Secteur public · NIS2
Environ 1 500 collectivités, groupements et organismes sous leur tutelle entreront dans le périmètre de NIS2. Votre PSSI, de 7 500 à 20 000 € HT, reste sous le seuil de 60 000 € HT : commandable de gré à gré.
État au 13 octobre 2026
Prochaine étape
Date à fixer
Examen en séance publique à l'Assemblée nationale, prévu le 7 octobre 2026 puis reporté
Le texte français tarde, mais son contenu ne surprendra personne : il transpose une directive européenne publiée en décembre 2022. Les obligations sont écrites. Seuls le périmètre exact et le calendrier d'application restent à fixer.
Déc. 2022
Publication de la directive (UE) 2022/2555, dite NIS2
Étape franchie17 oct. 2024
Date limite de transposition, manquée par la France
Étape franchie12 mars 2025
Projet de loi adopté par le Sénat en première lecture
Étape franchieSept. 2025
Texte adopté par la commission spéciale de l'Assemblée
Étape franchieDate à fixer
Examen en séance publique à l'Assemblée nationale, prévu le 7 octobre 2026 puis reporté
Prochaine étape
Attendre le Journal officiel pour commencer, c'est découvrir les obligations le jour où elles s'appliquent. Une politique de sécurité se construit en 10 à 12 semaines : c'est le moment de l'écrire.
NIS2 concerne environ 15 000 entités en France, dans 18 secteurs : entreprises, administrations et collectivités. Cette page traite des collectivités. La directive laissait aux États le choix de les inclure. La France l'a fait, en deux catégories. Les entités essentielles supportent le contrôle le plus strict.
Périmètre du texte adopté par le Sénat puis retravaillé en commission à l'Assemblée. Il peut encore évoluer en séance ; nous le mettrons à jour au vote définitif.
Les articles 20, 21 et 23 de la directive, que le texte français reprend.
Article 20
L'organe de direction approuve les mesures de sécurité, supervise leur mise en œuvre et peut en être tenu responsable. Ses membres doivent suivre une formation à la gestion des risques cyber. La sécurité devient une décision de l'exécutif, plus seulement un sujet de DSI.
Article 21
Des mesures « appropriées et proportionnées », fondées sur une approche par les risques :
Article 23
Tout incident important est signalé à l'autorité (l'ANSSI en France) en trois temps.
T0
Incident détecté
Le délai court dès que vous en avez connaissance
24 h
Alerte précoce à l’ANSSI
72 h
Notification de l'incident, avec une première évaluation
1 mois
Rapport final
Échelle non proportionnelle
Sans détection, l’horloge ne démarre jamais à temps.
La commission spéciale de l'Assemblée a retenu le principe d'une absence de sanction financière pour les collectivités, là où une entreprise essentielle encourt jusqu'à 10 M€ ou 2 % de son chiffre d'affaires mondial. Les obligations, elles, demeurent : contrôles de l'autorité, injonctions de mise en conformité, responsabilité de l'exécutif. Et le coût réel reste celui de l'incident.
11 %
des victimes de rançongiciel en France sont des collectivités
Les données de vos administrés relèvent du RGPD, et la CNIL peut sanctionner une commune. Le responsable de traitement est le maire ou le président : c’est lui qui répond de leur sécurité. Les faits, avec leurs sources :
5 M€
Amende infligée le 22 janvier 2026 à France Travail, établissement public. Parmi les motifs : une journalisation insuffisante pour détecter les comportements anormaux.
10 000 euros
Amende infligée à une commune le 11 septembre 2025, notamment pour défaut de sécurité des données. D’autres communes ont été sanctionnées en 2023 et 2024.
50 %
des contrôles et des sanctions de la CNIL porteront sur la cybersécurité en 2026. La cybersécurité des collectivités territoriales est l’une de ses priorités de contrôle.
72 h
pour notifier une violation de données à la CNIL. Le plafond de 20 M€ ou 4 % du chiffre d’affaires s’applique aussi aux collectivités, à leurs établissements, SPL et SEM.
Guide CNIL et Cybermalveillance.gouv.fr pour les collectivités
1,5 M€
Coût direct de la cyberattaque contre la ville de Bondy, en 2020. Pour la métropole Aix-Marseille-Provence : 900 000 €.
Le RGPD demande de protéger les données, de détecter une intrusion et de la notifier à temps. La PSSI écrit les mesures, le test d’intrusion les éprouve, le SOC détecte.
Aucun prestataire ne rend une collectivité « conforme NIS2 » à lui seul. Voici ce que nous prenons en charge, et ce qu'il vous faudra confier à d'autres.
