NIS2 et collectivités : qui est concerné, et quand ?

La directive NIS2 fait entrer pour la première fois une grande partie des collectivités territoriales dans un cadre obligatoire de cybersécurité. Régions, départements, grandes communes, intercommunalités, syndicats : beaucoup se demandent aujourd’hui s’ils sont concernés, ce qui leur sera demandé et à partir de quand.

Cet article fait le point sur NIS2 et les collectivités à la date de sa mise à jour, en octobre 2026. Il distingue ce qui est écrit dans le projet de loi de transposition, ce qui est déjà acquis et ce qui reste incertain. Il propose ensuite un parcours pour savoir si votre collectivité est visée, et une feuille de route pour avancer sans attendre les décrets.

NIS2 et collectivités : ce que dit la directive

NIS2 élargit fortement le champ de la première directive NIS. Elle couvre dix-huit secteurs et distingue deux catégories d’acteurs, les entités essentielles et les entités importantes, soumises aux mêmes obligations de sécurité mais à des contrôles d’intensité différente.

Pour les administrations publiques, la directive vise d’abord l’échelon central et régional, et laisse chaque État libre d’y inclure ou non les administrations locales. Le projet de loi français a fait le choix d’inclure une large partie des collectivités et de leurs groupements.

Les collectivités visées par le projet de loi

Les listes ci-dessous reprennent le texte adopté par la commission spéciale de l’Assemblée nationale, aux articles 8 et 9. Elles peuvent encore évoluer lors de l’examen en séance puis de la navette parlementaire.

Les entités essentielles

• Les régions, les départements et les communes de plus de 30 000 habitants, ainsi que leurs établissements publics administratifs dont l’activité relève d’un secteur critique.
• Les centres de gestion de la fonction publique territoriale.
• Les services départementaux d’incendie et de secours.
• Les communautés urbaines, les communautés d’agglomération et les métropoles, avec leurs établissements publics administratifs concernés.
• Certains syndicats intercommunaux et syndicats mixtes dont l’activité relève d’un secteur critique et dont la population dépasse 30 000 habitants.
• Les institutions et organismes interdépartementaux dont l’activité relève d’un secteur critique.

Les entités importantes

• Les communautés de communes, et leurs établissements publics administratifs dont l’activité relève d’un secteur critique.
• Certaines régies et certains établissements publics industriels et commerciaux, selon leur secteur, leurs effectifs et leurs recettes.

Et les communes de moins de 30 000 habitants ?

Elles ne figurent pas en tant que telles dans la liste des administrations visées. Elles restent toutefois concernées indirectement : leur intercommunalité, leur syndicat d’eau ou de déchets, ou leur régie peuvent être soumis à la loi, et leurs systèmes d’information sont souvent partagés avec ces structures.

Les obligations prévues pour les collectivités

Gérer les risques

L’article 14 du texte impose de mettre en œuvre, à leurs frais, des mesures techniques, opérationnelles et organisationnelles proportionnées aux risques. Elles doivent notamment :

• prévoir que les organes de direction approuvent et supervisent le pilotage de la sécurité, et que leurs membres soient formés ;
• assurer la protection des systèmes d’information, y compris en cas de recours à la sous-traitance ;
• mettre en place des outils et des procédures pour détecter et gérer les incidents ;
• garantir la résilience des activités et des systèmes.

Le détail des objectifs et le référentiel d’exigences seront fixés par un décret en Conseil d’État. En attendant, l’ANSSI a publié une version de travail de son Référentiel Cyber France, dit ReCyF, qui liste les mesures recommandées et peut encore être ajusté.

Déclarer les incidents importants

Le texte prévoit un signalement à l’ANSSI en plusieurs temps :

1. 1Une notification initiale au plus tard 24 heures après avoir eu connaissance de l’incident important.
2. 2Une notification intermédiaire au plus tard 72 heures après, avec une première évaluation de la gravité et de l’impact.
3. 3Un rapport final au plus tard un mois après la notification intermédiaire, ou un rapport d’avancement si l’incident n’est pas encore traité.

Se faire connaître de l’ANSSI

L’ANSSI tiendra la liste des entités essentielles et importantes, à partir des informations qu’elles lui transmettent. Son portail MesServicesCyber propose déjà un pré-enregistrement en ligne aux futures entités concernées.

Le calendrier : ce qui est tranché, ce qui ne l’est pas

Ce qui est acquis

• La directive NIS2 est en vigueur au niveau européen, et sa date limite de transposition était le 17 octobre 2024.
• Le Sénat a adopté le projet de loi le 12 mars 2025.
• La commission spéciale de l’Assemblée nationale a adopté son texte le 10 septembre 2025.
• Les délais de notification des incidents, 24 heures, 72 heures et un mois, figurent déjà dans le texte.

