La directive NIS2 collectivités suscite beaucoup de questions dans les mairies, les intercommunalités et les conseils départementaux. Environ 2 481 entités publiques entrent dans son périmètre selon l’ANSSI, dont 1 489 classées essentielles et 992 classées importantes. Pourtant, beaucoup d’élus et de directeurs généraux des services ignorent encore si leur structure figure parmi elles, et encore moins par où commencer.
Ma commune est-elle concernée par NIS2 ?
La directive européenne NIS2 introduit deux catégories d’entités régulées : les entités essentielles et les entités importantes. En France, elle n’est pas encore transposée. Le projet de loi « Résilience », qui la transpose, a été adopté par le Sénat en mars 2025 et est examiné par l’Assemblée nationale à partir du 7 octobre 2026. Dans la version en discussion, il vise les communes de plus de 30 000 habitants et les intercommunalités. Les obligations s’appliqueront après le vote de la loi et la publication de ses décrets.
Les chiffres fournis par l’ANSSI donnent une idée de l’ampleur : sur les 2 481 entités publiques concernées, les entités essentielles représentent la part la plus large. Cela inclut notamment les régions, les départements, les métropoles et les grandes communes. Les entités importantes couvrent un spectre plus large de collectivités de taille intermédiaire.
Essentielles ou importantes : quelle différence concrète ?
Le classement n’est pas qu’une étiquette. Il détermine le niveau d’exigence attendu et le régime de supervision de l’ANSSI. Les entités essentielles font l’objet d’une supervision plus étroite. Les entités importantes disposent d’obligations comparables, mais leur contrôle intervient davantage a posteriori, souvent à la suite d’un incident.
Dans les deux cas, les obligations de fond restent très proches. La différence porte surtout sur la fréquence et la profondeur des audits, ainsi que sur les délais de notification d’incident. Une commune classée importante ne peut donc pas considérer qu’elle bénéficie d’un régime allégé sur le plan opérationnel.
Comment savoir où se situe votre collectivité ?
L’ANSSI publie des orientations pour aider les entités à s’auto-identifier. Plusieurs critères entrent en jeu :
- La taille de la collectivité et le nombre d’habitants desservis.
- Le secteur d’activité et la nature des services numériques opérés.
- L’appartenance à une infrastructure critique ou à un réseau d’intérêt général.
Si votre collectivité hésite sur son classement, le point de départ reste la documentation officielle de l’ANSSI, qui précise les critères de qualification et les démarches d’enregistrement.
Qu’est-ce qui change pour le maire personnellement ?
NIS2 introduit une nouveauté qui surprend souvent les élus : la directive responsabilise explicitement les organes de direction. Le maire, le président d’intercommunalité ou le directeur général ne peuvent plus déléguer entièrement la cybersécurité à leur DSI et considérer le sujet clos.
Concrètement, les dirigeants doivent approuver les mesures de gestion des risques cyber, suivre leur mise en œuvre et participer à des formations sur les enjeux de cybersécurité. Ce n’est pas une obligation de résultat technique, mais une obligation de gouvernance. Un maire qui signe un budget sans avoir examiné la ligne dédiée à la sécurité numérique s’expose à une responsabilité personnelle en cas d’incident grave.
Une gouvernance à structurer, pas à déléguer
La directive attend des collectivités qu’elles mettent en place une chaîne de décision claire. Cela suppose, au minimum, de désigner un responsable de la sécurité des systèmes d’information (RSSI) ou, pour les structures plus petites, de confier ce rôle à un agent identifié avec une lettre de mission explicite.
Les conseils municipaux et les assemblées délibérantes ont également un rôle à jouer. Voter un plan de mise en conformité, allouer un budget dédié et en suivre l’avancement : ces actes de gouvernance constituent des preuves tangibles d’engagement, utiles en cas de contrôle.
Que demande l’article 21 de NIS2, concrètement ?
L’article 21 de la directive liste les mesures de gestion des risques que chaque entité doit mettre en place. Pour une collectivité, cela se traduit par dix grandes familles d’actions, sans que la directive prescrive un outil ou une solution particulière.
Les dix familles de mesures
- Politiques de sécurité des systèmes d’information : rédiger et maintenir à jour des politiques formalisées.
- Gestion des incidents : détecter, traiter et notifier les incidents dans les délais imposés.
- Continuité d’activité : disposer de plans de reprise et de sauvegardes testées.
- Sécurité de la chaîne d’approvisionnement : évaluer les risques liés aux prestataires et fournisseurs numériques.
