NIS2 et loi de résilience : ce qui attend les communes et les EPCI

Par Rédaction E.T Editalent, publié le 2026-09-04.

Contenu partiellement rédigé par l’IA.

Illustration : NIS2 et loi de résilience : ce qui attend les communes et les EPCI

La directive européenne NIS2 devait être transposée avant le 17 octobre 2024. La France, comme une large majorité d'États membres, a manqué l'échéance. La transposition passe par un projet de loi dit de résilience, qui regroupe trois textes européens : NIS2 sur la cybersécurité, DORA sur le secteur financier et REC sur la résilience des entités critiques. À l'été 2026, la loi n'était pas encore pleinement applicable. Le périmètre, lui, est connu.

Qui entre dans le champ, côté collectivités

Le projet de texte vise notamment :

  • les communes au-delà d'un seuil de population, généralement présenté autour de 30 000 habitants ;
  • les établissements publics de coopération intercommunale ;
  • les départements et les régions ;
  • ainsi que de nombreux opérateurs de services publics locaux : eau, assainissement, déchets, transports, énergie.

Une petite commune non visée directement reste concernée par ricochet : elle est souvent membre d'un EPCI assujetti, cliente d'un syndicat mixte informatique, ou fournisseur de données à une entité régulée. Les exigences descendent par la chaîne contractuelle.

Les obligations à anticiper

Elles se regroupent en quatre blocs, tous connus à l'avance quel que soit le contenu final du décret.

1. Gouvernance et responsabilité. Désignation d'un responsable de la sécurité des systèmes d'information, implication formelle de l'organe de direction, formation des dirigeants. Le point neuf pour les collectivités : la responsabilité remonte au niveau politique et administratif le plus élevé.

2. Gestion des risques. Analyse de risques documentée, politique de sécurité écrite, gestion des accès, chiffrement, sauvegardes, continuité d'activité, sécurité de la chaîne d'approvisionnement.

3. Notification des incidents. Signalement dans des délais courts à l'autorité compétente, avec une alerte précoce puis un rapport plus complet. C'est l'obligation la plus exigeante en pratique, car elle suppose de détecter l'incident, donc de journaliser et de surveiller.

4. Contrôle et sanctions. L'ANSSI disposera de pouvoirs de contrôle. Le régime de sanctions distingue entités essentielles et entités importantes.

Ce qu'il faut faire sans attendre le décret

Le calendrier a glissé plusieurs fois, ce qui a nourri l'attentisme. C'est un mauvais calcul : les mesures les plus coûteuses en temps ne dépendent pas du texte final.

  1. Cartographier le système d'information. Applications, serveurs, hébergeurs, prestataires, données traitées. Sans cette carte, aucune analyse de risques n'est possible, et elle prend plusieurs mois dans une collectivité moyenne.
  2. Généraliser l'authentification à deux facteurs. Mesure de loin la plus rentable, indépendante de toute réglementation.
  3. Reprendre les contrats de prestataires. Clauses de sécurité, de notification d'incident, de réversibilité et de localisation des données. Les contrats se renégocient à leur échéance : anticiper évite d'attendre trois ans.
  4. Tester une restauration de sauvegarde, en conditions réelles, avec un chronomètre.
  5. Écrire la procédure de notification d'incident : qui décide, qui rédige, à qui l'on envoie, sous quel délai.

Le coût de l'inaction, documenté

Depuis 2019, plusieurs dizaines de communes et d'EPCI ont subi une attaque par rançongiciel en France. Les cas de La Rochelle, Caen ou Versailles ont montré des retours à la normale qui se comptent en semaines, avec un basculement en mode papier pour l'état civil et l'urbanisme. Le coût complet d'une attaque pour une commune touchée, remise en état, pertes d'exploitation et accompagnement compris, se chiffre couramment en centaines de milliers d'euros et peut dépasser le million.

Rapportée à ces montants, la mise en conformité est un investissement, pas une charge.

FAQ

Ma commune de 8 000 habitants est-elle concernée ?

Probablement pas directement au titre du seuil, mais oui indirectement si elle est membre d'un EPCI assujetti ou si elle exploite un service public visé. Et les bonnes pratiques exigées ne dépendent pas de la taille.

Faut-il recruter un responsable sécurité ?

Pas nécessairement en interne. La mutualisation au niveau de l'intercommunalité, du syndicat informatique départemental ou du centre de gestion est la voie la plus réaliste pour les collectivités moyennes.

Que risque-t-on concrètement ?

Au-delà des sanctions prévues par le texte, le risque immédiat reste opérationnel : l'arrêt des services à la population, et la mise en cause de la responsabilité de la collectivité sur la protection des données de ses administrés.

Sources

E.T Editalent aide les collectivités à produire une documentation lisible et conforme, des procédures internes aux notes d'information destinées aux élus et aux habitants.

Retour au blog