Cyberattaques : l'ANCT, soutien des collectivités territoriales

Nous recevons euh cet après-midi monsieur Prébeau, le directeur général de la NCT, pour évoquer le sujet euh des collectivités territoriales face aux menaces cyber. Je vous remercie d'être parmi nous aujourd'hui pour échanger sur ce sujet qui est important. au moment où la stratégie nationale de cybersécurité 2026-2030 a été publiée, c'est tout récent, je crois que c'est au mois de janvier 2026.

Nous entendrons d'ailleurs aujourd'hui également en audition conjointe avec la commission des affaires étrangères à la défense et aux forces armées, le directeur général de l'ANI. Vous le savez chers collègues, notre délégation est attentive à ces sujets et je pense en particulier à la mission d'information conduite par nos collègues Pascal Gruni et Gislené en 2024 sur l'intelligence artificielle et les collectivités territoriales. Alors, c'est un sujet plus large mais en tous les cas qui recoupe quand même ce dont on va parler aujourd'hui.

Dans une période où la menace cyber s'intensifie, les collectivités territoriales, les élus locaux et leurs agents sont en première ligne. Et d'ailleurs, les attaques contre les services publics locaux, les hôpitaux, les mairies, on l'a vu, les écoles et bien d'autres bien d'autres services ne sont plus des scénaris du possible, mais ils sont aujourd'hui une réalité quotidienne qui met en péril la continuité des services publics, évidemment la confiance des citoyens et la sécurité dans nos territoires, il me semble, mais le but c'est de pouvoir échanger sur ces sujets et de vous entendre. Il me semble qu'au moins trois actions doivent être menées ou renforcées en matière de cybersécurité.

C'est accompagner la compétence, la montée en compétence des élus et des agents pour lesquels la cybersécurité reste un sujet quand même complexe à aborder. Il faut absolument accompagner particulièrement les collectivités territoriales de petite taille ou de moyenne taille qui n'ont pas toujours les ressources pour se protéger efficacement à des solutions adaptées. Et puis il y a un sujet, je souhaiterais qu'on puisse l'avvoquer aussi sur la coordination entre l'État et les collectivités territoriales pour garantir des réponse efficac en cas de crise.

Voilà. À l'automne 2025, vous avez développé la suite territoriale qui vise l'amélioration du niveau de cybersécurité des communes de moins de 3500 habitants et des EPCI de moins de 15000 habitants qui disposent de moyens limités, on le sait, pour lutter contre les attaques qui les ciblent. Voilà, du coup, votre expertise euh votre regard sera précieux pour éclairer ces sujets qui sont très importants et nous sommes qu'au début des difficultés sur ces questions-là et nous avons plutôt intérêt à les anticiper pour s'en prévenir, même si on n'y arrivera jamais à 100 %, pour s'en prévenir le mieux possible, en tous les cas pouvoir avoir des réponses rapides, efficaces.

En tous les cas, merci. Merci de votre présence. Merci aux collègues qui sont là et je vous laisse sans plus attendre la parole pour qu'ensu on puisse passer un un échange avec les collègues présents.

Merci. Merci monsieur le président, mesdames, messieurs les les sénateurs. Euh c'est un plaisir de venir devant vous pour parler de de ce sujet.

Je suis accompagné avec par Laurent Roger qui est directeur général délégué euh à la direction du numérique de l'Agence nationale de la cohésion des territoires. C'est un sujet qui est qui est adressé depuis maintenant plusieurs années par l'agence dans cette compétence numérique qui lui a été confiée de par la loi. Il y a eu une prise de conscience déjà depuis plusieurs années. en 2023 que Lancy et le ministre du numérique de l'époque avait demander à à l'agence de d'examiner cette question de la sécurisation du numérique des collectivités, des petites collectivités évidemment en particulier.

Et on voit malheureusement que cette intuition d' y a 2 ans c'est est encore plus pr est encore plus nécessaire aujourd'hui. Le le danger a considérablement augmenté. On le voit sur les services de l'État, on le voit sur les services des collectivités.

Euh il y a pas de de jours où il y a pas euh des tentatives euh d'intrusion ou des intrusions plus ou moins euh réussies euh sur lesquelles il faut ensuite euh venir euh réparer euh les choses. Donc euh on voit que c'est un sujet euh très présent et c'est une réalité particulière au niveau des collectivités avec notre maillage exceptionnel en petite collectivité. Euh on le sait, on le sait bien encore plus en ce moment avec la période électorale euh où euh on a euh des collectivités parfois très petites et qui sont euh peu armées pour le sujet.

