Une mairie tient des bases très différentes : état civil, listes électorales, paie, action sociale, urbanisme, inscriptions scolaires. Toutes contiennent des données personnelles. L’article 32 du RGPD demande donc au responsable du traitement et à son sous-traitant de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » (CNIL, guide de la sécurité des données personnelles, édition du 26 mars 2024). Cette page range sept mesures, cite pour chacune sa source et indique où trouver de l’aide gratuite.
Ce que montrent les chiffres de l’ANSSI pour 2025
Le panorama de la cybermenace 2025, publié par l’ANSSI le 11 mars 2026, donne quatre repères.
- 128 compromissions par rançongiciel ont été portées à la connaissance de l’agence en 2025, un nombre légèrement en baisse sur 2024. Les collectivités territoriales représentent 11 % des victimes de rançongiciel, une part en légère baisse.
- Les rançongiciels visent « indistinctement la plupart des secteurs et des zones géographiques » : l’attaque est opportuniste, et la taille de la commune ne protège pas.
- Les incidents d’exfiltration de données, où les données sont volées sans être chiffrées, sont passés de 130 en 2024 à 196 en 2025. L’ANSSI n’a pu confirmer que 80 revendications parmi celles qu’elle a reçues. Elle juge que le chantage à la publication de données, sans rançongiciel, s’est accentué mais reste limité.
- Les ministères et les collectivités territoriales rassemblent 24 % des 1 366 incidents portés à la connaissance de l’ANSSI en 2025. L’agence précise que ces chiffres ne sont pas nécessairement représentatifs de l’ensemble des événements de sécurité.
Une sauvegarde ne protège pas d’un vol de données. Les mesures 2 à 5 ci-dessous, qui contrôlent qui entre et ce qu’il fait, répondent à ce risque.
Mesure 1 : sauvegarder, avec une copie hors ligne
La CNIL recommande des sauvegardes fréquentes (par exemple des sauvegardes incrémentales chaque jour, complétées de sauvegardes complètes à intervalles réguliers), au moins une copie sur un site géographiquement distinct et au moins une copie hors ligne, sans connexion au réseau. Elle cite la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne (CNIL, « Sécurité : Sauvegarder », 14 mars 2024).
Deux précautions complètent la règle. Les sauvegardes reçoivent le même niveau de sécurité que les serveurs d’exploitation : chiffrement, stockage protégé, encadrement par contrat quand elles sont confiées à un tiers. Et la CNIL demande de tester régulièrement leur intégrité et la capacité à les restaurer.
Pendant une attaque, Cybermalveillance.gouv.fr demande de débrancher du réseau les sauvegardes qui y sont connectées, pour que l’attaquant ne les détruise pas.
Mesure 2 : donner à chacun son compte, avec une authentification forte
La CNIL demande un identifiant unique par utilisateur et proscrit les comptes partagés. Quand un compte générique est indispensable, les actions sont tracées et le mot de passe change dès qu’une personne n’en a plus l’usage. La base ne conserve que l’empreinte des mots de passe. L’authentification multifacteur est à privilégier, surtout pour les connexions depuis l’extérieur du réseau, et les comptes d’administrateur exigent des mots de passe plus longs, renouvelés (CNIL, « Sécurité : Authentifier les utilisateurs », 14 mars 2024).
Le 22 décembre 2023, la CNIL a publié la sanction d’une commune dont les mesures de sécurité étaient insuffisantes : les précautions minimales sur la force et le stockage des mots de passe n’étaient pas respectées. La CNIL rappelle qu’un mot de passe ne doit jamais être stocké en clair par le responsable du traitement, et qu’une commune, autorité publique qui traite de nombreuses données dont certaines sensibles, « se doit de faire preuve d’exemplarité en matière de sécurité des données » (CNIL, 22 décembre 2023).
Mesure 3 : limiter les droits à la mission de chacun
Chaque agent n’accède qu’aux données utiles à ses missions. La CNIL décrit quatre gestes. Définir des profils d’habilitation qui séparent les tâches. Faire approuver chaque demande d’accès par un responsable. Retirer les accès au changement de poste et à la fin du contrat. Revoir l’ensemble au moins une fois par an pour supprimer les comptes inutilisés (CNIL, « Sécurité : Gérer les habilitations », 13 mars 2024).
Elle liste ce qui affaiblit une base : les comptes partagés sans traçabilité, les droits d’administrateur inutiles, les autorisations temporaires oubliées et les comptes de personnes parties. Dans une mairie, l’agent chargé des inscriptions scolaires n’a, par exemple, aucune raison de consulter la base de l’état civil.
