L’essentiel
- Environ une commune de moins de 25 000 habitants sur dix déclare avoir subi un incident de cybersécurité dans l’année, le plus souvent par hameçonnage.
- 77 % de ces communes consacrent moins de 2 000 € par an à leur sécurité informatique : il faut donc viser des mesures simples et peu coûteuses.
- Sept mesures concrètes suffisent à réduire fortement le risque : sauvegardes, double authentification, mises à jour, comptes nominatifs, sensibilisation, plan de réaction et contrat de maintenance.
- Le nouveau baromètre de Cybermalveillance.gouv.fr sera présenté au Congrès des maires, du 24 au 26 novembre 2026.
Une petite mairie gère des données sensibles : état civil, listes électorales, urbanisme, facturation de la cantine, courriers des administrés. Elle dépend aussi de quelques outils numériques dont l’arrêt paralyse tout le secrétariat : messagerie, logiciels métiers, site internet. Pourtant, la plupart des communes rurales fonctionnent avec une secrétaire de mairie, un ordinateur ou deux, et aucun informaticien.
La bonne nouvelle : l’essentiel de la protection ne repose ni sur un gros budget ni sur des outils complexes. Voici où en sont les communes, ce que prévoit la réglementation, et sept mesures à mettre en place d’ici la fin de l’année.
Où en sont les petites communes ?
Depuis 2022, Cybermalveillance.gouv.fr interroge chaque année les élus et agents des communes de moins de 25 000 habitants, soit 99 % des communes françaises. La dernière édition publiée, réalisée par OpinionWay auprès de 1 710 répondants (dont 72 % issus de communes de 1 000 habitants ou moins), dresse un constat préoccupant :
- environ une commune sur dix a connu un incident de sécurité dans l’année, en premier lieu de l’hameçonnage ;
- 45 % des communes touchées ne savent pas identifier la cause de l’incident ;
- 54 % se disent non préparées à une cyberattaque, et environ la moitié n’a aucun plan de reprise d’activité ;
- 77 % dépensent moins de 2 000 € par an pour leur sécurité informatique ;
- la double authentification n’est déployée que dans 11 % des communes.
La quatrième édition de l’enquête s’est clôturée le 4 octobre 2026. Ses résultats seront dévoilés lors du 108e Congrès des maires, du 24 au 26 novembre à Paris. L’été 2026 a par ailleurs été marqué par une série d’attaques visant des organismes publics, dont un vol de données à la DGFiP : le sujet n’a rien de théorique.
NIS2 : votre commune est-elle concernée ?
La directive européenne NIS2 renforce les obligations de cybersécurité de nombreuses organisations, dont certaines collectivités. En France, sa transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le texte devait être examiné à l’Assemblée nationale début octobre 2026, mais son examen a de nouveau été reporté le 6 octobre, sans nouvelle date à ce jour. Les obligations NIS2 ne sont donc pas encore applicables en droit français.
Le projet de loi vise notamment les départements ainsi que les communes et groupements de communes de plus de 30 000 habitants. Une commune rurale ne sera donc pas directement soumise à NIS2. Mais elle reste exposée aux mêmes attaques, elle reste responsable des données personnelles qu’elle traite au titre du RGPD, et son intercommunalité ou ses partenaires pourront lui demander des garanties. Autant prendre les bonnes habitudes dès maintenant.
Les 7 mesures à prendre avant la fin de l’année
1. Mettre en place des sauvegardes réellement exploitables
Un rançongiciel chiffre les fichiers du poste et ceux de tous les disques connectés, y compris le disque de sauvegarde branché en permanence. Appliquez la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne ou hors site (disque débranché après la sauvegarde, ou sauvegarde externalisée chez un prestataire). Vérifiez avec votre éditeur que les bases des logiciels métiers (état civil, comptabilité, élections) sont bien incluses, et testez une restauration au moins une fois par trimestre : une sauvegarde jamais testée n’est qu’une hypothèse.
2. Activer la double authentification sur la messagerie
La messagerie est la porte d’entrée la plus attaquée. Un mot de passe volé par hameçonnage suffit à usurper l’adresse de la mairie et à envoyer de fausses factures ou de faux RIB aux fournisseurs. La double authentification (code sur téléphone ou application) bloque la grande majorité de ces intrusions. Elle est disponible gratuitement chez tous les fournisseurs courants : c’est la mesure la plus rentable de cette liste.
3. Tenir à jour les postes, les logiciels et le site internet
Les failles connues et non corrigées sont exploitées automatiquement par des robots. Activez les mises à jour automatiques de Windows et du navigateur, remplacez les postes qui ne sont plus pris en charge, et n’oubliez pas le site internet. Un site sous WordPress dont les extensions ne sont plus mises à jour depuis des mois est une cible facile : en 2023, une trentaine de sites de communes avaient ainsi été défigurés par un message pro-russe, alors que leurs gestionnaires avaient été prévenus du retard de mises à jour. Si personne ne s’en occupe en interne, confiez la maintenance et la sécurité du site à un prestataire, avec un engagement écrit.