- Sécurité des réseaux et des systèmes d’information : segmenter, surveiller et protéger les infrastructures.
- Gestion des vulnérabilités : identifier et corriger les failles de manière régulière.
- Politiques et procédures d’évaluation : mesurer l’efficacité des mesures mises en place.
- Hygiène informatique et formation : sensibiliser les agents et maintenir leurs compétences.
- Cryptographie : chiffrer les données sensibles en transit et au repos.
- Gestion des accès et authentification : contrôler qui accède à quoi, et avec quel niveau de privilège.
Aucune de ces mesures n’exige une certification préalable. La directive demande que les entités contribuent à leur mise en œuvre de manière proportionnée à leur taille et à leur exposition aux risques. Un DGS averti saura distinguer cet effort de mise en conformité progressive d’une promesse de conformité immédiate et totale, qui n’existe pas.
La notification d’incident : un point souvent sous-estimé
L’article 23 de la directive, complémentaire à l’article 21, impose des délais stricts pour signaler les incidents significatifs à l’ANSSI. Une alerte précoce dans les 24 heures, puis un rapport intermédiaire, puis un rapport final : cette séquence suppose une organisation rodée bien avant qu’un incident survienne. Beaucoup de collectivités n’ont aujourd’hui ni la procédure ni les contacts internes pour respecter ces délais.
Par où commencer avec un budget serré ?
La question revient dans chaque mairie qui prend conscience de ses obligations : comment avancer sans disposer d’une DSI étoffée ni d’un budget dédié à la cybersécurité ? La réponse honnête est que NIS2 ne s’accommode pas d’une mise en conformité à coût nul. En revanche, une progression méthodique permet de prioriser les efforts et d’éviter les dépenses inutiles.
Commencer par une cartographie de l’existant
Avant toute dépense, dressez un état des lieux de vos systèmes d’information. Quels logiciels métiers tournent sur quels serveurs ? Qui dispose d’un accès administrateur ? Où se trouvent les sauvegardes, et quand les a-t-on testées pour la dernière fois ? Ces questions, posées par écrit, révèlent souvent des angles morts plus nombreux qu’attendu.
Cette cartographie sert de base à toute démarche d’analyse de risques. Sans elle, les investissements risquent de partir dans la mauvaise direction : sécuriser un système secondaire pendant que le système de paie reste exposé, par exemple. Pour mener cet état des lieux avec méthode, notre guide sur la cartographie du SI détaille les niveaux à représenter et les pièges à éviter.
S’appuyer sur les ressources mutualisées
Les collectivités ne partent pas seules. L’ANSSI met à disposition des guides méthodologiques adaptés aux structures publiques de taille modeste. Les centres régionaux de réponse aux incidents (CSIRT régionaux) offrent un accompagnement de proximité, souvent gratuit pour les collectivités. Les groupements de commandes entre communes permettent également de mutualiser des prestations d’audit ou de formation.
Certains syndicats mixtes et centres de gestion proposent des accompagnements spécifiques NIS2 à destination des petites communes. Avant de solliciter un prestataire privé, vérifiez ce que votre département ou votre région met déjà à disposition.
Prioriser les mesures à fort impact
Toutes les mesures de l’article 21 n’ont pas le même poids face à un budget contraint. Trois chantiers produisent rapidement des résultats tangibles :
- La gestion des accès : supprimer les comptes inutilisés, activer l’authentification à double facteur sur les outils exposés à internet, et documenter qui dispose de droits d’administration.
- Les sauvegardes : vérifier que les sauvegardes existent, qu’elles couvrent les données critiques et qu’une restauration a été testée récemment.
- La sensibilisation des agents : une session de formation courte sur le phishing et les mots de passe réduit significativement la surface d’attaque humaine, à moindre coût.
Documenter chaque action, dès le départ
NIS2 valorise la traçabilité. Un registre des actions menées, même modeste, vaut mieux qu’un projet ambitieux sans trace écrite. Notez les décisions prises, les prestataires sollicités, les formations dispensées et les incidents traités. Cette documentation constitue votre première ligne de défense en cas de contrôle par l’ANSSI.
Tableau récapitulatif : essentielles vs importantes
Le tableau ci-dessous résume les principales différences entre les deux catégories, telles que l’ANSSI les définit.
- Entités essentielles (1 489 selon l’ANSSI) : supervision proactive, audits réguliers, délais de notification stricts, responsabilité renforcée des dirigeants.
