Une collectivité territoriale dépend aujourd'hui de son système d'information pour assurer une grande partie de ses missions : gestion administrative, état civil, finances, ressources humaines, services techniques, communication, démarches en ligne ou échanges avec les administrés. Les services informatiques pour collectivités territoriales doivent donc couvrir bien davantage que la simple maintenance des ordinateurs.
Communes, intercommunalités, syndicats et autres structures publiques locales doivent composer avec des environnements souvent hétérogènes, des ressources informatiques variables, des données personnelles nombreuses et une forte dépendance aux outils numériques. La sécurité du système d'information, la disponibilité des services et la capacité à réagir en cas d'incident deviennent ainsi des sujets à traiter au même niveau que l'équipement et le support quotidien.
Le besoin n'est pas nécessairement de disposer d'une infrastructure complexe. Il consiste surtout à construire un environnement informatique cohérent, maintenu, sécurisé et adapté aux missions de la collectivité.
Pourquoi les collectivités territoriales ont-elles des besoins informatiques spécifiques ?
L'informatique d'une collectivité ne fonctionne pas exactement comme celle d'une entreprise privée. Les outils numériques servent directement au fonctionnement des services publics et peuvent concerner plusieurs métiers très différents.
Une commune peut par exemple utiliser simultanément des applications pour l'état civil, les finances, les ressources humaines, l'urbanisme, les services techniques, les écoles ou la communication. Une intercommunalité peut quant à elle devoir gérer plusieurs sites, plusieurs équipes et des systèmes issus de différentes structures.
Cette diversité crée plusieurs enjeux.
Un système d'information souvent hétérogène
Les collectivités peuvent avoir accumulé des équipements, logiciels et solutions provenant de périodes ou de prestataires différents. Le parc informatique peut ainsi mélanger plusieurs générations de postes, des applications métiers spécifiques, des équipements réseau et différents services cloud.
L'enjeu des services IT pour collectivités consiste alors à maintenir une cohérence d'ensemble sans perturber les outils indispensables aux agents.
Des ressources informatiques qui varient selon la collectivité
Une grande collectivité peut disposer d'une DSI structurée tandis qu'une petite commune peut fonctionner avec peu ou pas de ressources informatiques internes.
Les besoins d'accompagnement ne sont donc pas identiques.
Une petite commune pourra rechercher principalement un support de proximité, une maintenance régulière, une gestion des sauvegardes et un accompagnement en cybersécurité. Une structure plus importante pourra avoir besoin d'un accompagnement complémentaire sur l'architecture, les projets, la supervision ou la gouvernance du système d'information.
Une forte dépendance au système d'information
Une panne informatique peut rapidement ralentir ou interrompre plusieurs services.
L'indisponibilité d'une application métier, d'un serveur, d'une connexion réseau ou d'une messagerie peut empêcher des agents de traiter leurs dossiers ou de répondre normalement aux demandes des administrés.
Les services informatiques pour collectivités territoriales doivent donc intégrer la disponibilité du système d'information dans leur conception et leur exploitation.
La protection des données personnelles
Les collectivités traitent de nombreuses données concernant les administrés, les agents, les usagers et différents interlocuteurs.
La CNIL rappelle notamment que les collectivités doivent mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques afin de garantir la sécurité et la confidentialité des données personnelles. Les accès doivent notamment être maîtrisés en fonction des besoins des utilisateurs.
Le sujet ne concerne donc pas uniquement la cybersécurité au sens technique. Il implique également les habilitations, les pratiques des utilisateurs, les prestataires et l'organisation interne.
Quels services informatiques une collectivité doit-elle pouvoir couvrir ?
Il n'existe pas un catalogue identique pour toutes les communes ou intercommunalités. Les besoins dépendent de la taille de la structure, de ses compétences, de son organisation, de ses applications métiers et des ressources disponibles en interne.
Un dispositif informatique cohérent doit néanmoins pouvoir couvrir plusieurs domaines essentiels.
Postes et parc informatique
Le poste de travail reste le principal point d'accès aux applications et aux données de la collectivité.
La gestion du parc peut notamment comprendre :
- le déploiement et la configuration des ordinateurs ;
- la maintenance matérielle et logicielle ;
- les mises à jour ;
- la gestion des comptes utilisateurs ;
- le remplacement des équipements obsolètes ;
- la protection des postes ;
- le suivi du matériel ;
- l'accompagnement des agents.
L'objectif n'est pas seulement de disposer d'ordinateurs fonctionnels. Il s'agit de maintenir un parc homogène, maîtrisé et suffisamment sécurisé pour les usages quotidiens.
Réseau et accès
Le réseau constitue l'infrastructure qui relie les postes, serveurs, applications et différents sites de la collectivité.
Selon l'organisation, les besoins peuvent concerner :
- le réseau local ;
- le Wi-Fi professionnel ;
- les connexions entre plusieurs bâtiments ;
- les accès distants ;
- les VPN ;
- la téléphonie IP ;
- la segmentation des réseaux ;
- la supervision des équipements réseau.
Une attention particulière doit être portée aux droits d'accès et au cloisonnement lorsque plusieurs catégories d'utilisateurs ou de services utilisent le même environnement.
Messagerie et outils collaboratifs
La messagerie électronique est devenue indispensable au fonctionnement quotidien des services publics locaux.