Ce qui reste incertain

• La date d’examen en séance publique à l’Assemblée nationale : selon la presse spécialisée, l’examen prévu début octobre 2026 a été retiré de l’ordre du jour, sans nouvelle date à ce stade.
• Le contenu définitif de la loi, qui peut encore être modifié par l’Assemblée puis par une éventuelle commission mixte paritaire.
• La date d’entrée en vigueur et les délais laissés aux collectivités pour se mettre en conformité, qui dépendront de la loi et de ses décrets.
• Le référentiel d’exigences définitif, aujourd’hui disponible en version de travail.
• Les modalités de contrôle propres aux collectivités.

Méfiez-vous des documents qui annoncent une loi adoptée ou des échéances précises : à la date de cet article, aucune date de mise en conformité n’est fixée par un texte en vigueur.

Parcours : votre collectivité est-elle concernée ?

1. 1Êtes-vous une région, un département, un SDIS ou un centre de gestion ? Oui : entité essentielle selon le projet de loi.
2. 2Êtes-vous une commune de plus de 30 000 habitants ? Oui : entité essentielle.
3. 3Êtes-vous une métropole, une communauté urbaine ou d’agglomération ? Oui : entité essentielle.
4. 4Êtes-vous une communauté de communes ? Oui : entité importante.
5. 5Êtes-vous un syndicat de plus de 30 000 habitants, actif dans un secteur critique comme l’eau ou les déchets ? Oui : probablement visé.
6. 6Gérez-vous une régie ou un établissement à caractère industriel et commercial ? Vérifiez son secteur, ses effectifs et ses recettes.
7. 7Aucun des cas précédents : vous n’êtes pas visé directement, mais vos partenaires peuvent l’être, et les bonnes pratiques restent utiles.

Feuille de route : avancer sans attendre les décrets

Rien n’empêche de commencer : les mesures attendues recoupent largement les bonnes pratiques de sécurité déjà recommandées. Voici une progression sur quatre trimestres.

Trimestre 1 : savoir où vous en êtes

• Désigner un élu et un agent référents, et informer l’exécutif de ses futures responsabilités.
• Recenser les systèmes d’information, les applications métier et les prestataires.
• Vérifier votre périmètre sur MesServicesCyber et effectuer le pré-enregistrement si vous êtes concerné.

Trimestre 2 : traiter les risques les plus courants

• Activer la double authentification sur la messagerie et les accès à distance.
• Mettre en place des sauvegardes hors ligne et tester une restauration.
• Supprimer les comptes inutilisés et revoir les droits d’administration.

Trimestre 3 : préparer la gestion d’incident

• Rédiger une procédure qui précise qui prévient l’ANSSI, dans quels délais, et avec quelles informations.
• Intégrer le risque cyber au plan communal ou intercommunal de sauvegarde.
• Organiser un exercice de crise simple, sur une demi-journée.

Trimestre 4 : encadrer vos prestataires

• Inventorier les contrats qui donnent accès à vos systèmes ou à vos données.
• Ajouter des clauses de sécurité, de notification d’incident et de réversibilité lors des renouvellements.
• Former les élus et les agents les plus exposés.

Exemple fictif : une communauté de communes de 22 000 habitants

Une communauté de communes regroupe dix-huit communes et gère la collecte des déchets en régie. Selon le projet de loi, elle serait entité importante. Ses communes membres, toutes sous le seuil de 30 000 habitants, ne sont pas visées directement, mais partagent sa messagerie et son logiciel de gestion.

Le directeur général des services nomme une référente, recense les prestataires et découvre que trois d’entre eux disposent d’un accès à distance permanent, sans double authentification. Il commence par là. Quand la loi sera adoptée, la collectivité ne partira pas de zéro.

La sous-traitance : un point souvent sous-estimé

Le texte demande explicitement de protéger les systèmes d’information « y compris en cas de recours à la sous-traitance ». Pour une collectivité, la messagerie, le stockage, les sauvegardes et de nombreux logiciels métier sont confiés à des prestataires. Leur niveau de sécurité devient le vôtre.

Lors du choix d’un prestataire cloud, demandez la liste de ses propres sous-traitants, la localisation des données, ses délais d’alerte en cas d’incident, les modalités de sauvegarde et les conditions de récupération de vos données en fin de contrat.

En résumé

• Le projet de loi vise les régions, départements, communes de plus de 30 000 habitants, SDIS, centres de gestion et la plupart des intercommunalités.
• Les obligations portent sur la gouvernance, la gestion des risques, la sous-traitance et la déclaration des incidents.
• En octobre 2026, la loi de transposition n’est pas adoptée et les délais de mise en conformité ne sont pas fixés.
• Commencer dès maintenant, avec les mesures de base et l’encadrement des prestataires, est la meilleure préparation.

Mon Cloud Français est une entreprise française dont les données sont hébergées en France, chez OVHcloud à Roubaix et à Gravelines, son seul sous-traitant. Pour découvrir notre offre destinée aux mairies et aux intercommunalités, consultez la page Collectivités ; la page Sous-traitants détaille notre chaîne d’hébergement.