Cyberattaques contre les mairies : ce que disent vraiment les chiffres et comment s’y préparer
obligations nouvelles, coûts réels, mesures utiles.

Une source fait autorité sur ce sujet : le panorama annuel de la cybermenace publié par l’agence nationale de la sécurité des systèmes d’information. L’édition portant sur 2025 a été publiée le 11 mars 2026, et ses données remplacent utilement les compilations qui circulaient jusque-là.

Le volume d’ensemble est resté stable : 2 209 signalements reçus et 1 366 incidents de sécurité traités sur l’année, contre 1 361 l’année précédente. Cette stabilité apparente masque une mutation des modes opératoires, avec une progression marquée du vol de données et un brouillage croissant entre criminalité et intérêts étatiques.

La répartition des victimes de rançongiciel mérite une lecture attentive, parce qu’elle contredit une idée reçue. Les collectivités territoriales représentaient 17 % des victimes connues en 2024 ; elles en représentent 11 % en 2025. Dans le même temps, la part des très petites entreprises, des petites et moyennes entreprises et des entreprises de taille intermédiaire est passée de 37 % à 48 %, et celle des établissements de santé de 4 % à 8 %.

L’interprétation correcte n’est pas que les mairies seraient moins visées. C’est que d’autres catégories le sont davantage, ce qui fait mécaniquement baisser une part exprimée en pourcentage. Le constat européen reste inchangé, comme le rappelle notre analyse plaçant l’administration publique parmi les premières cibles du continent. Une baisse de part ne se lit pas comme une amélioration.

L’explication tient rarement à une technique d’attaque sophistiquée. Elle tient à une accumulation de conditions ordinaires que les attaquants savent repérer à distance.

Deux portes d’entrée concentrent l’essentiel des compromissions initiales selon les analyses publiées en 2026 : les accès distants non mis à jour, en particulier les passerelles d’accès sécurisé dont les correctifs n’ont pas été appliqués, et le courriel piégé visant une personne précise. Le second point renvoie directement à notre analyse de la part considérable de courriels malveillants dans le trafic : un agent d’accueil reçoit des dizaines de messages par jour et n’a généralement reçu aucune formation dédiée.

Les délais aggravent le problème. Une vulnérabilité critique publiée peut être exploitée dans les jours qui suivent, parfois moins. Or une petite commune ne dispose ni d’une veille dédiée ni d’une personne capable d’appliquer un correctif en urgence sur un équipement réseau. Le décalage entre la publication d’une faille et son traitement se compte en semaines, quand il se compte en heures du côté attaquant.

S’y ajoutent des facteurs structurels : des sauvegardes non déconnectées du réseau, donc chiffrées en même temps que le reste ; l’absence de double authentification sur les accès distants ; des mots de passe partagés entre agents ; et une informatique souvent confiée à un prestataire unique dont la propre sécurité n’est jamais auditée.

Les montants communiqués par les collectivités victimes donnent des ordres de grandeur, avec une réserve importante : chaque estimation repose sur un périmètre différent, et les comparaisons directes sont trompeuses.

Les chiffres publiés vont d’environ cinquante-huit mille euros pour la seule réinstallation des serveurs d’une petite commune, à plusieurs centaines de milliers d’euros pour une commune moyenne, jusqu’à l’ordre du million d’euros pour une grande métropole. À ces montants s’ajoute la mobilisation humaine, régulièrement chiffrée à l’équivalent de deux personnes à temps plein pendant plusieurs mois, qui n’apparaît dans aucune facture.

Trois postes sont systématiquement sous-estimés. La reconstruction du système d’information, souvent plus coûteuse que sa remise en service, parce qu’il faut le refaire proprement plutôt que restaurer l’existant. La perte définitive de données, lorsque les sauvegardes étaient elles-mêmes accessibles depuis le réseau. Et les obligations déclenchées par la fuite de données personnelles, notification à l’autorité de contrôle et information des personnes concernées, avec le risque contentieux associé.

Un coût plus discret mérite d’être nommé : l’usure des équipes. Une attaque impose des semaines de travail en mode dégradé, sous pression, avec des administrés mécontents en face. Plusieurs collectivités ont signalé des arrêts de travail et des départs dans les mois suivants, effet rarement anticipé dans les plans de reprise.

C’est la nouveauté majeure depuis la première version de ce texte. La cybersécurité des collectivités quitte le registre de la bonne pratique pour entrer dans celui de l’obligation légale.

La directive européenne sur la sécurité des réseaux et des systèmes d’information, dite NIS 2, est transposée en France par un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose simultanément trois textes européens. Adopté par le Sénat en mars 2025, son examen à l’Assemblée nationale a été reporté à plusieurs reprises au cours de 2026. La promulgation puis les décrets d’application restaient attendus, avec des premiers contrôles évoqués pour 2027.

Le point décisif pour les collectivités tient au périmètre retenu. La France a fait le choix, ouvert par la directive, d’inclure les collectivités territoriales : régions, départements, communes de plus de trente mille habitants et leurs groupements. Environ quinze mille entités seraient concernées tous secteurs confondus, avec des sanctions pouvant atteindre dix millions d’euros ou un pourcentage du chiffre d’affaires selon la catégorie.

L’agence nationale n’a pas attendu le vote. Elle a publié le 17 mars 2026 un référentiel traduisant les obligations en objectifs de sécurité concrets, une vingtaine pour les entités les plus critiques et une quinzaine pour les autres. Ce document n’est pas encore contraignant, mais il constitue déjà la référence de préparation. Le mouvement rejoint celui décrit dans notre article sur les nouvelles règles préparées par la CNIL : documenter ce que l’on fait devient aussi important que le faire.

Un obstacle non technique freine la prise de conscience collective : beaucoup de collectivités touchées choisissent de ne pas communiquer, et certaines paient sans le dire.

Les raisons sont compréhensibles. Un élu redoute l’exploitation politique de l’incident, la mise en cause de sa gestion, et l’inquiétude des administrés sur leurs données. Des responsables associatifs du secteur rapportent des cas où l’information n’a pas circulé alors même que la mairie avait fermé au public et perdu l’essentiel de ses données.

Le coût de ce silence est collectif. Il empêche les communes voisines d’apprendre du mode opératoire, fausse les statistiques sur lesquelles se calibrent les politiques publiques, et laisse chaque victime affronter seule une situation que d’autres ont déjà vécue. Il alimente aussi le modèle économique des attaquants : un paiement discret confirme la rentabilité de la cible.

Une évolution mérite d’être notée. Plusieurs collectivités ont fait le choix inverse ces deux dernières années, en publiant des comptes rendus détaillés de l’incident, de sa chronologie et des mesures prises. Ces retours d’expérience constituent aujourd’hui la documentation la plus utile pour les communes voisines, bien davantage que les guides généraux, parce qu’ils décrivent des contraintes budgétaires et humaines comparables aux leurs.

Un cadre existe pourtant. La notification à l’autorité de protection des données est obligatoire en cas de violation présentant un risque pour les personnes, et les obligations de signalement se renforceront avec le nouveau cadre réglementaire. Communiquer n’est pas un aveu de faiblesse : c’est de plus en plus une obligation, et c’est déjà une contribution à la défense des autres.