Alors, j'ai quelques je vous ai amené quelques quelques chiffres. Euh on a en gros euh 10 % des collectivités qui déclarent avoir été victimes de cyberattaque au cours de l'année. On a euh 1/3 des communes qui ne disposent pas euh de nom de domaine.

Or, on sait bien que le le fait de pas disposer de nom de domaine, c'est un sujet de fragilité. Alors, [raclement de gorge] de fracité déjà pour les collectivités avec le risque d'urpation de leur identité, de euh de de de prise de de contrôle de leur de leur données. Et puis aussi pour ceux avec lesquels ils sont en communication.

Et c'est vrai que mon expérience récente par exemple de de préfet de département m'avait conduit à être toujours un peu inquiet quand je voyais un message arrivé d'un d'une boîte en Gmail ou en adou qui était censé représenter la boîte de d'un maire. Euh mais euh on avait toujours un petit un petit doute. Alors quand on le connaît personnellement, bon, on se dit "Oui, si ça doit être bien lui." Mais euh quand c'est pas le cas, euh on a quand même euh une inquiétude sur ces messages qui a qui peuvent avoir évidemment une importance euh grande et euh et qui euh en terme de sécurité, en terme de de gestion de crise et qui arrive de de boîtes de de boîtes mail non sécurisées.

Et puis on a également beaucoup de communes qui utilisent aussi des donc des des adresses génériques qui ne sont pas génériqu là aussi protégé et c'est à peu près 20 plus de 20000 communes qui qui commettent ces ces ces risques. Alors on a quelques moyens pour essayer de d'identifier ces fragilités. Euh on a un test qui permet de le de le faire euh qui est disponible.

Si si pendant la séance vous voulez tenter de de taper une collectivité que vous connaissez, vous pouvez aller regarder sur ce sur ce sur le site. C'est le le site qui s'appelle suiteterale.gouf.fr. les faire et euh en tapant le nom de la collectivité, vous voyez si euh la collectivité présente quelques fragilité euh et il y a les points sur lesquels il peut y avoir une amélioration rapide.

Donc c'est un outil évidemment qui est qui est intéressant euh mais qui est finalement que la traduction d'une d'un risque que les collectivités euh pour essayer de faire prendre d'en faire prendre conscience les collectivités euh en sachant que malheureusement les esprits criminels eux ont disposent très facilement de ces données. Ils ont pas besoin de notre évidemment de de notre site pour pour en bénéficier puisque eux il suffit de faire quelques tests par eux-mêmes et ils trouvent ces ces informations et peuvent ensuite les utiliser pour venir utiliser les adresses le sur la solution que nous proposons à partir de cette commande qui nous avait été faite. C'est une des outils qui sont assez simples.

C'est ça a été développé. Alors, je rentrerai pas trop dans la technique, mais ça si vous si vous le souhaitez évidemment mon collègue pourrait le détailler davantage. C'est à partir de de de blocs de de blocs déjà déployés, de briques déjà développé que ça pu être mis en place et on est reparti en fait d'une architecture de sécurisation pas à pas de la connexion.

C'est-à-dire que il y a le un outil proonnect, on connaît tout ça maintenant quand on veut se connecter à un site euh le pour par exemple pour déclarer ses impôts euh ou faire des démarches administratives. Donc avec Proconnect et bien euh on va pouvoir sécuriser euh déjà son identité pour euh que les agents de la collectivité ou le maire puissent se connecter. Ensuite, on a le don de domaine, ce que ce que j'évoqué, c'est-à-dire sécuriser le fait que on ait un une adresse où on fasse apparaître le nom de la de la commune avec collectivité.fr.

Évidemment, ce pointfr est important parce qu'on sait bien que si c'est point org par exemple ou point net, mais on est en face d'un d'un service commercial en principe, en tout cas pas un service officiel. On a euh également la question évidemment de la de de de l'outil de messagerie pour les messages de interne au enfin au entre le pré entre la préfecture et la la collectivité en tant que représentant de de l'État dans les dans un certain nombre de fonctions. Et bien évidemment, c'est un aspect important.

Je l' on l'évoquait tout à l'heure aussi dans le cas de de la crise. Et donc évidemment là aussi c'est un point de de sécurisation donc de créer cette cet échange qui soit sécurisé. Euh il y a la question aussi de la conservation d'un certain nombre de fichiers euh d'espacces pour protéger les données qui peuvent être sécurisées et puis euh voilà, on peut avoir aussi par exemple la question de la base adresse euh là aussi de sécuriser euh d'avoir des données fiables sur les adresses internet.

