Summary
Directive NIS2 : quelles collectivités sont concernées et quelles actions mettre en place ? Obligations, risques et accompagnement Smart by Design.
La directive européenne NIS2, adoptée en décembre 2022, constitue une mise à jour ambitieuse du cadre de cybersécurité de l’Union européenne. Elle étend largement les obligations de sécurité numérique, dans le but de renforcer la résilience des États membres face aux cybermenaces. En France, sa transposition dans le droit national a fait l’objet de discussions, notamment pour identifier les entités territoriales concernées et les obligations à respecter.
Quelles collectivités sont concernées ?
NIS2 distingue deux catégories d’entités soumises à ses obligations : les entités essentielles et les entités importantes. Le statut dépend de plusieurs critères : secteur d’activité, taille, chiffre d’affaires, effectif, rôle dans la chaîne d’approvisionnement, etc.
Voici les collectivités territoriales françaises concernées, selon leur catégorie :
- Entités essentielles :
• Régions et départements, communes de plus de 30 000 habitants.
• Communautés urbaines, métropoles ou communautés d’agglomération comprenant au moins une commune de > 30 000 habitants.
• Syndicats et établissements publics dans les secteurs critiques (ex. eau, assainissement, énergie renouvelable, bornes de recharge électrique).
• Services départementaux d’incendie et de secours (SDIS), centres de gestion, institutions inter-départementales si elles ont des activités critiques. - Entités importantes :
• Communautés d’agglomération qui ne comptent pas de commune de > 30 000 habitants.
• Communautés de communes et leurs établissements publics administratifs, si leurs activités relèvent des secteurs critiques.
• Établissements publics industriels et commerciaux ou régies dotées d’autonomie financière, dans les secteurs critiques ou remplissant des seuils de taille (effectifs, chiffre d’affaires, bilan)
Selon les estimations, ce sont environ 1 489 collectivités territoriales / EPCI qui pourraient être classées comme entités essentielles, et 992 communautés de communes en métropole ou outre-mer comme entités importantes.
Obligations & actions à mettre en place
Pour toutes les collectivités concernées, NIS2 impose un certain nombre d’actions. Voici les mesures clés à prévoir, avec une distinction selon que l’entité soit essentielle ou importante.
- Gouvernance & responsabilité
- Désigner un responsable de la cybersécurité (ex. RSSI ou équivalent) au niveau de la collectivité.
- Mettre en place une politique de sécurité des systèmes d’information (PSSI) formalisée, actualisée, couvrant toutes les dimensions de la sécurité (accès, gestion des privilèges, sauvegarde, chiffrement…).
- Intégrer la cybersécurité dans la gouvernance au plus haut niveau (direction, élus) pour garantir les ressources et la prise de décisions nécessaires.
- Gestion des risques & de la chaîne de fournisseurs (tiers)
- Identifier et évaluer régulièrement les risques cyber internes (infrastructures, personnel, logiciels, services externes).
- Assurer une gestion rigoureuse des risques relatifs aux prestataires tiers ou fournisseurs (clauses contractuelles, vérification de leurs pratiques de sécurité).
- Mesures techniques & sécurisation opérationnelle
- Mettre en place des mesures de sécurité standard : authentification forte (MFA), contrôle des accès, segmentation des réseaux, chiffrement, protection contre les malwares.
- Assurer la surveillance, détection d’incidents, journalisation (logs), audits internes/externes.
- Notification des incidents
- Déclarer les incidents de sécurité significatifs dans un délai court : souvent dans les 24h pour l’alerte, puis un rapport plus complet dans les 72h. Ces délais peuvent varier légèrement selon la transposition en droit national.
- Disposer d’un plan d’intervention et de communication en cas de crise (gestion de crise cyber).
- Continuité d’activité & résilience
- Préparer des plans de continuité d’activité (PCA) et des plans de reprise après sinistre (disaster recovery) pour limiter les perturbations en cas d’incident majeur.
- Former les personnels et élus, sensibiliser aux bonnes pratiques, culture de cybersécurité, tests périodiques (simulations, exercices).
- Documentation, audits et conformité
- Tenir une documentation rigoureuse : PSSI, procédures, registres des incidents, rapports d’audit.
- Prévoir des audits externes ou indépendants pour vérifier la conformité aux exigences (techniques, organisationnelles).
Enjeux, défis et opportunités
- Défis : manque de moyens humains et financiers, disparité de maturité entre collectivités (les plus petites peuvent être moins préparées), nécessité de mutualiser certaines compétences ou de faire appel à des expertises externes.
- Opportunités : amélioration de la confiance des usagers, meilleure résilience des services publics, modernisation des systèmes d’information, renforcement de la coopération locale et régionale dans la cyber-défense.
Conclusion
La directive NIS2 change considérablement le paysage de la cybersécurité pour les collectivités territoriales en France. Si vous faites partie des collectivités de taille moyenne ou grande, ou si vous exercez des compétences dans des secteurs critiques comme l’eau, l’assainissement, l’énergie, ou les services d’urgence, vous êtes très probablement concernés. Pour se mettre en conformité, il faudra agir à plusieurs niveaux : gouvernance, évaluations de risques, sécurisation technique, notification des incidents, continuité d’activité et sensibilisation. Anticiper ces obligations est essentiel : cela ne concerne pas seulement la conformité légale, mais la protection des services publics, des données des citoyens, et la capacité de répondre efficacement face aux cyberattaques.
Pour réussir cette mise en conformité et renforcer durablement votre résilience numérique, vous pouvez vous appuyer sur l’expertise de Smart by Design, dont les équipes disposent de certifications ISO 27001 et de l’attestation SecNumAcademie de l’ANSSI. Nous proposons également des audits cyber flash de 1h30 grâce à l’outil Mon Aide Cyber, afin d’identifier rapidement vos priorités et d’engager un plan d’action adapté à votre collectivité.