Mesure 4 : tracer qui consulte et qui modifie
Pour les traces applicatives, la CNIL demande d’enregistrer la création, la consultation, le partage, la modification et la suppression de données, avec l’identifiant de l’auteur, la date, l’heure, la nature de l’opération et la référence de la donnée. Les interventions des administrateurs et les anomalies sont enregistrées aussi.
Les traces se conservent sur une période glissante de six mois à un an, avec des exceptions possibles (obligation légale, contentieux, analyse après incident). Elles sont protégées contre les modifications non autorisées et ne contiennent jamais de mot de passe. Les agents sont informés que la journalisation existe, et les prestataires sont tenus par contrat de journaliser et de signaler les incidents (CNIL, « Sécurité : Tracer les opérations », 14 mars 2024). À partir du 2 décembre 2027, un système d’IA à haut risque aura ses propres règles de conservation : voir les journaux qu’exigera l’AI Act pour un système à haut risque.
Mesure 5 : chiffrer et mettre à jour
La CNIL cite des algorithmes reconnus, comme AES pour le chiffrement et bcrypt, scrypt, Argon2 ou PBKDF2 pour stocker les mots de passe, et proscrit DES, 3DES, MD5 et SHA-1. Les clés se protègent par des droits d’accès restrictifs et se gèrent selon une procédure écrite (CNIL, « Sécurité : Chiffrement, hachage, signature », 14 mars 2024).
Cybermalveillance.gouv.fr demande d’appliquer vite les correctifs de sécurité, d’abord sur les équipements exposés à Internet comme les VPN et les pare-feu, et de sécuriser l’accès à distance par un VPN avec une authentification à deux facteurs, télémaintenance comprise.
Mesure 6 : encadrer les prestataires
La base d’une mairie est souvent hébergée ou exploitée par un éditeur, un hébergeur ou un infogérant. L’article 28 du RGPD impose alors un contrat de sous-traitance, qui fixe ce que le prestataire fait des données et ce qu’il doit à la mairie.
L’ANSSI décrit, pour 2025, deux scénarios qui passent par un prestataire. Un attaquant compromet un prestataire, exfiltre les ressources de ses clients, puis se déplace dans le système d’information de plusieurs d’entre eux avec des identifiants volés. Ou bien un rançongiciel frappe un prestataire et coupe l’accès de tous ses clients à l’application qu’il fournit (panorama 2025, pages 48 et 49).
Le 24 décembre 2025, la CNIL a publié une amende de 1,7 million d’euros contre un éditeur, pour la sécurité insuffisante d’un logiciel de relation avec les usagers de l’action sociale, utilisé notamment par des maisons départementales des personnes handicapées. La formation restreinte relève une faiblesse généralisée du système d’information et des failles déjà signalées par des audits, corrigées seulement après les fuites (CNIL, 24 décembre 2025).
Trois questions à poser par écrit à un prestataire : quels sont ses sous-traitants et dans quels pays traitent-ils les données, comment sont faites ses sauvegardes (fréquence, lieu, copie hors ligne), et sous quel délai prévient-il la mairie d’un incident.
Mesure 7 : préparer le jour de l’attaque
Le réseau attaqué ne donne plus accès au document qui décrit quoi faire. La conduite à tenir s’écrit donc avant l’incident, sur papier, avec les numéros à appeler.
La fiche de Cybermalveillance.gouv.fr (publiée le 3 juin 2025, mise à jour le 7 mai 2026) donne les gestes suivants :
- couper les connexions Internet du réseau attaqué et isoler les machines atteintes (câble réseau, Wi-Fi) ;
- débrancher les sauvegardes connectées au réseau ;
- appeler son prestataire informatique ou le 17Cyber ;
- ne pas payer la rançon : rien ne garantit la récupération des données, et le paiement encourage d’autres attaques ;
- conserver les journaux, les copies des machines et la note de rançon, puis déposer plainte avant de réinstaller, au plus tard 72 heures après avoir eu connaissance de l’attaque si la mairie veut être indemnisée par son assurance (article L. 12-10-1 du code des assurances) ;
- prévenir son assureur ; si des données personnelles sont touchées, la mairie notifie la violation à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes (article 33 du RGPD).
Sur l’extinction des machines, les sources se nuancent. La fiche de Cybermalveillance.gouv.fr demande de ne pas éteindre les machines atteintes. L’ANSSI cite une entité qui, en 2025, a débranché électriquement son centre de données : l’arrêt total qui a suivi a perturbé son activité sur le long cours, et une extinction brutale peut aussi effacer des traces. L’agence juge indispensable un plan de continuité d’activité et un plan de reprise d’activité écrits à l’avance (panorama 2025, page 12).