Voilà en quelques exemples de de du de ce périmètre de de socle. Évidemment, il il s'agit vraiment de sécuriser les relations entre euh les élus et en particulier enfin le le maire et euh les services de l'État dans un dans une approche très régalienne, c'est-à-dire vraiment de protéger cette relation qui évidemment est importante et particulièrement importante quand il y a quand il y a des crises. Et ça ne c'est non obstant évidemment tout ce qui peut être développé par ailleurs par les éditeurs privés avec lesquels il y a des échanges qui sont encore en cours d'ailleurs en ce moment pour voir comment il peut y avoir des coopérations, des collaborations avec ces ces éditeurs privés.

Et c'est pour ça que cette ce socle commun, il est à destination d'abord et sans et sans il est destiné aux petites collectivités, c'estàdire aux petites collectivités, c'est les communes de moins de 3500 habitants et les EPCI de moins de 15000 habitants. Car on sait bien que ensuite quand les collectivités sont grandes, elles ont des services informatiques, elles ont les capacités évidemment d'avoir les leurs propres fournisseurs. Et quand on est sur des toutes petites collectivités, c'est important qu'elle puissent avoir cette ce socle minimum de sécurisation.

Évidemment, après, mais elles peuvent acheter d'autres d'autres prestations auprès des des éditeurs ou faire d'autres choix, mais c'est vraiment le le socle qui euh qui protège ce lien. Euh il est aussi avec les OPSN, ces opérateurs qui sont sur le territoire. Alors, il y en a pas dans l'ensemble du territoire, mais il y en a quand même dans une majorité de de territoires, de département ou de régions qui permettent de ensuite d'accompagner ce le déploiement de de cette proposition et puis qui elle pour le pour ces opérateurs publics de de services numériques.

Évidemment, eux, ils ont leur propre lien avec les collectivités qui sont adhérentes à leur à leur réseau. Mais nous, nous avons vraiment cette volonté de pouvoir offrir ce sole de base aux communes. Voilà, en quelques en quelques mots ce que je voulais dire.

Merci monsieur le directeur général. Et sans plus attendre, je vais passer la parole aux collègues qui souhaitent intervenir, poser une question, faire une observation. Je vois pas de main qui se lève.

Si Sonia peut-être ? Non. Oui, vas-y.

Alors, bonjour. Bonjour président, bonjour monsieur le directeur général, monsieur le préfet. Alors comme je suis arrivé un tout petit peu en retard et moi excuser j'ai peut-être loupé une partie mais je voulais savoir dans quelle mesure aujourd'hui la formation des élus locaux intègre justement cette problématique des cybers parce que on parle de logiciel, on parle d'un certain nombre de choses mais parfois la cybersécurité enfin même souvent vous venez d'une région celle du Grandesque et qui avait d'ailleurs mis un certain nombre de dispositifs pour accompagner notamment les entreprises parce que tout le monde dit aujourd'hui que 100 % des entreprises ou des institutions publiques se feront attaquer en terme de cyber, mais ça passe aussi parfois par le comportement individuel de chacun.

Et donc je ne crois pas, alors peut-être vous l'avez dit dans le dans le préambule, mais aujourd'hui on ne on ne regarde pas ou en tout cas ne c'est pas intégré dans la formation des élus locaux cette cette notion de prévention en matière de cyberattaque puisque c'est parfois des mot de pass un certain nombre de choses qui sont pas renouvelées. Voilà, je voulais savoir s'il y avait une une réflexion autour de ça. C'était pour lancer la question, mais je je rebondis là-dessus parce que je pense que le premier maillon faible, c'est l'humain et donc c'est généralement l'élu ou la secrétaire générale de de mairie.

Merci. Et du coup, je compléterai la peut-être la question par un deuxème volet sur euh en cas de cyberattaque majeur, comment aujourd'hui s'articule la coordination entre l'État, la NCT, l'ANC, les collectivités, comment concrètement les choses s'articulent. euh s'articule entre entre ces différentes entre ces différentes structures.

Voilà. Et ben faute d'autres questions, je vous laisse répondre. Ah pardon, monsieur Waron.

Oui, moi je suis élu de la région centre et on a mis en place à la région un GPRIA qui permet de pouvoir aider les collectivités locales et toutes les intercommunalités de la région adhérentes de cela. Je voulais savoir quelle était la différence et la la la composition que l'on pouvait avoir en plus grâce à votre action à vous. Alors je donc sur le premier point, je je rassurerai tout de suite monsieur le sénateur Chevalier, on a ça pas été abordé donc on a on l'aborde.

