Cybersécurité du secteur public : la continuité des missions critiques devient le vrai test de résilience
La numérisation des services publics a renforcé leur dépendance au système d’information. En 2025, plus de 300 des 1 366 incidents traités par l’ANSSI concernaient des collectivités territoriales, deuxième secteur le plus touché après l’éducation et la recherche. Une attaque peut rapidement affecter le fonctionnement des services : à Drancy, la cyberattaque de juillet 2026 a conduit la ville à débrancher près d’une centaine de serveurs et à fonctionner pendant plusieurs semaines avec une partie de ses outils indisponibles. L’enjeu est de savoir comment une administration continue à assurer ses missions lorsqu’une partie de son système d’information devient indisponible. Les choix techniques, les compétences et l’organisation doivent être alors être pensés en fonction des missions à maintenir et de leur criticité.
Construire une « forteresse imprenable » ne répond plus à tous les risques
La cybersécurité s’est longtemps construite autour d’une logique de « forteresse imprenable », en ajoutant des protections pour empêcher l’attaquant d’entrer. Cette logique atteint aujourd’hui ses limites face à la réalité du patrimoine numérique public. Les administrations travaillent avec des systèmes anciens, des applications qui communiquent parfois mal entre elles, des infrastructures hétérogènes et des équipements vieillissants. Cette dette technique crée des vulnérabilités structurelles et pose une question plus large de modernisation du patrimoine numérique de l’État et des collectivités.
La protection du système reste indispensable, mais elle ne peut garantir qu’une attaque n’aboutira jamais. Il faut donc aussi préparer ce qui se passe lorsqu’elle survient. Cela implique de sortir d’une « politique pompier » où l’on constate l’incident, on répare, puis on reprend comme avant, sans toujours traiter les fragilités qui ont permis à l’attaque d’avoir un impact.
La numérisation du service public rend cette question plus sensible. Lorsqu’une messagerie, une application métier ou un portail devient indisponible, le problème touche directement le travail des agents et l’accès aux services. La cybersécurité rejoint alors la continuité du service public.
La résilience se joue d’abord sur les missions à préserver
La résilience prend un sens différent sur le service concerné. Une mairie, un établissement scolaire, un conseil départemental ou une administration fiscale n’ont ni les mêmes métiers, ni les mêmes contraintes, ni les mêmes systèmes. Leur capacité à continuer à fonctionner sous attaque doit donc être pensée à partir de leurs missions.
La réflexion porte sur ce qui doit continuer à fonctionner lorsque le système d’information est touché. Quels services doivent rester accessibles ? Quelles applications et quelles données sont nécessaires pour les maintenir ? Cette approche oblige à regarder la résilience dans sa globalité et à tenir compte des contraintes propres à chaque activité.
Les dispositifs techniques restent indispensables, mais ils ne suffisent pas à eux seuls à assurer la résilience. Une sauvegarde, par exemple, n’est réellement utile que si elle peut être restaurée et si les données qu’elle contient sont saines. Il en va de même pour un PRA ou les autres mécanismes de sécurité : ils doivent s’inscrire dans une approche globale, pensée en fonction du métier et du service à maintenir.
Des systèmes connectés, des décisions fragmentées
La structure du secteur public ajoute une difficulté. Les écoles, les mairies, les départements et d’autres entités utilisent des systèmes qui communiquent entre eux, alors que les budgets, les décisions et les responsabilités relèvent de niveaux différents. Tout est connecté, tandis que la gouvernance reste répartie entre plusieurs acteurs.
Ces connexions augmentent les surfaces d’attaque et compliquent aussi la continuité lorsqu’un système est touché. Une faiblesse dans une petite structure peut aussi servir de point de rebond vers une autre entité avec laquelle elle échange. Dans le même temps, une interruption peut affecter plusieurs services ou organisations qui dépendent les uns des autres.
Cette situation s’accompagne d’une cybersécurité à deux vitesses : les grandes administrations disposent davantage de moyens et de compétences, tandis que les petites collectivités restent plus vulnérables. La mutualisation fait partie des réponses à explorer, avec une difficulté : les collectivités exercent des métiers différents et utilisent des systèmes différents. Le niveau de protection doit donc rester adapté à la criticité de l’activité, y compris pour les structures qui disposent de moins de ressources.
Les outils prennent leur sens avec les compétences et la gouvernance
La cybersécurité demande des investissements technologiques, mais aussi les compétences nécessaires pour exploiter les solutions mises en place. Les administrations disposent rarement en interne de toutes les expertises requises dans un domaine qui couvre de nombreuses technologies et surfaces d’attaque. Le recours aux prestataires répond à ce manque de compétences, tout en multipliant les intervenants ayant accès au système d’information.
La supervision illustre cette difficulté. Une organisation peut déployer des technologies capables de surveiller son système d’information en continu ; sans gouvernance et sans compétences pour comprendre ce qu’elles remontent, les alertes peuvent s’accumuler sans être interprétées. La technologie doit donc s’accompagner d’une capacité à analyser, à décider et à répondre.
La sensibilisation des utilisateurs fait également partie de cette organisation. Les personnes qui travaillent avec le système d’information doivent être préparées aux menaces et savoir comment réagir. Prévention, surveillance, détection, réponse et amélioration continue doivent ainsi fonctionner ensemble.
À la logique de la « forteresse imprenable » s’ajoute donc une autre exigence : être capable de continuer à assurer les missions du service public lorsqu’une attaque réussit à affecter le système d’information. Cette capacité repose autant sur la connaissance des métiers et de leurs priorités que sur les outils, les compétences et l’organisation mobilisés pour les protéger.
Pour Éric Aquaba, Responsable Innovation et Service et Frédéric Ordronneau, Directeur BU IT chez Syxperiane
1.ANSSI, audition de Vincent Strubel devant la délégation aux collectivités territoriales du Sénat, mars 2026.
2.Ville de Drancy, Un été à reconstruire l’infrastructure informatique municipale, août 2026.