Cybersécurité des collectivités : par où commencer quand la mairie n'a pas de service informatique ?

Avec une mairie sans service informatique, nous commençons par un rendez-vous pour faire le point sur vos besoins, sans rien installer chez vous. Vient ensuite un audit payant, qui repère les failles de votre réseau et de votre wifi. Le devis des travaux se fait à partir de ses résultats.

Netsoluce est une entreprise informatique du Nord Franche-Comté, avec deux agences : à Meroux-Moval, près de Belfort, et à Audincourt. Plusieurs communes du territoire nous confient déjà leur parc. Nous travaillons aussi avec des SIVOM, des CCAS et des MJC. Nous sommes labellisés ExpertCyber depuis mars 2026, un label de Cybermalveillance.gouv.fr délivré après un audit d'AFNOR Certification.

Vos données et vos obligations

Une mairie gère l'état civil, les listes électorales, la paie des agents, les dossiers du CCAS et les inscriptions à la cantine. Ce sont des données personnelles, et certaines sont sensibles. Quand le serveur ne répond plus, ces services s'arrêtent.

Le RGPD s'applique à toutes les collectivités depuis le 25 mai 2018, quelle que soit leur taille. Il impose notamment de désigner un délégué à la protection des données (DPO) et de tenir un registre des traitements.

Si des données personnelles sont perdues, volées ou rendues inaccessibles, la mairie doit en principe prévenir la CNIL. Elle le fait dans les meilleurs délais, si possible dans les 72 heures. Elle en est dispensée si l'incident ne présente pas de risque pour les personnes concernées. Pour savoir ce que ces règles impliquent chez vous, adressez-vous à votre DPO ou à votre conseil.

Les cinq chantiers

Parmi les travaux, nous conseillons de commencer par la sauvegarde. C'est elle qui permet de repartir après une panne ou une attaque.

1. La sauvegarde

Nous installons dans vos locaux un boîtier de sauvegarde, un NAS Synology chiffré. Une deuxième copie est gardée hors du bâtiment, chez l'hébergeur français Leviia. Cette copie sert le jour où un rançongiciel touche à la fois le serveur et le boîtier posé à côté. Un rançongiciel est un virus qui bloque les fichiers et réclame une rançon.

Nous testons régulièrement la récupération des fichiers. Plus de détails sur notre page sauvegarde et continuité d'activité.

2. Les ordinateurs et les serveurs

Nous protégeons les ordinateurs des agents et les serveurs avec Bitdefender GravityZone et SYLink. Un logiciel de supervision les surveille en permanence, et un technicien de Netsoluce lit les alertes chaque matin. Ce suivi fait partie de notre offre d'infogérance.

3. La messagerie

Les fausses factures et les liens qui demandent de ressaisir un mot de passe arrivent par mail. Nous ajoutons un filtre, e-securemail de l'éditeur français Secuserve, qui écarte les messages douteux avant qu'ils arrivent dans vos boîtes. Il fonctionne avec Microsoft 365 et Google Workspace (voir notre page messagerie sécurisée).

4. Le réseau et les accès à distance

Dans une mairie, le même réseau peut relier les ordinateurs, le serveur, l'imprimante de l'accueil, le wifi de la salle du conseil et la vidéoprotection. Le pare-feu français SYLink Box permet de séparer ces réseaux, par exemple la vidéoprotection du reste. Il garde aussi une trace des accès à distance.

Un accès ouvert pour un dépannage doit être refermé ensuite. Voir aussi notre page infrastructure et réseau.

5. Les agents

Nous proposons des formations à la cybersécurité pour les agents. Deux d'entre elles sont inscrites au catalogue de Numerica, à Montbéliard (voir notre page formation).

Un devis à répartir sur vos budgets

Chaque prestation figure sur une ligne du devis. Vous pouvez en retenir une partie cette année et inscrire le reste au budget suivant.

Vos logiciels métier

Une mairie travaille avec des logiciels spécialisés : état civil, comptabilité, paie, délibérations, cantine, action sociale. Chaque éditeur reste l'interlocuteur pour son logiciel et son paramétrage. Notre travail porte sur les ordinateurs, les serveurs, le réseau et les sauvegardes sur lesquels ils tournent.

Gardez le numéro du support de chaque éditeur, avec une note simple qui dit qui fait quoi entre l'éditeur, votre prestataire informatique et la mairie.

