A diretiva NIS2 transposta para o direito francês muda o cenário para as direções dos sistemas de informação territoriais. As coletividades não escolhem mais investir em cibersegurança: elas são juridicamente obrigadas a fazê-lo, com sanções a serem aplicadas. Este quadro regulatório redistribui as prioridades orçamentárias e técnicas de todo o setor público local.
Obrigações NIS2 e cibersegurança das coletividades territoriais
A classificação das coletividades em dois níveis de exigência constitui a mudança estrutural mais significativa. As regiões, departamentos, metrópoles, comunidades urbanas e municípios com mais de 30.000 habitantes são agora classificadas como entidades essenciais, sujeitas ao regime mais rigoroso. As comunidades de aglomeração, comunidades de municípios e alguns SDIS estão sob o status de entidades importantes, com um nível intermediário.
As obrigações não se limitam a uma declaração de intenção. Cada coletividade envolvida deve formalizar uma política de segurança dos sistemas de informação, realizar uma análise de riscos documentada e implementar um plano de continuidade de atividade para seus serviços digitais críticos.
A notificação de incidentes significativos à ANSSI dentro de 24 horas, seguida de um relatório detalhado em até 72 horas, transforma a gestão de crises. As DSI territoriais que funcionavam com procedimentos informais devem agora estruturar uma escala de plantão e circuitos de escalonamento operacionais. Observamos que essa pressão temporal leva muitas coletividades a terceirizar total ou parcialmente sua supervisão de segurança para centros operacionais de segurança compartilhados.
Para aprofundar as questões técnicas que surgem, a informática na Coletividade Numérica detalha as arquiteturas adaptadas às restrições do setor público local.
Governança dos dados territoriais e open data
A fragmentação dos sistemas de informação continua sendo o principal obstáculo a uma governança coerente dos dados nas coletividades. Cada direção de área (urbanismo, estado civil, finanças, vias públicas) historicamente implantou suas próprias ferramentas, muitas vezes sem interoperabilidade. Unificar os referenciais de dados antes de falar em open data é uma condição técnica não negociável.
A abertura dos dados públicos impõe, por sua vez, a conciliação de dois quadros jurídicos em tensão. De um lado, a obrigação de publicação dos documentos administrativos e das bases de dados. Do outro, as exigências do RGPD sobre a proteção dos dados pessoais. A CNIL lembra que as coletividades devem anonimizar ou pseudonimizar os conjuntos de dados antes da publicação, o que requer competências e ferramentas que muitas pequenas intercomunidades não possuem internamente.
- Mapear todas as bases de dados de área e identificar duplicatas, formatos proprietários e dados pessoais a serem tratados antes de qualquer abertura
- Designar um responsável pela governança dos dados distinto do DPO, encarregado de gerenciar a qualidade, a atualização e a interoperabilidade dos conjuntos de dados
- Priorizar formatos abertos e APIs padronizadas em vez de exportações CSV pontuais, para permitir uma reutilização real pelos atores do território
Cloud soberano e modo SaaS para os serviços públicos locais
A migração para o cloud em modo SaaS avança rapidamente nas coletividades, impulsionada pela redução dos custos de infraestrutura e pela simplificação da manutenção de aplicativos. A questão da soberania digital agora estrutura a escolha dos prestadores de serviços. Hospedar os dados dos administrados em um fornecedor sujeito a legislações extraterritoriais expõe a coletividade a um risco jurídico direto.
Recomendamos distinguir claramente os dados sensíveis (estado civil, assistência social, tributação local) dos dados de operação cotidiana. Os primeiros exigem um armazenamento qualificado SecNumCloud ou equivalente. Os segundos podem tolerar um nível de certificação menor, desde que o contrato especifique a localização dos dados e as condições de reversibilidade.
O clássico risco do SaaS territorial reside na dependência do fornecedor. Uma coletividade que migra sua gestão financeira ou suas ferramentas de RH para uma plataforma proprietária sem uma cláusula de reversibilidade clara se torna refém. A exigência de exportação dos dados em um formato aberto, testada em condições reais antes da assinatura do contrato, deve constar de qualquer caderno de encargos.
Inteligência artificial e digital responsável nas coletividades
A inteligência artificial chega às coletividades por meio de casos de uso específicos, em vez de implantações massivas. Processamento automatizado de correspondências recebidas, classificação de solicitações de usuários, detecção de anomalias no consumo energético de edifícios públicos: essas aplicações geram ganhos mensuráveis sem exigir uma reestruturação completa do SI.
O principal obstáculo não é tecnológico, mas organizacional. Treinar os agentes para o uso de ferramentas aumentadas pela IA, definir os casos em que a decisão automatizada deve ser validada por um humano, documentar os algoritmos utilizados para respeitar as obrigações de transparência: esses projetos demandam tempo e competências que os efetivos atuais das DSI territoriais têm dificuldade em liberar.
O aspecto digital responsável adiciona uma camada de restrições. A lei REEN impõe às coletividades com mais de 50.000 habitantes uma estratégia de redução da pegada ambiental do digital. Concretamente, isso se traduz em critérios ambientais nos contratos públicos de informática, um aumento da vida útil dos equipamentos e uma racionalização das infraestruturas de servidores.
- Integrar critérios ambientais nos contratos públicos de informática, de acordo com as obrigações decorrentes da lei Clima e Resiliência
- Medir a pegada de carbono do parque digital existente antes de estabelecer objetivos de redução quantitativos
- Promover o reuso e o recondicionamento dos postos de trabalho, em conexão com as cadeias locais da economia circular
- Documentar os algoritmos de IA implantados para garantir a transparência em relação aos administrados e aos eleitos
A articulação entre esses quatro eixos (cibersegurança regulatória, governança dos dados, soberania cloud, IA responsável) delineia o perímetro real da transformação digital territorial para os próximos anos. As coletividades que tratam esses assuntos em silos reproduzem os erros de fragmentação que tornaram seus sistemas de informação tão difíceis de evoluir. Gerenciar esses projetos de forma transversal, sob a autoridade de uma direção de digital e não apenas de uma DSI técnica, continua sendo a condição para que esses investimentos produzam resultados duradouros.