Accueil · Blog · Numérique & données
Numérique & données

NIS2 : les nouvelles obligations de cybersécurité des communes et EPCI

CPCorentin Poilbout·13 août 2026·Mis à jour le 13 août 2026·≈ 4 min de lecture

Cyberattaques en hausse, périmètre élargi : avec NIS2, de nombreuses communes et EPCI vont devenir « entités essentielles » ou « importantes ». Ce qu'il faut anticiper dès 2026.

Une commune paralysée par un rançongiciel, un EPCI privé de son état civil, des données d'usagers exfiltrées : les cyberattaques contre les collectivités ne sont plus des exceptions. La directive européenne NIS2 entend y répondre en imposant un socle commun de cybersécurité. Sa transposition en droit français est en cours, mais les communes, les EPCI et leurs dirigeants ont tout intérêt à s'y préparer sans attendre.

NIS2 : de quoi s'agit-il ?

NIS2 est la directive (UE) 2022/2555 du 14 décembre 2022. Elle remplace la première directive NIS et élargit considérablement le champ des organisations soumises à des obligations de cybersécurité. Sa date limite de transposition était fixée au 17 octobre 2024 : la France est en retard et la Commission européenne a engagé une procédure à son encontre. La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025 et examiné à l'Assemblée nationale, mais pas encore définitivement adopté ni promulgué à ce jour. Les obligations ne deviendront pleinement contraignantes qu'une fois la loi, ses décrets et les référentiels de l'ANSSI publiés.

Quelles collectivités sont concernées ?

C'est la nouveauté majeure : de nombreuses collectivités entrent dans le périmètre. Selon le projet de texte, les régions et les départements seraient des « entités essentielles », de même que les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines et les communautés d'agglomération. Les autres EPCI, notamment les communautés de communes, seraient classés « entités importantes ». Au total, environ 15 000 entités seraient concernées en France, tous secteurs confondus. Les seuils précis relèvent des textes d'application et devront être confirmés par décret. Même en dessous des seuils, une petite commune reste indirectement concernée via ses prestataires informatiques et ses syndicats mutualisés.

L'ANSSI, autorité de contrôle

L'ANSSI serait l'autorité nationale compétente et unique pour NIS2, hors secteur financier. Chaque entité devra s'identifier et s'enregistrer sur la plateforme MonEspaceNIS2, qui propose déjà un outil d'auto-évaluation. L'ANSSI disposera de pouvoirs de contrôle, d'injonction et de sanction, avec une logique affichée d'accompagnement avant répression.

Les obligations concrètes

Les entités devront mettre en place des mesures techniques et organisationnelles de gestion des risques, proportionnées à leur exposition. On y retrouve notamment :

  • une analyse des risques et une politique de sécurité des systèmes d'information ;
  • la gestion des incidents et un plan de continuité et de reprise d'activité (sauvegardes, gestion de crise) ;
  • la sécurité de la chaîne d'approvisionnement et des prestataires ;
  • le chiffrement, le contrôle des accès et l'authentification multifacteur ;
  • l'hygiène informatique et la formation des agents ;
  • la notification des incidents significatifs à l'ANSSI : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.

Lorsqu'un incident touche des données personnelles, l'obligation de notifier la CNIL sous 72 heures au titre du RGPD s'ajoute à celle prévue par NIS2.

La responsabilité des élus et des dirigeants

NIS2 responsabilise directement l'organe de direction. Les élus et les dirigeants (maire, président d'EPCI, DGS) devraient approuver les mesures de gestion des risques, en superviser la mise en œuvre et suivre une formation dédiée. Leur responsabilité pourrait être engagée en cas de manquement caractérisé ; pour les entités essentielles, une interdiction temporaire d'exercer certaines fonctions dirigeantes est même envisagée. Nous avons déjà consacré un article à la conduite à tenir « que faire en cas de cyberattaque de la commune », complément utile à cette démarche de prévention.

Calendrier 2026 et sanctions

Une fois la loi entrée en vigueur, la première étape sera l'enregistrement sur MonEspaceNIS2 et la détermination du statut de l'entité. L'ANSSI a évoqué un délai d'environ trois ans après la publication des exigences techniques pour atteindre une conformité complète, assorti d'une phase d'accompagnement. Sur le plan des sanctions, la directive prévoit des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes ; leur application aux collectivités fait encore débat et sera précisée par les textes.

Ce que les collectivités doivent faire dès maintenant

Sans attendre la promulgation définitive, il est prudent de désigner un référent cybersécurité, de cartographier ses systèmes d'information et ses prestataires, de vérifier l'état de ses sauvegardes et de son authentification multifacteur, et de préparer une procédure de notification d'incident. Un premier autodiagnostic, via les outils de l'ANSSI, permet de mesurer l'écart à combler. Anticiper, c'est aussi lisser l'effort budgétaire et sécuriser la responsabilité des élus.

Le cabinet Bouilland Poilbout Avocats accompagne les collectivités dans leur mise en conformité (cybersécurité, RGPD, gouvernance de la donnée).

Références : directive (UE) 2022/2555 (NIS2) ; projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (en cours d'adoption) ; recommandations de l'ANSSI.

Partager
Corentin Poilbout, avocat associé
Avocat associé

Corentin Poilbout

Pénal des affaires publiques et probité. Élu local depuis 2014, il défend élus, agents et collectivités face au risque pénal.

Voir le profil

Une question sur ce sujet ?

Exposez votre situation au cabinet — réponse rapide, y compris en cas d'urgence.