Relevé de couverture NIS2
Gouvernance, analyse de risque, politique de sécurité
Art. 20, 21 a
PSSI, étapes 1, 2 et 7 : matrice des obligations, rôles et responsabilités, scénarios de risque cotés, document validé par l’exécutif
Contrôle d'accès, authentification multifacteur, durcissement
Art. 21 i, j
PSSI, étapes 4 et 5 : politique d’accès, comptes à privilèges, configurations de référence
Évaluation de l'efficacité des mesures
Art. 21 f
Offensive Security
Test d'intrusion : on vérifie que les mesures tiennent face à un attaquant réel
Détection et gestion des incidents, délai de 24 h
Art. 21 b, 23
SOC 24/7 : détection en moins de 15 minutes, qualification par un analyste. Prérequis : environnement Microsoft 365
Continuité, sauvegardes
Art. 21 c
PSSI, étapes 3 et 7 : le volet informatique de votre PCA (durée d’interruption acceptable par application, plan de reprise, test de restauration, crise cyber). Le PCA métier reste chez vous, l’exploitation des sauvegardes chez votre infogérant
Chaîne d'approvisionnement
Art. 21 d
PSSI, étapes 1 et 6 : exigences de sécurité imposées aux fournisseurs, interconnexions avec les prestataires. Les clauses contractuelles restent à votre service juridique
Cyberhygiène et formation du personnel
Art. 21 g
Hors offre
Nous ne faisons pas de formation. Les étapes de la PSSI sont du conseil, pas une action de formation
Cryptographie
Art. 21 h
Hors offre
Pas de prestation dédiée : le sujet est traité dans la politique d'accès et de durcissement
On ne surveille pas un système dont on n'a pas défini les risques. L'ordre compte.
01
Sans engagement
Situer votre collectivité : assujettie ou non, dans quelle catégorie, avec quels écarts les plus urgents.
02
7 étapes, 10 à 12 semaines
Écrire votre PSSI avec vos équipes : gouvernance, risques, accès, cloisonnement, journalisation, en suivant les objectifs du ReCyF, le référentiel de l'ANSSI pour NIS2. Un document que l'exécutif valide.
03
Selon votre environnement
Un test d’intrusion pour éprouver les mesures, puis un SOC 24/7 si votre système repose sur Microsoft 365.
La PSSI se facture de 7 500 à 20 000 € HT selon la taille de la collectivité.
Plusieurs communes d'un même territoire ? Un groupement de commandes, ou votre syndicat mixte d'administration numérique, peut porter l'achat pour toutes.
Vos données restent dans votre environnement, dans votre région, sans aucune copie chez nous. Voir notre politique de souveraineté des données
Pas directement, en l'état du texte. Mais si votre intercommunalité est assujettie et que vos systèmes sont interconnectés, elle vous demandera des garanties. Et le risque ne dépend pas du nombre d'habitants.
Non. Les mesures de l'article 21 ne changeront pas : elles figurent dans la directive. Seuls le périmètre exact et les délais d'application peuvent bouger. Une PSSI écrite aujourd'hui sera valable demain. L'ANSSI a d'ailleurs publié en mars 2026 le ReCyF, son référentiel pour NIS2 : notre parcours PSSI en suit les objectifs, et l'appliquer pourra être mis en avant en cas de contrôle.
La commission spéciale de l'Assemblée a retenu l'absence de sanction financière pour les collectivités. Le texte n'est pas définitif. Et l'autorité conserve ses pouvoirs de contrôle et d'injonction.
Non. Si un audit qualifié vous est imposé, par un référentiel, une homologation ou votre propre cahier des charges, nous vous le dirons dès l’audit gratuit, et nous ne répondrons pas à cette partie.
La PSSI et le test d'intrusion ne dépendent d'aucun éditeur : ils s'appliquent à tout système d'information. Notre SOC, en revanche, fonctionne uniquement sur un environnement Microsoft 365 ; nous ne le proposons pas ailleurs.
L’audit gratuit pour situer votre collectivité face à NIS2 : assujettissement, catégorie, écarts prioritaires. Réponse sous 24 heures ouvrées.
Réponse sous 24 heures ouvrées
Un expert lit votre demande et vous recontacte pour qualifier votre besoin.
Audit gratuit
Sous Microsoft 365 : audit d’une heure de la posture de votre tenant (Secure Score, identités, Defender) et vos failles prioritaires. Sinon : cadrage de votre besoin (pentest, PSSI) et prix fixé. Sans engagement.
Interlocuteur dédié
Le même expert DMC vous suit de bout en bout, sans passer par un call-center.