Euh c'est euh un un point évidemment qu'il faut développer. On a on va profiter de la des nouvelles des élections avec une nouvelle promotion de de maire de qui viennent de prendre leur fonction et puis ceux qui sont réélus pour ressensibiliser. Donc on va diffuser un guide euh aller à destination des élus euh sur toutes les règles d'hygiène numérique, sur toutes les les mesures de de sécurité en essayant de le faire de façon le la plus pédagogique possible.

Évidemment, il y a les OPSM qui peuvent aussi diffuser des des conseils. Il y a évidemment aussi le rôle des associations de de ma asso d'élus qui ont leur place et il faut qu'on voit comment certainement intensifier la collaboration avec ces ces organisations en en ayant là aussi toujours cette volonté de subsidiarité. C'est-à-dire que là où ça existe et bien c'est pas nécessaire de de recréer, mais en revanche c'est de se concentrer partout où il y a pas encore l'offre ou de voir comment elle peut être développée.

Donc ça pour répondre également à la à la à la question de de monsieur le sénateur, je pense qu'il faut qu'on qu'on voit vraiment en complémentarité euh de façon à ce que ça couvre le maximum sans plus après venir se concurrencer. Ça c'est important sur le le cadre de l'attaque évidemment là c'est à ce moment-là on passe vraiment au rôle de LAN qui va déployer à ce moment-là une sécurisation et un accompagnement des collectivités qui ont été victimes avec évidemment les conseils et avec le toujours évidemment la plus grande prudence parce qu'il il y a des il y a des propositions de rançons qui peuvent être proposées et évidemment on sait bien que si on rentre dans cette logique et bien derrière on on s'affaiblit et on affaiblit la collectivité. Et lorsqu'il y a si je me permet juste après, juste avant Réi lorsqu'il y a des territoires, départements interco qui déjà mettent en place des solutions mutualisées, j'ai envie de dire que il y a il y a un lien qui se fait, il y a de la coordination qui se fait avec la NCT, avec alors il y a pardon.

Oui, parce que si chacun travaille dans son coin euh et ben on va être on va pas forcément être complètement efficace pour il y a il y a il y a une un jeip dont la NCT est membre qui s'appelle cyber malveillance euh qui est qui a cette fonction et je pense que c'est un des points de justement de de à renforcer euh et je pense qu'il faut profiter de la diffusion de la suite numérique qui qui est le qui est le socle de base pour ensuite essayer de de voir comment poursuivre cette sensibilisation. Mais je le disais vraiment avec ce souci de subsidiarité, mais en effet, il faut qu'on arrive à voir chacun ce que ce qu'on fait de façon à pas oublier un territoire ou à l'inverse en saturer un autre. Rémy.

Oui, merci monsieur le président. Moi, je voulais simplement une précision concernant les collectivités quand elles sont victimes d'une cyberattaque. Elles sont soumis donc comme les entreprises privées d'ailleurs euh à une obligation de déclaration auprès de l'ANC.

Euh aujourd'hui, est-ce qu'elles le font réellement ? Et puis par ailleurs, avec la directive NIS2, euh certaines entités devront euh s'enregistrer auprès de l'ANTI. et notifier les incidents.

Est-ce que vous pouvez nous indiquer ce que ça va changer concrètement pour les collectivités alors que les modalités précises restent à définir par décret ? Alors là, monsieur le sénateur, comme je vais comme le l'anci vient viendra après moi, je pense que ils seront mieux placés pour répondre que moi sur le sur ces sujets et je voudrais pas voilà le prendre le un sujet qui de leur dans leur domaine d'intervention, mais je pense que c'est des c'est des questions qui sont évidemment importantes de vérifier que les collectivités signalent bien leur les agressions dont elles sont victimes. Il y a un risque.

Pas d'autres questions ? Bon, je pense que c'est quand même un sujet sur lequel euh euh il faut qu'on avance globalement en essayant de de coordonner les actions des uns et des autres parce que euh on sait très bien que le risque va pas va pas diminuer bien au contraire et que ben il faut qu'on il faut qu'on se prépare à cela. Et encore une fois, je pense qu'aujourd'hui l'immense majorité des collectivités, malgré ce qui est fait aujourd'hui, ne sont pas du tout en situation de pouvoir faire face à de telles à de telles attaques.

Donc il y a un vrai travail d'accompagnement des maires des collectivités dans ce domaine. Vous voulez ajouter quelque chose ? Peut-être donc dire que dès que les les échanges avec les les les organismes de la profession du des éditeurs de logiciel sera sera abouti, on va pouvoir rentrer dans la phase de déploiement de ces de cette offre.

