Secteur public et collectivités
Quand un service public s’arrête, tout le monde le voit le jour même.
Réponse courte
Secteur public : quels risques, quelle première mission ?
Dans le secteur public, les priorités sont la continuité du service aux administrés et la protection de leurs données : correctifs à fort effet et faible coût, livrables réutilisables dans un dossier de financement ou un marché, transfert de compétences. Le cadre mêle NIS 2 pour les entités concernées, le RGPD et le RGS. L’homologation de sécurité est une décision de l’autorité, jamais de Reconmind.
Les collectivités et établissements publics subissent une menace de même intensité que le privé, avec des contraintes supplémentaires : hétérogénéité héritée des années, dépendance à des éditeurs métier spécialisés, et des moyens humains rarement dédiés à la sécurité.
Les missions s’adaptent à ce cadre : priorité donnée aux correctifs à fort effet et faible coût, livrables directement réutilisables dans un dossier de subvention ou un marché public, et transfert de compétences aux équipes internes.
La continuité du service au public et la protection des données des administrés guident l’ordre des priorités, avant les sujets de conformité formelle.
Les données d’état civil, d’action sociale ou de santé scolaire se conservent longtemps et ne se révoquent pas : une fuite touche des administrés qui n’ont jamais choisi de confier ces informations. Quand un hébergeur de données de santé intervient, la chaîne de sous-traitance compte autant que le service lui-même.
Les scénarios les plus fréquents dans ce secteur
Ces scénarios orientent la mission : ils déterminent où passe le temps d’analyse et quels parcours sont examinés en priorité.
Rançongiciel avec interruption du service public
État civil, cantine, paie, urbanisme : l’arrêt est immédiatement visible des administrés et de la presse.
Téléservices et portails citoyens
Accès au dossier d’un autre administré, pièces justificatives exposées, parcours d’authentification faible.
Dépendance aux éditeurs métier
Applications spécialisées peu auditables, accès de maintenance permanents, correctifs tributaires du calendrier de l’éditeur.
Messagerie et usurpation
Absence de protection du domaine contre l’usurpation, fraude au virement sur les régies, hameçonnage des agents.
Mutualisation entre collectivités
Syndicats informatiques, centres de gestion et intercommunalités mutualisent messagerie, logiciels métier et hébergement pour plusieurs communes. Une compromission de la plateforme commune atteint toutes les structures qui en dépendent, y compris celles qui n’ont aucun moyen de la voir : le périmètre à auditer dépasse alors celui d’une seule entité.
Contraintes réglementaires et contractuelles
- NIS 2, pour de nombreuses entités publiques
- RGPD et données des administrés
- Référentiels ANSSI et doctrine de l’État
- Procédures de marchés publics et calendriers budgétaires
- Référentiel général de sécurité (RGS), pour les échanges électroniques avec les usagers et entre administrations
Cette liste sert à cadrer la mission et ne remplace pas une analyse juridique. Le périmètre exact de vos obligations se détermine avec votre conseil.
Par où commencer
Conformité NIS 2
Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
dès 1 900 € HT
Homologation de sécurité
Faire accepter formellement les risques résiduels par l’autorité qui en répond.
sur devis
Secteur public : les questions qu’on nous pose
Qui prononce l’homologation de sécurité d’un téléservice ?
L’autorité d’homologation, le plus souvent le responsable de l’organisme, après avoir pris connaissance des risques du système et accepté ceux qui subsistent. Le référentiel général de sécurité (RGS) en décrit la démarche. Reconmind accompagne cette démarche : analyse de risques, audits de vérification, plan d’actions, dossier de décision. Nous ne prononçons aucune homologation et nous n’en tenons pas la place : la décision est tracée par écrit, avec une durée de validité et une date de réexamen.
La plateforme informatique que nous partageons avec d’autres communes doit-elle être auditée ?
Oui, et à l’échelle de la mutualisation, pas d’une seule commune. Quand un syndicat informatique, un centre de gestion ou une intercommunalité héberge la messagerie, les logiciels métier ou la sauvegarde de plusieurs structures, une compromission de la plateforme commune les atteint toutes. L’audit porte donc sur la plateforme, sur les accès de chaque structure à celle-ci et sur la façon dont les incidents sont signalés. La répartition des coûts et des décisions entre structures se règle avant la mission.
NIS 2 s’applique-t-elle aux collectivités territoriales ?
La directive vise les administrations publiques centrales et laisse chaque État libre de l’étendre aux niveaux régional et local ; le texte français de transposition fixe le périmètre exact. Au 10 novembre 2026, ce projet de loi, adopté par le Sénat le 12 mars 2025, est examiné en première lecture à l’Assemblée nationale du 9 au 13 novembre 2026 : il n’est ni définitivement adopté ni promulgué (source : assemblee-nationale.fr). Suivez son statut sur legifrance.gouv.fr ; en attendant, ses mesures de base restent de bonnes pratiques.
Pour situer votre cas
- SecteursComparer avec les autres secteursCe qui change d’un secteur à l’autre dans l’ordre des priorités.
- ParcoursLa lecture selon votre rôleRSSI, direction générale ou équipe technique : trois façons de décider.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début