Réponse publiée le 21 février 2023

La numérisation des services offerts au public accroît la vulnérabilité des collectivités territoriales face au risque de cyberattaques. Parmi les entités publiques, elles font partie des cibles les plus exposées. Le Gouvernement considère cette situation comme particulièrement préoccupante. L'Agence nationale de sécurité des systèmes d'information (ANSSI) y accorde donc une attention particulière. Dans la mesure où les collectivités ne sont ni des administrations sous l'autorité des ministères, ni des établissements publics, les efforts de l'ANSSI portent particulièrement sur l'assistance à l'amélioration de la gouvernance de la cybersécurité au sein de chaque collectivité et leur accompagnement, technique, méthodologique et même financier au travers du plan de relance. Le travail d'amélioration de la gouvernance s'insère dans une méthodologie qui requiert au moins trois exigences. La première est la sensibilisation des élus et décideurs pour leur permettre de prendre pleinement conscience de l'acuité du risque de cyberattaques et du niveau idoine des moyens à consentir à sa prévention, voire à son traitement. La deuxième est la diffusion et la pédagogie des outils, guides et référentiels adéquats, puis leur utilisation effective. De cette mise en œuvre résulte l'augmentation du niveau de cybersécurité. La troisième exigence est la mise en œuvre d'un accompagnement local pour orienter, conseiller et soutenir. À des fins de sensibilisation des acteurs concernés, l'ANSSI a développé de nombreux partenariats avec l'association des maires de France, l'association des départements de France, Régions de France, l'association DECLIC regroupant les opérateurs de service numérique… A titre d'exemple, un partenariat fructueux existe entre l'ANSSI et l'association des départements de France dans le but de favoriser la prise de conscience des élus et des cadres territoriaux. Au mois de janvier 2023, des rencontres ont été organisées pour tirer profit des premiers enseignements des attaques récentes menées contre certains conseils départementaux et pour partager largement les conseils de l'Agence sur la sécurisation numérique. Parallèlement, l'ANSSI met à la disposition de tous des outils dont l'usage est indispensable. Parmi ces outils, on peut mentionner le service Active Directory Security-ADS permettant la sécurisation des annuaires ou le service SILENE pour la cartographie de la surface d'exposition sur Internet. Ces outils, accessibles aux collectivités territoriales sur simple inscription, sont gratuits et disponibles autant que de besoin pour assurer le suivi de la cybersécurité dans le temps et en fonction des actions menées. L'ANSSI élargit la gamme de ces outils en mettant à disposition depuis la fin de l'année 2022 l'outil MonServiceSecurise.beta.gouv.fr qui fournit les conseils techniques adaptés pour la sécurisation des services publics accessibles en ligne et simplifie la démarche d'homologation. Un outil de diagnostic, actuellement en évaluation, MonAideCyber.beta.gouv.fr, élaboré en collaboration avec la gendarmerie nationale et cybermalveillance.gouv.fr, viendra compléter ce dispositif durant l'année 2023. L'ANSSI accompagne aussi les collectivités territoriales, tout comme les entreprises, localement. Depuis octobre 2022, le dispositif territorial de l'agence est complètement déployé, avec au moins un délégué par région et un délégué pour les outre-mer. De très nombreuses actions de sensibilisation peuvent être menées, souvent en étroite collaboration avec le commandement de la gendarmerie nationale dans le cyberespace (ComCyberGend) et le GIP ACYMA-cybermalveillance.gouv.fr. Parmi les efforts les plus significatifs consentis par le Gouvernement, il convient de rappeler le volet « cybersécurité » du plan d'investissement France Relance. Piloté par l'ANSSI, ce plan vise à augmenter durablement le niveau de cybersécurité de l'État et des services publics. Ce plan, doté de 176 millions d'euros sur la période 2021-2022, a permis de déployer plusieurs dispositifs au profit de la cybersécurité des services publics et d'augmenter concrètement leur niveau de sécurité. Les collectivités territoriales ont été les premières bénéficiaires de ce plan, à hauteur de 94 M€. Ces crédits ont financé des parcours de cybersécurité qui comprennent à la fois une évaluation de leur niveau de cybersécurité de la collectivité, l'établissement d'une feuille de route efficace et pragmatique et le déploiement des solutions indispensables à une élévation rapide et concrète de leur niveau de cybersécurité. L'accompagnement dont bénéficient les collectivités revêt trois aspects : il est financier, sous la forme d'une subvention de 90 000 euros ; méthodologique, avec une démarche conçue par l'ANSSI ; humain, grâce à un suivi personnalisé par des prestataires spécialisés. Plus de 700 collectivités ont ainsi pu être accompagnées en deux ans, pour disposer d'une évaluation de la sécurité de leurs systèmes d'information et d'un soutien pour les protéger concrètement et de manière adaptée. Ils ont aussi financé des appels à projet de déploiement de produits de sécurité. Ce mécanisme permet de financer l'installation à grande échelle de solutions efficaces de sécurité dans les collectivités territoriales, en recourant à des opérateurs de services numériques. Ces appels à projets contribuent ainsi au déploiement et à la sécurisation, par ces opérateurs, de solutions informatiques mutualisées au profit des plus petites communes ne disposant pas de compétences informatiques, ni de budgets permettant de financer un tel effort. Ils permettent notamment de subventionner les licences globales de certaines applications ou produits de sécurité essentiels (antivirus, pare feu, protection de messagerie). Au travers de 27 projets, un potentiel de 11 000 communes est ainsi couvert pour un montant de 5,2 M€. Le plan d'investissement a aussi permis de soutenir la création de centres régionaux de réponse aux incidents de cybersécurité. Ces centres aident les structures de taille intermédiaire (entreprises, collectivités, associations…) à faire face en cas d'attaque. Sur les treize régions métropolitaines, douze sont engagées dans la démarche et ont ainsi bénéficié d'une subvention d'1 million d'euros chacune permettant le fonctionnement du centre pendant 3 ans et d'un programme d'incubation, au sein de l'ANSSI et du CERT-FR, pour leur assurer une mise en route rapide. Deux centres sont aujourd'hui en service. Les autres seront opérationnels en 2023. Un effort particulier a été consenti au bénéfice des collectivités d'outre-mer à travers la création de centres de ressources en cybersécurité visant à faire émerger, par zone géographique, les compétences nécessaires à l'émergence d'une cybersécurité locale. Cette émergence passe par un travail de sensibilisation, de mises en relation et d'animation d'un écosystème constitué d'offreurs, de demandeurs et de l'ensemble des acteurs et parties prenantes du domaine.