- Entités importantes (992 selon l’ANSSI) : supervision réactive (principalement après incident), mêmes obligations de fond, contrôles moins fréquents en l’absence d’incident.
Ce que NIS2 ne demande pas
Quelques idées reçues méritent d’être corrigées, car elles génèrent soit une panique inutile, soit une fausse sécurité.
NIS2 n’exige pas de certification ISO 27001 pour les collectivités. La conformité à la directive ne s’obtient pas non plus par l’achat d’un outil unique. Aucun prestataire ne peut promettre une conformité totale et immédiate : la directive impose une démarche continue, pas un état figé.
La directive ne demande pas non plus la perfection. Elle attend une gestion des risques proportionnée, documentée et évolutive. Une commune qui avance méthodiquement, qui documente ses efforts et qui notifie ses incidents dans les délais remplit l’esprit de NIS2, même si son système d’information reste imparfait.
Prochaines étapes pour votre collectivité
Trois actions concrètes permettent d’avancer dès maintenant, sans attendre un budget dédié ou un prestataire externe.
D’abord, vérifiez avec les ressources de l’ANSSI si votre collectivité sera concernée, directement ou à travers votre intercommunalité. L’enregistrement auprès de l’ANSSI viendra une fois la loi votée. Ensuite, désignez formellement un référent cybersécurité en interne, même à temps partiel, et donnez-lui un mandat écrit. Enfin, lancez la cartographie de vos systèmes et de vos accès : ce travail de fond conditionne toutes les décisions ultérieures.
Les collectivités qui structurent leur démarche aujourd’hui gagnent du temps sur celles qui attendent un premier incident ou un premier contrôle pour réagir. La mise en conformité NIS2 est un chantier de plusieurs mois, parfois de plusieurs années : autant le commencer avec méthode.
Pour les collectivités qui souhaitent s’appuyer sur des outils numériques adaptés à leur système d’information, Isi-APP propose des modules pensés pour les structures publiques, qui peuvent accompagner certaines étapes de cette démarche.
Questions fréquentes
Quelles communes sont concernées par NIS2 ?
Selon l’ANSSI, environ 2 481 entités publiques entrent dans le périmètre de NIS2, dont 1 489 classées essentielles et 992 classées importantes. Le classement dépend de la taille de la collectivité, de son secteur d’activité et de la criticité des services numériques qu’elle opère. Les régions, départements, métropoles et grandes communes figurent généralement parmi les entités essentielles. Pour connaître votre classement exact, consultez les ressources publiées par l’ANSSI.
Dans le projet de loi en discussion, sont visées les communes de plus de 30 000 habitants et les intercommunalités.
Quelles sont les obligations NIS2 pour une commune ?
NIS2 impose aux collectivités concernées de mettre en place des mesures de gestion des risques cyber, regroupées en dix familles par l’article 21 de la directive : politiques de sécurité, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, protection des réseaux, gestion des vulnérabilités, évaluation des mesures, formation des agents, chiffrement et contrôle des accès. La directive exige aussi de notifier les incidents significatifs à l’ANSSI dans des délais stricts.
Le maire est-il personnellement responsable en cas de non-conformité NIS2 ?
Oui, NIS2 responsabilise explicitement les organes de direction. Le maire ou le président d’intercommunalité doit approuver les mesures de sécurité, suivre leur mise en œuvre et participer à des formations sur les enjeux cyber. Il ne s’agit pas d’une obligation technique, mais d’une obligation de gouvernance. Un élu qui ne s’implique pas dans ce sujet s’expose à une responsabilité personnelle en cas d’incident grave.
Par où commencer pour se mettre en conformité avec NIS2 quand on a peu de moyens ?
La première étape est une cartographie de vos systèmes d’information : quels logiciels, quels serveurs, qui dispose d’accès administrateur, où sont les sauvegardes. Ensuite, concentrez-vous sur trois chantiers à fort impact : la gestion des accès, les sauvegardes testées et la sensibilisation des agents. L’ANSSI publie des guides gratuits, et les CSIRT régionaux offrent un accompagnement de proximité aux collectivités.
NIS2 impose-t-elle une certification ISO 27001 aux collectivités ?
Non. NIS2 n’exige pas de certification ISO 27001. La directive demande une gestion des risques proportionnée, documentée et évolutive, pas un état de conformité parfait ou figé. Aucun prestataire ne peut garantir une conformité totale et immédiate : il s’agit d’une démarche continue, que chaque collectivité construit à son rythme selon ses moyens et son niveau d’exposition.