Cybersécurité des mairies : pourquoi les sites municipaux sont ciblés en 2026

🏛️ Pourquoi les mairies sont devenues des cibles de choix

On pourrait croire qu'une petite commune de quelques milliers d'habitants n'intéresse personne. C'est justement l'inverse. Une mairie détient des données parmi les plus sensibles qui existent : état civil, listes électorales, dossiers sociaux, coordonnées fiscales de chaque foyer. Autant d'informations qui se revendent bien sur les marchés parallèles, ou qui servent de levier pour une demande de rançon.

Le problème, c'est que ces données précieuses sont souvent protégées par des moyens qui ne le sont pas. Un site géré par une seule personne en interne, un CMS jamais mis à jour, un mot de passe partagé entre trois agents depuis cinq ans : c'est la réalité de beaucoup de petites collectivités, pas de la caricature. Les pirates le savent, et ajustent leur ciblage en conséquence.

À cela s'ajoute un facteur de circonstance : 2026 est une année d'élections municipales. Les sites web des mairies, les outils de communication des candidats et les services numériques deviennent, le temps d'une campagne, des cibles particulièrement surveillées, que ce soit pour perturber un scrutin, décrédibiliser une équipe en place ou simplement profiter de la confusion ambiante pour infiltrer un système.

🔍 Ce que révèlent les incidents des derniers mois

Les exemples récents ne manquent pas. Fin décembre 2025, la mairie de Lens a annoncé avoir été victime d'une attaque informatique perturbant plusieurs de ses services. Quelques jours plus tard, début janvier 2026, l'agglomération d'Hénin-Carvin confirmait à son tour une intrusion, au point de devoir couper par précaution ses messageries et une partie de ses outils numériques le temps de reprendre le contrôle de la situation.

Ces deux cas ne sont pas isolés. Ils viennent après une cyberattaque ayant touché, en octobre 2025, l'ensemble des lycées publics d'une grande région, avec suspension totale des ordinateurs et des réseaux. Le schéma qui revient le plus souvent est presque toujours le même : un mail de phishing envoyé à un agent administratif, un clic malheureux, puis un rançongiciel qui chiffre les serveurs et une demande de rançon pour tout débloquer.

📣 Ce qu'en disent les pouvoirs publics

Le sujet a fini par remonter jusqu'au niveau ministériel. Anne Le Hénanff, ministre déléguée chargée de l'Intelligence artificielle et du Numérique, a alerté publiquement sur France Inter à l'approche des municipales : selon elle, ces élections représentent une opportunité pour des acteurs malveillants cherchant à déstabiliser les institutions locales, les sites des mairies comme les outils de communication des candidats pouvant devenir des cibles privilégiées.

« Une mairie dont les services sont paralysés ou qui est victime d'un vol de données peut voir ses capacités opérationnelles impactées, au point parfois de fragiliser sa légitimité. »

Ce constat rejoint les données de l'ANSSI, qui a recensé 1 366 incidents de sécurité traités ou signalés en 2025, les administrations d'État et les collectivités territoriales figurant parmi les secteurs les plus touchés. Un sénateur interpellait d'ailleurs le gouvernement en juin 2026 sur cette recrudescence, y voyant une tendance de fond plutôt qu'une série d'incidents isolés.

⚖️ Ce que la loi impose désormais

Le cadre réglementaire évolue en conséquence. La directive européenne NIS2 concerne directement environ 1 500 collectivités françaises : régions, départements, métropoles et intercommunalités, mais aussi les communes de moins de 30 000 habitants rattachées à une intercommunalité. Son adoption définitive en droit français est attendue pour l'été 2026.

Concrètement, cela signifie pour beaucoup de communes une obligation de mieux identifier leurs vulnérabilités, de sécuriser leur chaîne de prestataires numériques, et de disposer d'un plan de continuité en cas d'incident. Une démarche qui engage directement la responsabilité des élus, et qui ne peut plus se limiter à "on verra si ça arrive".

🛡️ Se protéger sans budget de grande métropole

Toutes les communes n'ont évidemment pas les moyens d'une grande ville pour investir dans la cybersécurité. La bonne nouvelle, c'est que l'essentiel de la protection ne repose pas sur des outils coûteux, mais sur des bases bien tenues.

Ces mesures ont un point commun : elles ne dépendent pas d'un gros budget, mais d'un prestataire qui les intègre par défaut, dès la conception du site, plutôt que de les traiter comme une option qu'on ajoute après coup, une fois l'incident survenu.