L’état de la menace
- 1 366incidents portés à la connaissance de l’ANSSI en 2025, un niveau stable par rapport à 2024.
- 24 %concernaient des ministères ou des collectivités territoriales, deuxième secteur touché.
- 34 %concernaient l’éducation et la recherche, 10 % la santé.
Ces chiffres proviennent du Panorama de la cybermenace 2025 publié par l’ANSSI en mars 2026. L’agence rappelle qu’ils ne couvrent que les incidents qui lui sont signalés. Dans ses travaux sur les collectivités, elle note que la motivation des attaquants est d’abord lucrative : rançongiciels, vol et revente de données, compromission de messageries.
NIS 2 : où en est-on ?
La directive européenne NIS 2 étend fortement le nombre d’organisations soumises à des obligations de cybersécurité. En France, elle est transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Présenté en Conseil des ministres en octobre 2024, adopté par le Sénat en mars 2025 puis par la commission spéciale de l’Assemblée nationale en septembre 2025, le texte a été inscrit en séance publique à l’Assemblée nationale à partir du 9 novembre 2026.
Environ 15 000 entités devraient entrer dans le champ du dispositif, dont les grandes collectivités territoriales et leurs groupements, selon des seuils fixés par les textes. L’ANSSI, que le projet de loi désigne comme autorité nationale, a publié en mars 2026 un référentiel de cybersécurité qui donne une première idée des mesures attendues. Les obligations deviendront exigibles au fil de la publication des textes d’application.
Page mise à jour le 14 novembre 2026. Le calendrier législatif évolue : vérifiez l’état du texte auprès de l’ANSSI et de votre association d’élus.
Ce que le dispositif demande, en substance
- Une responsabilité des dirigeants : la sécurité numérique devient un sujet d’exécutif et de direction générale, non de seul service informatique.
- Une gestion des risques : identifier ce qui est essentiel, ce qui le menace, et les mesures proportionnées.
- Des mesures d’hygiène et de protection : gestion des accès, mises à jour, sauvegardes, cloisonnement.
- La maîtrise des prestataires : la sécurité de la chaîne d’approvisionnement fait partie du périmètre.
- La continuité et la gestion de crise : savoir redémarrer, savoir décider sous pression.
- La déclaration des incidents importants à l’autorité nationale.
Le point commun à toutes ces mesures
Chacune suppose de connaître son système d’information. On ne gère pas les risques d’un patrimoine que l’on n’a pas décrit. On ne maîtrise pas des prestataires dont on n’a pas la liste. On ne priorise pas les sauvegardes sans savoir quelles applications portent les services essentiels.
C’est pourquoi la première dépense utile n’est presque jamais un produit de sécurité. C’est une cartographie reliant les processus vitaux aux applications, aux données et aux fournisseurs. Elle sert ensuite à tout : analyse de risques, homologation, plan de reprise, déclaration à l’autorité.
Six actions qui ne dépendent d’aucun décret
- Faire inscrire la cybersécurité à l’ordre du jour de l’exécutif, avec un élu ou un directeur référent.
- Arrêter la liste des services essentiels et des applications qui les portent.
- Vérifier les sauvegardes : existence d’une copie hors ligne, test de restauration daté.
- Recenser les accès des prestataires et les comptes à privilèges.
- Traiter les composants exposés et hors support. Voir dette technique et obsolescence.
- Préparer la crise : annuaire hors ligne, rôles, premier exercice. Voir gestion de crise cyber.
Pour un premier diagnostic, dynamap.fr met à disposition des questionnaires d’audit.
Une commune de quelques milliers d’habitants ne sera probablement pas dans le champ direct de NIS 2, mais elle est tout aussi exposée et dépend souvent d’un syndicat informatique ou d’une intercommunalité. La bonne question à poser à cet opérateur mutualisé est simple : quelles garanties m’apportez-vous sur la sauvegarde et le redémarrage de mes services, et qui me prévient en cas d’incident ?
Dans la méthode DYNAMAP SI
La méthode n’est pas un référentiel de sécurité. Elle fournit ce que tous les référentiels supposent : un inventaire relié aux missions et des indicateurs suivis.
- 1Phase 1 · Analyse de l’existant : inventorier les actifs, les processus et les risques tels qu’ils sont réellement.
- 3Phase 3 · Cartographies et points de vue : relier processus, données, logiciels et infrastructures dans des vues lisibles par chaque public.
- 7Phase 7 · Tableaux de bord de la DSI : piloter par des indicateurs de risques, de dette, de coûts et d’avancement.
La méthode appliquée au secteur public · Le framework complet sur dynamap.fr
Pour approfondir : les livres de la collection
Sécurité des Systèmes d’Information selon OSI
La sécurité du système d’information parcourue selon les sept couches du modèle OSI, du câblage aux applications, avec pour chaque couche les menaces, les mesures, l’audit et les bonnes pratiques d’organisation.
Gestion des incidents et des crises du Système d’Information
Préparer, conduire et clore une crise : cadre et responsabilités, préparation, gestion en temps réel, crise majeure et continuité, retour d’expérience sans blâme. Avec un modèle d’analyse d’impact sur l’activité.
Méthode d’audit du Système d’Information
Une méthode d’audit en phases : périmètre et objectifs, planification, collecte, évaluation des risques et de la conformité, vérifications sur le terrain, restitution. Avec les référentiels usuels : ISO 19011, ISO 27001, ITIL, COBIT, RGPD.
Toute la collection est présentée sur la page livres sur le système d’information.
Sources et références
- ANSSI, Panorama de la cybermenace 2025 (publié le 11 mars 2026)
- Banque des Territoires, « Directive NIS2 : la transposition française probablement repoussée à juillet » (mars 2026)
- Le Monde Informatique, « NIS 2 : la loi Résilience arrive enfin à l’Assemblée » (novembre 2026)
- Assemblée nationale, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (texte de la commission spéciale)
- Next, « NIS 2 : l’ANSSI publie son ReCyF » (mars 2026)
Yann-Eric Devars
Architecte d’entreprise · créateur du framework DYNAMAP SI
Fondateur de Solve DSI, il accompagne depuis près de dix ans des organisations dans la cartographie et la gouvernance de leur système d’information. Il publie sur LinkedIn ses analyses sur les systèmes d’information publics ; les échanges entre pairs y sont ouverts.