NIS2 et collectivités : périmètre et préparation

Pour une collectivité territoriale, NIS2 demande de distinguer le périmètre européen, les choix de transposition française et les obligations de sécurité déjà applicables. Une mairie ne doit pas être classée uniquement en convertissant son budget en chiffre d’affaires. Les règles propres aux administrations publiques comptent aussi pour la gouvernance et les sanctions.

Ce que la directive prévoit pour les administrations

L’Art. 2(2)(f) vise les administrations centrales et, sous les conditions qu’il précise, régionales. Pour ces dernières, le texte prévoit une évaluation fondée sur les risques et les conséquences possibles d’une perturbation. L’extension aux administrations locales relève de l’option offerte aux États par l’Art. 2(5)(a). Les exclusions de l’Art. 2(7) doivent également être examinées. Source : directive (UE) 2022/2555, Art. 2.

Il serait donc inexact d’affirmer que toute commune de 50 agents entre automatiquement dans le champ européen en tant qu’administration locale. Une activité sectorielle, par exemple l’exploitation d’un service couvert, demande par ailleurs une analyse propre de l’entité qui l’exerce.

Le guide des entités concernées présente la différence entre entrée dans le champ et classification essentielle ou importante.

France : les seuils envisagés restent à distinguer du droit adopté

Lors de son audition du 24 mars 2026, le directeur général de l’ANSSI a présenté le projet de couverture de certaines collectivités, en évoquant notamment les communes de moins de 30 000 habitants au travers de leur intercommunalité et le rôle des régions et départements. Il s’agit de l’explication d’un projet, pas d’une règle définitivement adoptée. Source : Sénat, audition du 24 mars 2026.

Au 28 septembre 2026, le projet Résilience est inscrit à l’ordre du jour de l’Assemblée nationale du 7 octobre. Le périmètre final et ses modalités devront être vérifiés dans les textes publiés. Source : Assemblée nationale, dossier législatif.

Une mutualisation informatique peut créer des dépendances et des exigences contractuelles. Elle ne transforme pas automatiquement chaque commune cliente en entité essentielle ou importante.

Les sanctions des entreprises ne se transposent pas telles quelles

L’Art. 34(7) permet aux États de déterminer si, et dans quelle mesure, des amendes administratives sont imposées aux administrations publiques. Le texte ne fournit pas une formule générale consistant à appliquer 2 % au budget de fonctionnement d’une collectivité. Source : NIS2, Art. 34(7).

L’Art. 32(5), relatif notamment à certaines suspensions et interdictions temporaires de direction, exclut les administrations publiques. Les Art. 20(1) et 32(6) réservent aussi les règles nationales de responsabilité des institutions, agents et responsables publics. Il faut examiner ces régimes avant d’annoncer une sanction personnelle automatique d’un élu ou d’un DGS. Source : NIS2, Art. 20 et 32.

Le guide des sanctions NIS2 développe ces distinctions.

Préparer la continuité des services aux usagers

La grille suivante est une proposition de préparation à adapter à la collectivité, quelle que soit sa qualification NIS2 définitive.

Le PCA doit traduire ces choix en procédures utilisables. Une mairie disposant d’une copie de ses données peut néanmoins rester bloquée si elle dépend d’un compte, d’une application ou d’un prestataire indisponible.

Articuler NIS2 et le RGPD

Les traitements de données personnelles restent soumis aux mesures adaptées de l’Art. 32 du RGPD. En cas de violation, l’Art. 33 distingue documentation et notification à l’autorité ; l’Art. 34 prévoit l’information des personnes sous ses propres conditions. Une attaque ne déclenche pas automatiquement toutes les notifications possibles. Source : RGPD, Art. 32 à 34.

Pour chaque incident, identifiez les données, les services affectés, les risques et les règles applicables. La matrice de notification cyber permet d’organiser cette qualification sans confondre assistance technique et signalement réglementaire.

Le DPO doit être associé aux conséquences sur les personnes ; il ne remplace pas l’autorité décisionnaire ni les équipes de réponse technique. Les pouvoirs d’urgence et les suppléances doivent être établis avant la crise.

Formaliser un dossier de préparation

Conservez une note de périmètre, les services prioritaires, les dépendances, les interlocuteurs, les écarts et les arbitrages. Vérifiez les modalités officielles avant l’enregistrement NIS2. Une aide financière ou un accompagnement ne doit pas être inscrit au plan comme acquis sans confirmation de ses conditions.

Établir une note de périmètre révisable

Confiez à une personne identifiée le suivi de la qualification. La note doit nommer l’entité examinée, ses activités et les services qu’elle exploite, puis distinguer le droit européen, le projet national et les informations encore nécessaires. Une réponse globale « le territoire est concerné » ne permet pas de savoir quelles personnes morales doivent agir.

Pour une organisation comprenant plusieurs structures, préparez une ligne par entité et activité pertinente : collectivité, établissement ou organisme distinct, service exercé directement ou confié à un tiers. Le tableau doit décrire la réalité juridique et opérationnelle ; il ne déduit pas la qualification de la seule appartenance au même territoire.

