NIS2 et collectivités territoriales : qui est concerné, et par où commencer
Régions, départements, intercommunalités et communes de plus de 30 000 habitants seraient assujettis à NIS2. Ce que cela implique, et par où commencer sans RSSI dédié.
Le constat. Selon la version du projet de loi français en discussion, environ 1 500 collectivités seraient assujetties à NIS2 : toutes les régions et tous les départements en tant qu'entités essentielles, environ un millier d'intercommunalités en tant qu'entités importantes, et environ 300 communes de plus de 30 000 habitants. La quasi-totalité d'entre elles ne dispose pas d'un RSSI dédié. Le seuil et les critères précis seront fixés par décret en Conseil d'État.
Quelles collectivités sont concernées ?
Le périmètre envisagé distingue trois cas :
| Type de collectivité | Qualification envisagée | Ordre de grandeur |
|---|---|---|
| Régions et départements | Entités essentielles | ~ 115 |
| Intercommunalités : communautés de communes, d'agglomération, urbaines, métropoles | Entités importantes | ~ 1 000 |
| Communes de plus de 30 000 habitants | Entités importantes | ~ 300 |
Deux réserves importantes. D'abord, ces seuils ne sont pas définitifs : ils doivent être fixés par décret en Conseil d'État, et les associations d'élus ont fait valoir que cette incertitude complique la préparation. Ensuite, une commune sous le seuil peut malgré tout être concernée indirectement : par les services qu'elle mutualise avec une intercommunalité assujettie, ou en tant que fournisseur d'une entité qui l'est.
Concrètement, cela concerne l'ensemble du territoire national : aucune région et aucun département n'y échappe, la quasi-totalité des communautés de communes et d'agglomération sont visées, ainsi que les métropoles et plusieurs centaines de communes au-delà du seuil, quelle que soit leur implantation géographique.
Ce que cela change pour une DSI de collectivité
La différence entre entité essentielle et entité importante ne porte pas sur les mesures à mettre en œuvre (elles sont très proches) mais sur la supervision : proactive pour les essentielles, a posteriori pour les importantes. Une région sera contrôlée sans attendre d'incident ; une intercommunalité le sera à l'occasion d'un signalement.
Les obligations, elles, sont les mêmes dans leur substance : les dix catégories de mesures de l'article 21, la notification d'incident à 24 h / 72 h / 1 mois, et la responsabilité de l'organe de direction, qui, pour une collectivité, désigne l'exécutif élu, tenu en outre de suivre une formation en cybersécurité.
Ce dernier point mérite d'être posé clairement en réunion de direction générale : la responsabilité ne s'arrête pas à la DSI.
Les cinq difficultés propres aux collectivités
Le périmètre est éclaté. Services mutualisés, syndicats mixtes, satellites, délégataires : la première difficulté n'est pas technique, c'est de déterminer qui répond de quoi. Cette cartographie prend souvent plus de temps que les mesures elles-mêmes.
Il n'y a presque jamais de RSSI. La fonction est assurée en plus d'autre chose, par un responsable informatique déjà en charge de l'exploitation. Or NIS2 suppose une fonction de contrôle distincte de la fonction d'exploitation.
Le calendrier budgétaire ne suit pas le calendrier réglementaire. Un budget se vote en décembre ; une échéance réglementaire ne se négocie pas. Les collectivités qui s'en sortent sont celles qui ont inscrit une ligne avant de connaître la date exacte.
La commande publique impose ses délais. Entre l'expression du besoin et la notification d'un marché, comptez plusieurs mois. Anticiper est ici une contrainte structurelle, pas une bonne pratique.
La chaîne d'alerte s'arrête au vendredi soir. L'obligation des 24 heures ne connaît ni les week-ends ni les congés. C'est le point sur lequel les exercices sur table échouent le plus souvent.
Par où commencer, concrètement
- Établir le périmètre exact : quelles entités juridiques, quels services mutualisés, quels satellites. Une à trois semaines.
- Tester l'assujettissement sur la plateforme MonEspaceNIS2 de l'ANSSI, et conserver le résultat daté.
- Se situer par rapport au ReCyF de l'ANSSI : les objectifs 1 à 15 s'appliquent aux entités importantes comme essentielles, les objectifs 16 à 20 aux seules essentielles. Cela donne un écart mesurable, pas une impression.
- Inscrire une ligne budgétaire au prochain exercice, même sans montant définitif.
- Faire un exercice sur table de notification d'incident. Deux heures, un scénario, et la question : qui signe l'alerte des 24 heures, un vendredi à 22 h ? Cet exercice échoue toujours la première fois. C'est à cela qu'il sert.
Où en est la loi française
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat les 11 et 12 mars 2025, puis voté en commission spéciale à l'Assemblée nationale le 10 septembre 2025. Son examen en séance publique a été repoussé à la rentrée parlementaire de septembre 2026. La Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026, en demandant des sanctions financières pour ce retard de transposition.
Attendre la publication du décret pour commencer reviendrait à disposer de quelques mois là où d'autres auront eu deux ans.
Fabrice Bonneville est RSSI & Risk Manager indépendant. Il accompagne les collectivités territoriales sur leur conformité NIS2, de la cartographie du périmètre à la mise en place de la fonction RSSI. Le contacter · 06 07 49 95 29.
Sources
Pour aller plus loin
NIS2 et AI Act
Ce qui change quand une entité régulée déploie de l'IA.
FAQ NIS2
13 questions de dirigeants, 13 réponses courtes et sourcées.
Mon accompagnement NIS2
Qualification, diagnostic, mise en conformité, notification et suivi.
Mémoire des assistants IA
Où vit la vérité de vos données quand l'IA retient à votre place.