Collectivité — NIS2 : sécuriser des services aux moyens limités

De quoi parle NIS2 ?

NIS2 laisse aux États une marge sur l’inclusion des entités locales. Indépendamment de la qualification, les collectivités sont très exposées aux rançongiciels, avec un impact direct sur les usagers (état civil, services).

Les mesures de l’article 21 fournissent un socle de sécurité utile même hors périmètre strict.

Le secteur « Collectivité » est-il concerné ?

Les collectivités concernées selon la transposition et la taille doivent appliquer les mesures ; les autres ont tout intérêt à s’en inspirer.

La mutualisation (RSSI mutualisé, outils partagés) est souvent la seule voie réaliste.

Obligations détaillées

Sanctions & risques

Le régime dépend de la transposition ; l’impact d’un rançongiciel sur les usagers est immédiat et très visible, ce qui fait de la sécurité un enjeu politique local.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours ; périmètre des collectivités à confirmer.

Erreurs fréquentes dans le secteur

• 1Sauvegardes non testées. Disposer de sauvegardes jamais éprouvées.
• 2MFA absente. Ne pas généraliser l’authentification multifacteur.
• 3Prestataires non encadrés. Laisser les éditeurs métiers sans exigences.
• 4Pas de mutualisation. Rester isolé face à des moyens limités.

Cas pratique

Une commune subit un rançongiciel bloquant l’état civil. Faute de sauvegardes testées, la reprise est longue. La démarche NIS2 consiste à généraliser MFA et sauvegardes testées, à préparer la continuité et à mutualiser un RSSI avec l’intercommunalité.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer l’inclusion selon transposition et taille.

2. 2

   Sécuriser. Déployer les mesures prioritaires (MFA, sauvegardes).

3. 3

   Continuité. Préparer la reprise des services essentiels.

4. 4

   Mutualiser. Partager les moyens.

5. 5

   Notifier. Outiller l’alerte.

Questions fréquentes