Euh et à ce moment-là l'objectif c'est d'essayer de couvrir évidemment l'ensemble du territoire. Alors, on sait que dans la dans l'année qui vient, on aura sans doute pas réussi à couvrir l'ensemble du territoire puisqu'on est on estime à peu près à 30000 collectivité le nombre de de petites communes de moins de 3500 habitants qui pourraient relever de cette de cette offre. Euh l'idée c'est d'aller évidemment plus vite là où il y a des OPSN parce que là c'est plus facile, on a un relais sur les collectivités où il y a les les départements, il y a pas encore de d'OPSN, ça mettra un peu plus de temps, mais on va évidemment aussi chercher à le à intensifier en s'appuyant évidemment sur les réseaux d'association d'élus et sur les préfets qui sont les délégués territoriaux de de l'agence et aussi en bonne intelligence avec les autres initi initiative comme celle que auquelle faisait référence monsieur le sénateur de la marne puisque il y a aussi en effet la gendarmerie par exemple qui a tout un travail alors qui s'adresse davantage au secteur privé pour sensibiliser les entreprises au risque qu'elle court avec cette ces c'est tout ce toutes les malveillances numériques.

Donc c'est un travail vraiment collectif de prise de conscience qu'il faut poursuivre. On a aussi des actions vers le grand public évidemment euh puisque les dans les Frances Services, il y a un certain nombre d'informations qui sont diffusées. Il y a les conseillers numériques qui relaient aussi euh ces ces conseils et on voit que il y a aussi besoin évidemment d'aller au-delà et de sensibiliser euh le grand public et c'est un point de de vigilance.

Mais du coup aujourd'hui sur ce sujet parce que cette question de la sensibilisation de l'information est importante. Alors vous l'avez dit, il y a les préfets de département, je pense que les associations de maire aussi dans chaque département qui vont être renouvelés sont des des interlocuteurs qui sont tout à fait essentiels pour passer ces infos. Mais par exemple, vous citez l'exemple des maisons France services ou les conseillers numériques.

Donc quelles actions concrètes vous vous menez ? quelle quelle information auprès des conseillers frances services ou des conseillers numériques pour les sensibiliser à ce sujet pour pour en faire des relais efficaces auprès de la population. Alors très très concrètement aujourd'hui c'est pour les conseillers fran services, c'est davantage à l'occasion des services qui vont dans lesquels ils vont accompagner les les usagers qui viennent les consulter que ils vont leur faire un certain nombre de recommandations puisque ils peuvent les accompagner sur le la prise en main de de de parfois de l'outil et pour faire les démarches à leur place.

Et donc là, ils vont évidemment les sécuriser, enfin les inciter à se à être plus sécurisés. Après, il y a évidemment aussi des séquences qui peuvent être organisées dans les Frances Services d'information avec les conseillers numériques par exemple ou avec des associations qui travaillent autour de la sécurité numérique qui sont là aussi des de la de la pédagogie autour de des gestes simples qui permettent de se protéger. Oui, mais alors ma question, il y a il y a ça bien sûr, mais ma question c'était surtout vous.

Quelles actions vous menz pour euh former en quelque sorte les conseillers France services ? Alors, les les conseils de fran services, ils sont formés euh de façon euh alors sur ce sujet-là, j'ai pas le je sais pas si euh j'ai pas la réponse tout de suite répondre sur la partie conseiller numérique, hein, euh pour dire que ça fait effectivement vraiment partie euh de la formation des conseillers numériques et qu'en particulier on a conçu une mallette cyber avec le GP cyber malveillance qui est dédiée justement à la à l'animation d'ateliers destinés au grand public pour sensibiliser à ces sujets de de cyberveillance. sur les conseillers numériques, je vous passe je vous ferai passer la la réponse sur les conseillers fran services de façon à ce que on puisse parce que j'ai pas la réponse.

Oui parce qu'il y a un bon maillage en conseiller France Service, c'est quand même le point un peu qui qui fédère les l'ensemble des services. Les conseillers numériques, c'est important mais c'est le maillage n'est pas le même. Voilà.

Bon, pas d'autres questions ? Remarque ? Non.

Et ben écoutez dans ce cas-là, merci monsieur le directeur général, merci à vos équipes de vous être déplacé jusqu'au Sénat aujourd'hui pour évoquer le sujet et nous allons dans un moment effectivement accueillir l'anci et nous pourrons prolonger discussion et reposer la question qu' posé tout à l'heure. Voilà, merci beaucoup.