NIS 2 dans les collectivités : par où commencer ?

NIS 2 pousse les organisations publiques à structurer leur cybersécurité avec une logique de responsabilité, de continuité et de pilotage des risques. Pour une collectivité, le sujet peut sembler très vaste : systèmes métiers, réseaux, hébergement, sauvegardes, prestataires, équipements connectés, bâtiments publics, écoles, vidéoprotection, gestion financière, état civil ou services aux administrés. Pourtant, le bon point de départ consiste rarement à acheter un nouvel outil. Il consiste d'abord à rendre visible l'existant.

La directive NIS 2 renforce les exigences de cybersécurité applicables à de nombreuses organisations essentielles ou importantes. Même lorsque le périmètre exact dépend des textes nationaux de transposition, les collectivités ont intérêt à anticiper. Les attaques qui touchent les communes, intercommunalités et opérateurs publics ne sont plus des scénarios théoriques : indisponibilité de services, chiffrement de serveurs, fuite de données, interruption de téléphonie, blocage de logiciels métiers ou arrêt temporaire de démarches administratives.

L'objectif n'est donc pas seulement réglementaire. Il s'agit de garantir la continuité des services publics, de protéger les données des usagers et de donner aux élus comme aux agents une capacité de décision claire en cas d'incident. Une démarche NIS 2 utile doit être progressive, compréhensible et proportionnée aux moyens de la collectivité.

Commencer par cartographier ce qui compte vraiment

Avant de parler solutions, il faut identifier les services critiques. Quels processus doivent absolument fonctionner ? Quels logiciels les supportent ? Où sont hébergées les données ? Qui administre les serveurs ? Quels prestataires interviennent ? Quels liens existent entre le système d'information administratif, les équipements techniques, les accès distants, les postes agents et les services externalisés ?

Cette cartographie n'a pas besoin d'être parfaite dès le premier mois. Elle doit surtout permettre de distinguer les actifs essentiels des éléments secondaires. Une commune peut commencer par lister les applications indispensables à l'état civil, aux finances, aux ressources humaines, à la messagerie, à la téléphonie, aux sauvegardes et aux accès internet. Une intercommunalité ajoutera souvent des enjeux de mutualisation, de réseaux multi-sites, de supervision technique ou de services aux communes membres.

Le livrable attendu doit rester opérationnel : un tableau des services, des responsables, des dépendances techniques, des prestataires et du niveau de criticité. Cette base devient ensuite le support des arbitrages. Sans cartographie, les décisions cyber reposent sur des impressions. Avec une cartographie, il devient possible de prioriser.

Prioriser les risques plutôt que vouloir tout traiter

Une erreur fréquente consiste à lancer trop d'actions en même temps. La cybersécurité devient alors une suite de chantiers dispersés, difficiles à financer et impossibles à piloter. NIS 2 invite au contraire à adopter une logique de gestion des risques. Pour chaque service critique, il faut se demander ce qui se passerait en cas d'indisponibilité, de perte de données, d'accès non autorisé ou de compromission d'un prestataire.

Cette lecture par impact métier aide à hiérarchiser les efforts. Un outil peu exposé mais très critique peut nécessiter des mesures fortes. Un service moins critique mais accessible depuis internet peut aussi devenir prioritaire s'il présente une vulnérabilité évidente. La priorité ne dépend donc pas uniquement de la technologie, mais du croisement entre exposition, impact et capacité de récupération.

Pour rester pragmatique, nous recommandons de classer les risques en trois niveaux : immédiats, importants et à planifier. Les risques immédiats sont ceux qui peuvent provoquer une interruption majeure ou une fuite de données à court terme. Les risques importants doivent être intégrés à un plan annuel. Les risques à planifier peuvent être traités dans le cadre de renouvellements, de marchés ou de projets de modernisation.

Une trajectoire en cinq étapes

• Cartographier les services critiques, les dépendances techniques et les prestataires clés.
• Prioriser les risques selon leur impact métier : disponibilité, données, continuité de service.
• Sécuriser les fondamentaux : sauvegardes, comptes privilégiés, mises à jour, segmentation réseau.
• Documenter les procédures d'incident et les responsabilités internes.
• Sensibiliser les équipes avec des actions régulières, courtes et mesurables.

Sécuriser les fondamentaux avant les dispositifs avancés

Les collectivités sont souvent sollicitées sur des solutions avancées : supervision, détection, audits automatisés, plateformes de conformité ou outils de gouvernance. Ces briques peuvent être utiles, mais elles ne remplacent pas les fondamentaux. Une démarche NIS 2 solide commence par les mesures qui réduisent immédiatement le risque : sauvegardes fiables, mises à jour, gestion des comptes, mots de passe robustes, authentification multi-facteur, cloisonnement réseau et maîtrise des accès à distance.

Les sauvegardes méritent une attention particulière. Elles doivent être régulières, protégées, testées et isolées du système principal. Beaucoup d'organisations disposent de sauvegardes, mais découvrent trop tard qu'elles sont incomplètes, trop anciennes ou elles-mêmes compromises. Tester une restauration est souvent plus révélateur que produire un long document de conformité.