Où sont vos données

La copie externe de vos sauvegardes est hébergée en France, chez Leviia. Leviia annonce les certifications ISO 27001, pour la sécurité de l'information, et HDS, pour l'hébergement de données de santé. Le filtre de messagerie et le pare-feu viennent eux aussi d'éditeurs français.

Deux outils sont édités hors de France : le logiciel de supervision, et la protection Bitdefender GravityZone, dont l'éditeur est européen. Seules des données techniques y passent, comme la liste des machines et les alertes.

Nos techniciens signent une clause de confidentialité. Les accès à distance à vos machines sont tracés.

Le jour d'un incident

Une attaque par rançongiciel se voit à des signes simples. Les fichiers ne s'ouvrent plus et leur nom a changé. Le logiciel d'état civil ne trouve plus son serveur. Voici les gestes à faire, dans l'ordre.

1. Débrancher le câble réseau des machines touchées et couper le wifi, sans éteindre les machines. Éteindre peut effacer des traces utiles à l'analyse.
2. Prévenir le maire, le ou la secrétaire de mairie (ou le DGS), puis le prestataire informatique.
3. Contacter 17Cyber, sur 17cyber.gouv.fr. Ce service en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr oriente les victimes.
4. Porter plainte auprès de la police ou de la gendarmerie.
5. Si des données personnelles sont touchées, voir avec votre DPO s'il faut prévenir la CNIL, si possible dans les 72 heures.

La marche à suivre complète est dans notre article rançongiciel : que faire.

Ce que la mairie peut faire elle-même

Ces gestes ne demandent aucun achat.

• Lister les ordinateurs, les serveurs, les boîtiers de sauvegarde et le matériel réseau, avec leur âge.
• Noter qui détient les mots de passe administrateur, y compris le prestataire et les éditeurs.
• Demander par écrit à votre prestataire la date du dernier essai de récupération des sauvegardes.
• Vérifier qu'une copie des sauvegardes existe hors de la mairie.
• Afficher au secrétariat la liste des personnes à appeler en cas d'incident, avec leurs numéros.
• Dire à chaque agent à qui signaler un message douteux.
• Fermer les comptes des agents qui ont quitté la mairie.

Questions fréquentes

NIS2 s'applique-t-elle à notre commune ?

Pas forcément. L'ANSSI, l'agence nationale chargée de la cybersécurité, propose sur son site MonEspaceNIS2 un test en ligne pour savoir si une structure est concernée. Le RGPD, lui, s'applique à toutes les communes.

Combien cela coûte-t-il ?

Le prix dépend du nombre d'ordinateurs et de serveurs, et nous ne publions pas de tarif. L'audit est chiffré après le premier rendez-vous. Les travaux sont chiffrés après l'audit.

Faites-vous un état des lieux sans frais ?

Non. Un état des lieux demande d'intervenir sur votre réseau et sur vos machines, puis d'analyser les résultats. C'est le travail de l'audit, qui est payant.

Que vérifie l'audit ?

Nous utilisons la valise SYLink Audit. Elle examine en trois temps ce qui se voit depuis Internet, le réseau de la mairie, puis le wifi et les supports amovibles comme les clés USB. Nous vérifions aussi que les comptes Microsoft 365 demandent un code en plus du mot de passe (double authentification). La valise repère les failles sans les exploiter.

Faites-vous des tests d'intrusion ?

Oui, avec notre partenaire SYLink. Un test d'intrusion va plus loin que l'audit, car il exploite les failles de façon contrôlée. Il se fait sur un périmètre écrit, fixé avec vous avant l'intervention.

L'audit peut-il inclure les écoles et le CCAS ?

Oui. La commune a la charge des écoles maternelles et élémentaires publiques, y compris de leur équipement. Ce n'est plus le cas si elle a confié cette compétence à un syndicat ou à une intercommunalité. Le CCAS, qui traite des dossiers sociaux, peut entrer dans le même audit.

Nous rencontrer

Nos deux agences : La Jonxion, bâtiment Azap, 1 avenue de la Gare TGV, 90400 Meroux-Moval, près de la gare Belfort-Montbéliard TGV, et 83 Grande Rue, 25400 Audincourt.

À lire aussi : notre méthode de travail, notre offre de cybersécurité et notre article RGPD et sécurité des données.