La directive NIS2 transposée en droit français change la donne pour les directions des systèmes d’information territoriales. Les collectivités ne choisissent plus d’investir dans la cybersécurité : elles y sont juridiquement contraintes, avec des sanctions à la clé. Ce cadre réglementaire redistribue les priorités budgétaires et techniques de l’ensemble du secteur public local.
Obligations NIS2 et cybersécurité des collectivités territoriales
La classification des collectivités en deux niveaux d’exigence constitue le changement structurel majeur. Les régions, départements, métropoles, communautés urbaines et communes de plus de 30 000 habitants sont désormais classées entités essentielles, soumises au régime le plus strict. Les communautés d’agglomération, communautés de communes et certains SDIS relèvent du statut d’entités importantes, avec un niveau intermédiaire.
A voir aussi : Comment profiter de l'exclusivité internet à la maison pour une connexion optimale
Les obligations ne se limitent pas à une déclaration d’intention. Chaque collectivité concernée doit formaliser une politique de sécurité des systèmes d’information, conduire une analyse de risques documentée et mettre en place un plan de continuité d’activité pour ses services numériques critiques.
La notification des incidents significatifs à l’ANSSI dans les 24 heures, suivie d’un rapport détaillé sous 72 heures, transforme la gestion de crise. Les DSI territoriales qui fonctionnaient avec des procédures informelles doivent désormais structurer une astreinte et des circuits d’escalade opérationnels. Nous observons que cette contrainte temporelle pousse de nombreuses collectivités à externaliser tout ou partie de leur supervision de sécurité auprès de centres opérationnels de sécurité mutualisés.
A voir aussi : Comment réussir les meilleures associations avec les blettes au potager cette saison
Pour approfondir les enjeux techniques qui en découlent, l’informatique sur Collectivité Numérique détaille les architectures adaptées aux contraintes du secteur public local.
Gouvernance de la donnée territoriale et open data
La fragmentation des systèmes d’information reste le principal obstacle à une gouvernance cohérente de la donnée dans les collectivités. Chaque direction métier (urbanisme, état civil, finances, voirie) a historiquement déployé ses propres outils, souvent sans interopérabilité. Unifier les référentiels de données avant de parler d’open data est un préalable technique non négociable.
L’ouverture des données publiques impose par ailleurs de concilier deux cadres juridiques en tension. D’un côté, l’obligation de publication des documents administratifs et des bases de données. De l’autre, les exigences du RGPD sur la protection des données personnelles. La CNIL rappelle que les collectivités doivent anonymiser ou pseudonymiser les jeux de données avant publication, ce qui suppose des compétences et des outils que beaucoup de petites intercommunalités ne possèdent pas en interne.
- Cartographier l’ensemble des bases de données métier et identifier les doublons, les formats propriétaires et les données personnelles à traiter avant toute ouverture
- Désigner un référent gouvernance de la donnée distinct du DPO, chargé de piloter la qualité, la mise à jour et l’interopérabilité des jeux de données
- Privilégier des formats ouverts et des API standardisées plutôt que des exports CSV ponctuels, pour permettre une réutilisation réelle par les acteurs du territoire
Cloud souverain et mode SaaS pour les services publics locaux
La migration vers le cloud en mode SaaS progresse rapidement dans les collectivités, portée par la réduction des coûts d’infrastructure et la simplification de la maintenance applicative. La question de la souveraineté numérique structure désormais le choix des prestataires. Héberger les données des administrés chez un fournisseur soumis à des législations extraterritoriales expose la collectivité à un risque juridique direct.
Nous recommandons de distinguer clairement les données sensibles (état civil, aide sociale, fiscalité locale) des données de fonctionnement courant. Les premières appellent un hébergement qualifié SecNumCloud ou équivalent. Les secondes peuvent tolérer un niveau de certification moindre, à condition que le contrat précise la localisation des données et les conditions de réversibilité.
Le piège classique du SaaS territorial réside dans la dépendance au fournisseur. Une collectivité qui migre sa gestion financière ou ses outils RH vers une plateforme propriétaire sans clause de réversibilité claire se retrouve captive. L’exigence d’export des données dans un format ouvert, testée en conditions réelles avant la signature du marché, devrait figurer dans tout cahier des charges.
Intelligence artificielle et numérique responsable dans les collectivités
L’intelligence artificielle arrive dans les collectivités par des cas d’usage ciblés plutôt que par des déploiements massifs. Traitement automatisé des courriers entrants, classification des demandes usagers, détection d’anomalies dans la consommation énergétique des bâtiments publics : ces applications génèrent des gains mesurables sans nécessiter une refonte complète du SI.
Le frein principal n’est pas technologique mais organisationnel. Former les agents à l’utilisation d’outils augmentés par l’IA, définir les cas où la décision automatisée doit être validée par un humain, documenter les algorithmes utilisés pour respecter les obligations de transparence : ces chantiers mobilisent du temps et des compétences que les effectifs actuels des DSI territoriales peinent à dégager.
Le volet numérique responsable ajoute une couche de contraintes. La loi REEN impose aux collectivités de plus de 50 000 habitants une stratégie de réduction de l’empreinte environnementale du numérique. Concrètement, cela se traduit par des critères environnementaux dans les marchés publics informatiques, un allongement de la durée de vie des équipements et une rationalisation des infrastructures serveur.
- Intégrer des critères environnementaux dans les marchés publics informatiques, conformément aux obligations issues de la loi Climat et Résilience
- Mesurer l’empreinte carbone du parc numérique existant avant de fixer des objectifs de réduction chiffrés
- Favoriser le réemploi et le reconditionnement des postes de travail, en lien avec les filières locales de l’économie circulaire
- Documenter les algorithmes d’IA déployés pour garantir la transparence vis-à-vis des administrés et des élus
L’articulation entre ces quatre axes (cybersécurité réglementaire, gouvernance des données, souveraineté cloud, IA responsable) dessine le périmètre réel de la transformation numérique territoriale pour les prochaines années. Les collectivités qui traitent ces sujets en silos reproduisent les erreurs de fragmentation qui ont rendu leurs systèmes d’information si difficiles à faire évoluer. Piloter ces chantiers de manière transversale, sous l’autorité d’une direction du numérique et pas seulement d’une DSI technique, reste la condition pour que ces investissements produisent des résultats durables.