La gestion des comptes est un autre point critique. Les comptes administrateurs doivent être limités, nominatifs lorsque c'est possible, protégés par une authentification forte et revus régulièrement. Les comptes d'anciens agents, de prestataires ou de logiciels abandonnés constituent des portes d'entrée classiques. Les supprimer ou les encadrer est une action simple, mais très efficace.

Intégrer les prestataires dans la démarche

Une collectivité ne maîtrise jamais seule l'ensemble de son système d'information. Hébergeurs, éditeurs métiers, infogérants, mainteneurs, intégrateurs sûreté, opérateurs télécoms et fournisseurs cloud interviennent dans la continuité des services. NIS 2 renforce l'importance de cette chaîne de responsabilité. Il ne suffit plus de déléguer à un prestataire : il faut savoir ce qu'il fait, comment il sécurise ses accès et comment il intervient en cas d'incident.

Les marchés publics et contrats existants doivent donc être relus sous l'angle cyber. Les clauses doivent préciser les exigences de sécurité, les délais de notification d'incident, les modalités d'accès distant, la traçabilité, la réversibilité, la localisation des données, les engagements de sauvegarde et les responsabilités en cas de crise. Lors des renouvellements, ces éléments doivent devenir des critères de choix et non de simples annexes techniques.

Préparer la gestion de crise

La conformité ne se mesure pas seulement à la prévention. Elle se mesure aussi à la capacité de réaction. En cas de cyberattaque, qui décide de couper un accès ? Qui contacte le prestataire ? Qui informe les élus ? Qui communique avec les agents, les usagers, l'ANSSI ou les autorités compétentes ? Où se trouve la liste des contacts si la messagerie est indisponible ? Ces questions doivent être traitées avant la crise.

Un plan de réponse à incident peut rester simple au départ. Il doit définir les rôles, les scénarios prioritaires, les moyens de communication de secours, les premières actions techniques, les conditions de reprise et les règles de conservation des preuves. Un exercice court, même sous forme de réunion de simulation, permet souvent de révéler les points faibles : numéros manquants, dépendance excessive à une seule personne, absence de procédure papier ou confusion entre responsabilités politiques et techniques.

Faire de la sensibilisation un réflexe régulier

Les agents sont en première ligne. Phishing, pièces jointes malveillantes, faux messages de prestataires, demandes urgentes de virement ou usurpations d'identité ciblent autant les petites communes que les grandes administrations. La sensibilisation ne doit pas se limiter à une formation annuelle trop théorique. Elle doit être courte, régulière, concrète et adaptée aux métiers.

Une bonne approche consiste à diffuser des messages simples : vérifier une adresse expéditeur, signaler un doute, ne pas réutiliser un mot de passe, verrouiller son poste, éviter les transferts de documents sensibles vers des outils non maîtrisés, prévenir rapidement en cas d'erreur. L'objectif n'est pas de transformer chaque agent en expert cyber, mais de créer une culture de vigilance et de signalement.

Mettre en place une gouvernance lisible

NIS 2 introduit une logique de responsabilité au niveau de la direction. Pour une collectivité, cela signifie que la cybersécurité ne peut pas rester uniquement un sujet technique porté par un agent informatique ou un prestataire. Les élus, la direction générale, les responsables métiers et les référents techniques doivent partager une vision commune des risques et des priorités.

Cette gouvernance peut rester légère : un comité périodique, un tableau de bord, une liste des actions prioritaires, un suivi des incidents et des décisions formalisées. Ce cadre permet d'arbitrer les budgets, de suivre les progrès et de démontrer que la collectivité pilote réellement sa sécurité. La documentation devient alors un outil de décision, pas une contrainte administrative.

Avancer par paliers

Pour une collectivité sans DSI dimensionnée, la bonne stratégie consiste à avancer par paliers. Le premier palier vise à connaître les actifs critiques et à corriger les vulnérabilités évidentes. Le deuxième palier structure les sauvegardes, les accès, les contrats et les procédures d'incident. Le troisième palier installe une gouvernance durable, des indicateurs et une amélioration continue.

Cette progression évite l'effet tunnel. Elle permet de produire rapidement des résultats visibles, de rassurer les décideurs et de construire une trajectoire budgétaire réaliste. La conformité NIS 2 n'est pas un projet que l'on coche une fois pour toutes. C'est une manière d'organiser la résilience numérique de la collectivité dans la durée.

Notre recommandation

La conformité NIS 2 doit être pensée comme une progression maîtrisée : commencer par les risques les plus exposés, sécuriser les fondamentaux, clarifier les responsabilités, puis construire une gouvernance durable. Chez E-CONEX, nous accompagnons les collectivités dans cette démarche avec une approche pragmatique, orientée continuité de service et priorisation des actions. L'objectif n'est pas de produire une conformité théorique, mais de rendre le système d'information plus robuste, plus lisible et plus résilient face aux incidents.