : le protocole de communication des vingt-quatre premières heures

Une commune attaquée perd d'abord ses outils, puis sa parole. Les retours d'expérience des collectivités touchées ces dernières années convergent : les serveurs se remontent en quelques semaines, la confiance des habitants se reconstruit en quelques mois. Ce qui fait la différence, c'est la qualité de la communication dans les vingt-quatre premières heures.

Voici un protocole utilisable tel quel, y compris dans une mairie sans service communication.

Heure zéro : les quatre décisions à prendre tout de suite

  1. Constituer une cellule restreinte : maire ou adjoint délégué, directeur général des services, référent informatique, référent communication. Quatre personnes, pas dix.
  2. Désigner une voix unique. Un seul porte-parole, un seul canal de publication officiel. Les prises de parole parallèles d'élus sur les réseaux sociaux sont la première source de contradiction.
  3. Ouvrir un canal de secours. Si le site et la messagerie de la commune sont hors service, il faut un canal préexistant : page hébergée ailleurs, compte réseau social, affichage physique en mairie, relais par la préfecture et la presse locale.
  4. Horodater tout. Chaque constat, chaque décision, chaque publication. Ce journal servira au CERT-FR, à l'assureur, à la CNIL et, le cas échéant, à la justice.

Les vingt-quatre premières heures : que dire quand on ne sait pas encore

C'est le piège classique. Deux erreurs symétriques guettent : le silence, qui laisse la rumeur occuper le terrain, et la promesse prématurée, qui devra être démentie.

La formulation utile tient en quatre temps :

  • Ce qui est certain : « Les services informatiques de la commune sont indisponibles depuis ce matin. »
  • Ce qui est fait : « Les systèmes ont été isolés, un signalement a été effectué auprès des autorités compétentes, une plainte est déposée. »
  • Ce qui n'est pas encore établi : « À ce stade, nous ne sommes pas en mesure de dire si des données personnelles ont été consultées. Nous le dirons dès que ce sera établi. »
  • Ce que l'habitant doit faire : les démarches maintenues, les guichets ouverts, le numéro à appeler, la vigilance sur les messages frauduleux.

Ne jamais écrire « aucune donnée n'a été volée » avant l'analyse. Cette phrase, démentie huit jours plus tard, coûte plus cher que l'attaque.

La continuité du service, expliquée simplement

Les habitants se moquent de l'architecture réseau. Ils veulent savoir si l'état civil délivre encore des actes, si la cantine fonctionne, si le permis de construire déposé la semaine dernière existe toujours.

Un tableau publié dès le premier jour, mis à jour quotidiennement, règle 80 % des appels : service, état, solution de repli, délai estimé.

Ce qu'exige le droit

  • Notification à la CNIL en cas de violation de données à caractère personnel, dans les 72 heures après en avoir pris connaissance.
  • Information des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
  • Signalement au CERT-FR et dépôt de plainte.

Ces obligations sont aussi des arguments de communication : dire qu'on les a remplies, avec les dates, démontre le sérieux de la gestion mieux que n'importe quelle formule rassurante.

L'après : trois semaines qui comptent autant

  • Un point d'étape hebdomadaire, même bref, même sans nouveauté. L'absence de nouvelles est interprétée comme une dissimulation.
  • Un retour d'expérience public devant le conseil municipal, avec ce qui a échoué et ce qui est corrigé. C'est l'exercice le plus redouté et le plus payant.
  • Une vigilance prolongée contre l'hameçonnage : après une fuite, les habitants reçoivent des messages usurpant l'identité de la mairie. Un rappel régulier sur les canaux officiels s'impose.

Le kit à préparer avant l'attaque

À constituer aujourd'hui, à imprimer et à ranger dans un classeur physique :

  • Liste des membres de la cellule de crise avec numéros personnels
  • Coordonnées du CERT-FR, de la préfecture, de l'assureur, du prestataire informatique
  • Trois messages types : premier communiqué, mise à jour, information sur les données personnelles
  • Accès au canal de secours, testé, avec identifiants conservés hors du système d'information
  • Liste des services et de leur mode dégradé
  • Modèle de journal d'incident horodaté

Un exercice d'une demi-journée par an suffit à rendre ce kit opérationnel.

FAQ

Faut-il communiquer publiquement sur une cyberattaque ?

Oui. L'information finit toujours par sortir, par les agents, les usagers ou les attaquants eux-mêmes. La collectivité qui parle la première garde la maîtrise du récit.

Peut-on donner des détails techniques ?

Non pendant l'incident. Décrire le mode opératoire ou l'état des correctifs renseigne l'attaquant. Un retour d'expérience détaillé peut venir après la remise en état.

Qui prévient les administrés dont les données ont fuité ?

Le responsable du traitement, c'est-à-dire la collectivité lorsqu'il s'agit de ses propres fichiers. L'information doit être directe, en langage clair, avec les mesures à prendre.

Sources

E.T Editalent permet de préparer, corriger et décliner en quelques minutes les messages d'une cellule de crise municipale, du communiqué au message aux habitants.

Retour au blog