4. Créer des comptes nominatifs et retirer les accès inutiles
Un compte « mairie » partagé entre la secrétaire, le maire, les adjoints et un ancien stagiaire ne permet ni de savoir qui a fait quoi, ni de couper un accès proprement. Créez un compte par personne, avec des droits adaptés : un élu n’a pas besoin des droits d’administrateur. Après les élections municipales de 2026, faites l’inventaire des accès (messagerie, site, plateformes de l’État, banque) et supprimez ceux des anciens élus et agents. Utilisez un gestionnaire de mots de passe plutôt qu’un carnet ou un fichier Excel.
5. Sensibiliser élus et agents à l’hameçonnage
L’hameçonnage reste la première cause d’incident déclarée par les communes. Une heure de sensibilisation, avec des exemples concrets (faux courriel de la DGFiP, fausse facture d’un fournisseur, faux colis), change réellement les réflexes. Cybermalveillance.gouv.fr met à disposition gratuitement un kit de sensibilisation, des fiches pratiques et le module SenCyCrise pour s’entraîner à la gestion de crise. Une règle simple à afficher près des postes : tout changement de RIB ou toute demande urgente de paiement se vérifie par téléphone, à un numéro connu.
6. Écrire un plan de réaction d’une page
Seules 22 % des communes disposent d’une procédure de réaction formalisée. Pourtant, une simple page suffit : qui prévenir, dans quel ordre, avec quels numéros, et quels gestes faire (débrancher le poste du réseau sans l’éteindre, ne pas payer de rançon, conserver les traces). Imprimez-la : si le réseau est chiffré, le document stocké sur le serveur sera inaccessible.
Qui appeler en cas d’attaque
17Cyber (cybermalveillance.gouv.fr/17cyber) : le guichet national d’assistance, qui oriente vers le CSIRT régional et des prestataires de proximité. Les communes des Landes relèvent du CSIRT Nouvelle-Aquitaine, celles du Gers du CSIRT Occitanie. Prévenez ensuite votre prestataire informatique, votre hébergeur et votre assureur. Déposez plainte auprès de la gendarmerie ou de la police. Si des données personnelles sont touchées, la CNIL doit être notifiée dans les 72 heures.
7. Formaliser un contrat de maintenance avec votre prestataire et votre hébergeur
Dans la moitié des communes, la sécurité est confiée à un prestataire extérieur. Encore faut-il que le contrat dise clairement qui fait quoi : fréquence des mises à jour, emplacement et durée de conservation des sauvegardes, surveillance, délai d’intervention en cas d’incident, et restitution des données en fin de contrat. Pour le site internet, vérifiez que l’hébergeur est situé dans l’Union européenne, que le certificat HTTPS est renouvelé automatiquement et que les sauvegardes sont stockées en dehors du serveur.
Check-list : où en est votre commune ?
| Mesure | Coût indicatif | Délai de mise en place |
|---|---|---|
| Sauvegarde 3-2-1 testée | Un disque externe ou un service de sauvegarde en ligne | 1 journée |
| Double authentification messagerie | Gratuit | 1 heure |
| Mises à jour postes et site | Gratuit en interne, ou contrat de maintenance | Continu |
| Comptes nominatifs et inventaire des accès | Gratuit | 1 demi-journée |
| Sensibilisation à l’hameçonnage | Kit gratuit Cybermalveillance.gouv.fr | 1 heure par an |
| Plan de réaction imprimé | Gratuit | 2 heures |
| Contrat de maintenance clair | Selon le périmètre | À la prochaine échéance |
Les aides disponibles pour les communes
Plusieurs dispositifs publics permettent d’avancer sans gros budget :
- Cybermalveillance.gouv.fr : guides, kit de sensibilisation, annuaire de prestataires labellisés ExpertCyber.
- MonAideCyber, porté par l’ANSSI : un diagnostic gratuit réalisé par un « aidant » bénévole, suivi de recommandations prioritaires.
- Les CSIRT régionaux (Nouvelle-Aquitaine et Occitanie pour nos deux départements) : une assistance gratuite de premier niveau en cas d’incident.
- Le centre de gestion et l’intercommunalité : certains proposent des achats groupés de sauvegarde, de messagerie ou de maintenance, souvent plus économiques qu’une démarche isolée.
Le site internet de la mairie, un point souvent oublié
Le site communal est la vitrine de la commune et, souvent, le premier canal d’information des habitants. S’il est défiguré ou infecté, c’est la confiance des administrés qui est atteinte, et Google peut afficher un avertissement de sécurité aux visiteurs. Un site de mairie bien conçu repose sur un CMS tenu à jour, peu d’extensions, des comptes administrateurs nominatifs protégés par double authentification, des sauvegardes externalisées et un hébergement européen.
C’est l’approche que nous appliquons dans notre accompagnement numérique des communes, notamment pour les sites de Pouydesseaux et de Betbezer-d’Armagnac en cours de réalisation : sécurité intégrée dès la conception, maintenance assurée ensuite, et un interlocuteur unique pour la secrétaire de mairie.
En résumé
La cybersécurité d’une petite commune ne se joue pas sur des outils coûteux, mais sur quelques gestes appliqués avec régularité. Commencez par les deux mesures les plus rapides, la double authentification et la vérification des sauvegardes, puis planifiez les autres d’ici la fin de l’année. Avant le Congrès des maires, prenez une heure pour faire le point avec votre secrétaire de mairie à l’aide de la check-list ci-dessus : c’est le meilleur investissement de l’hiver.