Inscrivez ensuite la source de chaque hypothèse. Une audition éclaire le projet, une convention décrit une relation entre acteurs et un texte publié fixe les règles applicables selon son entrée en vigueur. Ces documents ne jouent pas le même rôle. Lorsque la transposition évolue, vérifiez la conclusion au lieu de remplacer seulement la date en tête du document.

La veille doit aboutir à une action précise : confirmer le périmètre, revoir une responsabilité, préparer une formalité ou rechercher une information manquante. Conservez les anciennes conclusions avec leur date pour expliquer pourquoi l’organisation avait retenu une hypothèse différente. Cette méthode ne dispense pas de corriger rapidement une qualification devenue inexacte.

Clarifier ce que couvre réellement la mutualisation

Une convention de service doit être rapprochée du fonctionnement concret. L’intercommunalité peut administrer une application sans gérer tous les postes, comptes ou documents utilisés par une commune. Un hébergement commun peut aussi laisser certaines opérations à la charge du service local.

Une réunion de préparation peut examiner les situations suivantes :

Il s’agit d’une grille proposée, à adapter aux compétences, contrats et délégations réels. Elle ne transfère aucun pouvoir à un prestataire par sa seule rédaction. Lorsque le contrat reste silencieux, affectez la clarification à une personne et gardez la réserve visible jusqu’à sa résolution.

Préparer les arbitrages en cas de service indisponible

Pour chaque service prioritaire, décrivez ce qui doit rester possible pendant une interruption : recevoir une demande, identifier un dossier urgent, communiquer une information fiable ou préserver une échéance. Associez à cette fonction les personnes, locaux, équipements et informations nécessaires. Un nom d’application ne suffit pas à décrire le service rendu à l’usager.

Examinez ensuite les dépendances communes. Deux solutions présentées comme alternatives peuvent utiliser le même compte d’administration, le même réseau ou le même prestataire. Une procédure stockée uniquement dans l’outil indisponible ne sera pas accessible au moment utile. Prévoyez un accès adapté aux consignes et contacts, avec les protections nécessaires.

Le fonctionnement temporaire doit lui aussi respecter la protection des données. Limitez les informations recueillies, les personnes qui y accèdent et les copies créées. Prévoyez leur reprise dans le système habituel et leur sort ensuite, en tenant compte des règles de conservation applicables. La crise ne rend pas nécessaire la circulation de tous les dossiers entre tous les intervenants.

La reprise mérite enfin une décision explicite. Vérifiez les fonctions revenues, les données manquantes, les opérations à ressaisir et les réserves qui empêchent encore le fonctionnement normal. Le retour d’une page de connexion ne prouve pas que le service aux usagers est rétabli dans son ensemble.

Présenter aux décideurs un programme vérifiable

Pour chaque action, précisez le service protégé, le problème traité, les moyens nécessaires et la preuve attendue. Une demande de financement pour « être conforme NIS2 » reste trop générale si elle ne permet pas de comprendre ce qui sera réalisé. La qualification juridique et le programme de sécurité doivent se répondre sans être confondus.

Faites apparaître les dépendances et les actions non financées. Une prestation annoncée par un partenaire, mais non confirmée, ne doit pas être comptée comme une capacité acquise. Une décision de report doit préciser ses conséquences et les mesures provisoires retenues ; elle ne vaut pas reconnaissance de conformité.

Enfin, prévoyez un retour sur les vérifications effectivement conduites : contact joignable, retrait d’accès constaté, restauration examinée ou procédure corrigée. N’annoncez pas un exercice réussi lorsqu’il a seulement été programmé. Le suivi doit permettre aux décideurs d’identifier les progrès réels et les obstacles qui nécessitent encore leur arbitrage.

Ce qu’il faut retenir

• Les administrations locales dépendent de choix nationaux de transposition.
• Ne convertissez pas automatiquement effectif et budget en catégorie NIS2.
• Examinez les règles particulières de sanction et de responsabilité publiques.
• Préparez dès maintenant les services, contacts et capacités de reprise.

FAQ

Une commune de 5 000 habitants est-elle automatiquement exclue ?

La population seule ne permet pas de conclure définitivement. Il faut examiner les textes nationaux, les activités exercées et les éventuels cas particuliers.

Une cyberattaque entraîne-t-elle une interdiction d’exercer pour le maire ?

Non, pas automatiquement. Le mécanisme de l’Art. 32(5) de NIS2 exclut les administrations publiques ; les autres régimes de responsabilité ont leurs propres conditions.

La mutualisation transfère-t-elle toutes les obligations au prestataire ?

Non. Il faut préciser les responsabilités, les accès, la continuité et l’assistance. Le RGPD continue notamment de s’appliquer selon le rôle de chaque acteur.

Recevez nos analyses sur la sécurité et la conformité des collectivités.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.