Ce que la loi demande à une commune
L’article 32 du RGPD impose des mesures de sécurité adaptées au risque. L’article 37 impose à tout organisme public de désigner un délégué à la protection des données, qui peut être mutualisé entre plusieurs collectivités.
La directive européenne NIS 2 est un autre sujet. Sa transposition française est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le Sénat l’a adopté le 12 mars 2025 (Sénat, dossier législatif, page mise à jour le 17 mars 2026). La commission spéciale de l’Assemblée nationale l’a adopté à son tour le 10 septembre 2025. Le 6 octobre 2026, la conférence des présidents l’a retiré des séances des 7 et 9 octobre, sans nouvelle date au 21 octobre 2026 selon Leto Legal. Dans le texte de cette commission, les régions, les départements et les communes de plus de 30 000 habitants sont des entités essentielles et les communautés de communes des entités importantes ; les autres communes n’y figurent pas comme telles, mais un établissement social ou médico-social, même géré par un centre communal d’action sociale, y figure (articles 8 et 9 du texte n° 1779). Les sept mesures de cette page ne dépendent pas de ce texte.
Où trouver de l’aide gratuite
Le portail MesServicesCyber de l’ANSSI propose aux collectivités un diagnostic « cyberdépart » gratuit d’environ une heure avec un aidant cyber, un diagnostic guidé (MonAideCyber), un programme « Se lancer en 12 mesures » et des contacts locaux. Le 17Cyber aide pendant un incident (page consultée le 20 octobre 2026).
Chez Marianne
Marianne est en test : aucune commune ne l’a en service. Voici ce que Civik-ia a mis en place sur son serveur, tel que la page Conformité RGPD le décrit au 20 octobre 2026.
- Les échanges entre le navigateur et la plateforme sont chiffrés (HTTPS).
- L’accès d’administration au serveur se fait par clé cryptographique, réservée au président de Civik-ia.
- Les sauvegardes sont quotidiennes sur le serveur, avec une copie hors site en France.
- Une batterie d’attaques est rejouée après chaque modification des consignes du modèle, de l’authentification ou du serveur web.
- À l’ouverture de l’espace mairie, les mots de passe et les codes de connexion seront conservés sous forme d’empreinte.
Civik-ia ne détient aucune certification de sécurité, et Marianne n’est pas hébergée sur une offre qualifiée SecNumCloud. Une mairie qui étudie Marianne reçoit l’accord sur le traitement des données avec la proposition et peut demander ce détail par écrit. Le produit est présenté sur la page Marianne ; le cadre de ses six critères est sur la page guichet citoyen IA.
Questions fréquentes
Par où commencer pour sécuriser les données d’une mairie ?
Par les sauvegardes : trois copies sur deux supports, dont une hors ligne, restaurées à l’essai (règle 3-2-1 de la CNIL). Viennent ensuite un compte par agent avec authentification à plusieurs facteurs et des droits limités à chaque mission. Un diagnostic gratuit existe sur MesServicesCyber.
Une petite commune est-elle une cible ?
Oui. L’ANSSI constate que les attaques par rançongiciel ciblent « indistinctement la plupart des secteurs et des zones géographiques ». En 2025, les collectivités territoriales représentent 11 % des victimes de rançongiciel portées à sa connaissance.
Faut-il payer la rançon ?
Non, selon Cybermalveillance.gouv.fr : rien ne garantit la récupération des données, et le paiement encourage d’autres attaques. La fiche conseille de déposer plainte avant de réinstaller, et de vérifier sur le site No More Ransom si un outil de déchiffrement existe.
Combien de temps conserver les journaux d’accès ?
La CNIL recommande une période glissante de six mois à un an, avec des exceptions possibles pour une obligation légale, un contentieux ou une analyse après incident. Au-delà, les traces se suppriment : les conserver sans limite de durée est une erreur.
Que faire en cas de fuite de données personnelles ?
Prévenir le délégué à la protection des données, puis notifier la violation à la CNIL dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes (article 33 du RGPD). Les personnes concernées sont prévenues quand le risque est élevé (article 34), et la violation s’inscrit dans le registre de la mairie même sans notification. Déposer plainte et appeler le 17Cyber. Les journaux et les copies des machines se conservent comme preuves.
Un hébergeur qualifié SecNumCloud dispense-t-il de sécuriser la base ?
Non. L’ANSSI écrit que « l’hébergement d’un site web sur une offre qualifiée n’enlève pas la nécessité de sécuriser le site web en lui-même ». La qualification porte sur l’offre d’hébergement, pas sur le niveau de sécurité des services du client (ANSSI, recommandations pour l’hébergement dans le cloud, juillet 2024).