Dans l’immense majorité des communes françaises – celles de moins de 3500 habitants, représentant 91% du territoire – la cybersécurité est traitée à la marge. Et quand elle est traitée, elle repose bien souvent sur une ou deux personnes. Un fonctionnement compréhensible au regard des moyens disponibles, mais qui révèle sa faiblesse au moindre incident, qui pourtant arrivent de plus en plus fréquemment : dans les collectivités, près d’un tiers des événements cyber signalés à l’ANSSI en 2024 concernent des compromissions de messageries. Une simple boîte mail prise pour cible peut mettre hors service l’état civil, la petite enfance ou l’action sociale.
Les chiffres soulignent cette vulnérabilité. 58% des petites communes ne disposent pas de référent cybersécurité, selon les données consolidées par le ministère de l’Intérieur en 2024. La gestion d’un incident repose donc sur une disponibilité humaine limitée, sans véritable relais en interne. Beaucoup tentent de compenser en s’appuyant sur un prestataire extérieur ; 64% externalisent l’ensemble de leur informatique. Une organisation pragmatique, qui permet de tenir le quotidien, mais qui laisse parfois un vide dans les moments critiques. Sans personne capable de comprendre les alertes, de coordonner les actions ou de prendre les premières décisions, la commune reste, de fait, seule face à l’attaque.
Dans ces conditions, la cybersécurité n’est pas qu’une question d’outils ou de procédures. C’est une question d’accompagnement. Le jour où un compte est compromis, il faut une équipe autour de la collectivité, pas seulement un interlocuteur ponctuel. Et c’est justement cette logique de soutien, plus que le niveau d’équipement, qui fait aujourd’hui la différence entre une attaque contenue… et une collectivité isolée.
La cybersécurité est largement sous-estimée dans des organisations éclatées
Si les communes abordent encore la cybersécurité avec distance, c’est souvent parce qu’elles imaginent disposer d’un système simple. La réalité est tout autre. « Une collectivité, ce n’est pas un bloc unique, mais une multitude de points à protéger : mairie, CCAS, petite enfance, services techniques », rappelle Benoît Grunemwald, directeur des Affaires Publiques de l’éditeur ESET. Dans un tel environnement, la moindre intrusion peut alors désorganiser plusieurs services à la fois.
Ce décalage entre perception et réalité est l’un des principaux obstacles. En 2022, 65% des communes estimaient que le risque numérique était faible ou inexistant. Si la prise de conscience progresse, ils illustrent toutefois une situation bien réelle. Beaucoup pensent « ne pas intéresser les attaquants ». Le réflexe est compréhensible pour des collectivités déjà très sollicitées, mais il favorise aussi des pratiques risquées, comme l’usage d’outils personnels par les élus ou le partage régulier de mots de passe entre agents faute d’encadrement clair.
La préparation suit la même logique. Deux tiers des élus et agents n’ont jamais été sensibilisés aux risques numériques, et plus de la moitié des personnes qui « gèrent » l’informatique ne sont pas formées. Les chiffres du ministère de l’Intérieur le confirment : 42% des communes n’ont pas de délégué à la protection des données et 75% n’ont aucun plan de gestion de crise. C’est ce qui peut expliquer certains angles morts : des comptes oubliés qui restent actifs, des sauvegardes non vérifiées ou des accès qui circulent sans contrôle.
Mais là aussi, les lignes bougent. En 2024, la gendarmerie nationale a sensibilisé 6 056 élus locaux et nationaux, signe que les actions de terrain se multiplient et que les communes ne sont plus seules face au défi. Dans un système aussi dispersé, cette montée en compétences progressive est devenue indispensable : sans elle, une simple faille continue de se transformer en blocage général.
Sortir de l’isolement : un accompagnement continu plutôt qu’un outil supplémentaire
Il n’existe évidemment aucune formule magique. Alors beaucoup de communes renforcent leurs mots de passe, installent un antivirus récent ou mettent à jour leurs logiciels métiers. Autant de gestes bien intentionnés, mais insuffisants pour combler l’essentiel : un relais capable de surveiller, d’alerter et d’agir en continu. L’enjeu n’est plus d’ajouter un outil, mais de ne plus affronter un incident, seules. D’autant que la plupart font déjà au mieux avec les ressources dont elles disposent.
Les services managés apportent ce maillon manquant. Ils offrent un accompagnement permanent, simple à déployer et accessible financièrement, parfois même au coût par poste. Pas d’infrastructure à installer, pas de projet lourd à piloter : la commune garde la maîtrise tout en s’appuyant sur des experts familiers des réalités territoriales. « Grâce à cette complémentarité entre une vision globale et une présence locale, on peut aller au plus près de la connaissance du client et de sa protection réelle », explique Benoît Grunemwald. Cette continuité transforme la gestion des incidents. L’agent local n’est plus seul pour répondre et le partenaire devient un appui quotidien, pas un prestataire ponctuel.
Ce soutien crée aussi des bénéfices tangibles : une visibilité plus claire sur les dépenses, une capacité à documenter un incident, et un niveau de conformité renforcé face aux obligations qui s’imposent progressivement aux collectivités. La sécurité ne devient plus un « problème informatique », mais un enjeu collectif appuyé par des spécialistes capables d’assurer la surveillance, la remédiation et la montée en compétences.
Parce que les communes sont aujourd’hui exposées au même niveau que les autres organisations, cette logique d’accompagnement marque une évolution décisive : elle permet de passer d’une réaction solitaire à une résilience construite.
