Sécuriser une mairie ou une association : le plan d’action cyber sur 90 jours

Une mairie rurale ou une association n’a ni RSSI ni budget de grande entreprise. Elle gère pourtant des données sensibles (état civil, action sociale, listes d’adhérents, coordonnées bancaires) et dépend de quelques ordinateurs, d’une messagerie et souvent d’un prestataire. Les attaquants le savent : en 2025, 5 078 collectivités et administrations ont sollicité l’assistance de Cybermalveillance.gouv.fr, soit une hausse de 22 %, et 141 collectivités sur 1 000 y ont eu recours. Bonne nouvelle : l’essentiel de la protection tient en quelques mesures. Voici un plan d’action réaliste en 90 jours.

L’essentiel en 30 secondes

• Jours 1 à 30 : nommer un référent, faire l’inventaire, activer la double authentification, vérifier les sauvegardes et les mises à jour.
• Jours 31 à 60 : séparer les comptes d’administration, fermer ce qui est exposé, sécuriser la messagerie et le Wi-Fi, adopter une charte.
• Jours 61 à 90 : tester la restauration, préparer la réponse à incident, encadrer les prestataires, budgéter l’année suivante.
• Appuyez-vous sur les dispositifs publics gratuits : Cybermalveillance.gouv.fr, MonAideCyber, centre régional de réponse aux incidents.

Les menaces qui touchent les collectivités

Les signalements de cyberharcèlement visant les collectivités ont par ailleurs bondi de 209 %. Le piratage de compte arrive en tête : la double authentification est donc la priorité absolue.

Jours 1 à 30 : les fondations

1. Nommer un référent (secrétaire de mairie, élu, salarié, bénévole) et un suppléant, chargés de piloter le plan avec le prestataire.
2. Faire l’inventaire : ordinateurs, serveurs, logiciels métier, comptes en ligne, sites web, noms de domaine, prestataires. Une simple feuille de calcul suffit au départ.
3. Activer la double authentification sur toutes les messageries et les comptes d’administration (voir déployer la MFA). Les élus utilisent une adresse institutionnelle, pas une messagerie personnelle.
4. Vérifier les sauvegardes : existe-t-il une copie déconnectée ou immuable ? Quand a-t-elle été restaurée pour la dernière fois ?
5. Mettre à jour tous les postes, et repérer les systèmes qui ne sont plus maintenus.
6. Afficher les bons réflexes et organiser une courte sensibilisation, par exemple avec la MalletteCyber Pro.

Jours 31 à 60 : durcir

1. Séparer les comptes : personne ne travaille au quotidien avec un compte administrateur ; un mot de passe d’administration local unique par poste.
2. Fermer ce qui est exposé : aucun bureau à distance ouvert sur Internet (voir sécuriser RDP), revue des accès du prestataire.
3. Sécuriser la messagerie du nom de domaine : SPF, DKIM, DMARC, filtrage des pièces jointes dangereuses.
4. Séparer les réseaux : le Wi-Fi public de la médiathèque ou de la salle des fêtes ne doit pas être celui du secrétariat (voir segmenter le réseau).
5. Mettre à jour le site web et ses extensions, avec des comptes nominatifs et protégés.
6. Adopter une charte informatique courte et compréhensible (voir rédiger une charte).

Jours 61 à 90 : organiser et tester

1. Tester une restauration réelle d’un logiciel métier ou d’un dossier partagé (voir tester la restauration).
2. Préparer la réponse à incident : fiche de contacts imprimée, consignes simples, exercice d’une heure (voir le playbook des 60 premières minutes).
3. Encadrer les prestataires : contrats avec clauses RGPD, accès tracés, réversibilité (voir 15 questions à poser).
4. Mettre à jour le registre RGPD des traitements.
5. Budgéter l’année suivante : remplacement des systèmes obsolètes, sauvegarde externalisée, protection des postes, formation.

Les aides publiques gratuites

Et NIS2 ?

La directive européenne NIS2 doit concerner une partie des collectivités (environ 1 500 selon les estimations). Son projet de loi de transposition a été retiré de l’ordre du jour le 6 octobre 2026, sans nouvelle date à ce stade. Ce n’est pas une raison d’attendre : les mesures ci-dessus correspondent au socle attendu, quel que soit le calendrier. Voir NIS2 : suis-je concerné ? et Référentiel Cyber France, NIS2 et CRA.

Questions fréquentes

Une petite commune a-t-elle vraiment besoin de tout cela ?

Les mesures des 30 premiers jours, oui, sans exception : elles coûtent peu et évitent la majorité des incidents. Les suivantes s’adaptent à la taille.

Qui paie, la commune ou l’intercommunalité ?

Cela dépend de l’organisation locale. La mutualisation via l’intercommunalité, le centre de gestion ou un syndicat informatique réduit nettement les coûts.

Les bénévoles d’une association doivent-ils suivre les mêmes règles ?

Oui, dès qu’ils accèdent aux données de l’association : comptes individuels, double authentification, pas de fichier d’adhérents sur une clé USB non chiffrée.

Que faire en cas d’attaque ?

Isoler les machines touchées sans les éteindre, appeler le prestataire et le 17Cyber, déposer plainte et, si des données personnelles sont concernées, notifier la CNIL sous 72 heures.

Sources

• Acteurs publics, demandes d’assistance des collectivités en hausse, 27 mars 2026.
• Cybermalveillance.gouv.fr, communiqué du rapport d’activité 2025.
• ANSSI, MonAideCyber.
• ANSSI, guide d’hygiène informatique en 42 mesures (MesServicesCyber).

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous accompagnons les collectivités et associations d’Ariège et d’Occitanie lors d’un audit de leur parc. Demandez un devis gratuit ou appelez le 05 32 42 99 98.