Elle doit être disponible mais également correctement administrée et protégée contre les tentatives d'hameçonnage, les compromissions de comptes et les erreurs de configuration.
Les outils collaboratifs peuvent également faciliter le travail entre services ou entre plusieurs sites. Leur déploiement doit toutefois être accompagné d'une réflexion sur les comptes, les droits d'accès, le partage des fichiers et la protection des données.
Sauvegardes et protection des données
Une sauvegarde ne doit pas être considérée comme une simple copie de fichiers.
Elle doit s'inscrire dans une véritable stratégie de protection permettant notamment de répondre à différents scénarios : suppression accidentelle, panne matérielle, erreur humaine, corruption de données ou incident de sécurité.
L'ANSSI identifie la sauvegarde et la restauration parmi les mesures contribuant à la résilience des systèmes d'information des collectivités.
Une collectivité doit notamment savoir :
- quelles données sont sauvegardées ;
- à quelle fréquence elles le sont ;
- combien de temps elles sont conservées ;
- où elles sont stockées ;
- qui peut y accéder ;
- comment une restauration serait effectuée ;
- si les restaurations sont régulièrement testées.
La sauvegarde doit donc être pensée avec la continuité des services numériques et non comme une opération isolée.
Maintenance et support utilisateurs
Les agents ont besoin d'un interlocuteur capable de traiter rapidement les incidents du quotidien.
Un service de maintenance informatique pour collectivité peut notamment couvrir les problèmes liés aux postes, aux comptes, à la messagerie, au réseau, aux périphériques ou aux applications.
Mais le support ne doit pas se limiter à intervenir lorsqu'une panne survient. Une approche préventive permet également d'identifier les équipements vieillissants, les logiciels qui nécessitent une mise à jour ou les configurations susceptibles de créer des incidents.
L'accompagnement des utilisateurs fait également partie du dispositif. Une difficulté récurrente peut parfois être résolue plus efficacement par une procédure ou une sensibilisation que par une intervention technique répétée.
Pourquoi la cybersécurité est-elle un enjeu majeur pour une collectivité ?
La cybersécurité des collectivités doit être envisagée en fonction du niveau de risque et du contexte de chaque structure.
Une commune de petite taille et une intercommunalité disposant de plusieurs sites ne présentent pas nécessairement la même surface d'exposition ni les mêmes ressources pour traiter un incident.
Les attaques peuvent néanmoins avoir des conséquences directes sur le fonctionnement des services publics : indisponibilité des systèmes, perte d'accès à certaines données, perturbation des services ou nécessité de mobiliser les équipes pendant une crise.
Cybermalveillance.gouv.fr rappelle que les collectivités de différentes tailles sont concernées par les cyberattaques et met à disposition des ressources spécifiques pour les accompagner.
Une approche de sécurité adaptée au contexte local
La cybersécurité ne consiste pas à multiplier les outils.
Elle commence par l'identification des actifs importants, des comptes sensibles, des données traitées et des scénarios d'incident susceptibles d'affecter la collectivité.
Les mesures peuvent notamment porter sur :
- les mises à jour ;
- la protection des postes ;
- les mots de passe et l'authentification ;
- la gestion des habilitations ;
- la segmentation du réseau ;
- les sauvegardes ;
- la supervision ;
- la sensibilisation des agents ;
- la gestion des incidents ;
- les tests de restauration.
Les mesures à mettre en œuvre doivent être proportionnées aux risques et adaptées à l'environnement de la collectivité.
Les utilisateurs jouent un rôle central
Une protection technique ne suffit pas si les agents ne savent pas reconnaître un message suspect, protéger leurs identifiants ou signaler rapidement une anomalie.
La sensibilisation peut notamment porter sur le phishing, les pièces jointes, les mots de passe, les supports amovibles, les usages nomades et les procédures à suivre en cas d'incident.
L'ANSSI propose par ailleurs des dispositifs et ressources spécifiques destinés aux collectivités, notamment pour la préparation et l'exercice de gestion de crise cyber.
Pour approfondir les fondamentaux de la sécurité informatique, consultez notre page dédiée à la cybersécurité des entreprises.
La sous-traitance informatique doit également être encadrée
Lorsqu'une collectivité confie certaines opérations à un prestataire, la question de la protection des données doit être intégrée au contrat et à l'organisation de la prestation.
La CNIL précise notamment les responsabilités liées à la sous-traitance et rappelle qu'un prestataire traitant des données personnelles pour le compte d'une collectivité peut avoir la qualité de sous-traitant au sens du RGPD. Les garanties de sécurité et les responsabilités doivent être encadrées.
Le choix d'un prestataire informatique pour collectivité doit donc prendre en compte à la fois ses compétences techniques et sa capacité à travailler dans un cadre contractuel adapté.
Comment préparer la continuité des services numériques ?
La continuité informatique ne consiste pas uniquement à disposer d'une sauvegarde.
Il faut réfléchir à ce qui doit continuer à fonctionner en priorité et à la manière dont la collectivité réagirait si un service informatique devenait indisponible.
L'ANSSI associe notamment la résilience des systèmes d'information à la continuité d'activité, aux sauvegardes et à la restauration des informations.
Une démarche peut commencer par l'identification :
- des applications indispensables ;
- des données critiques ;
- des dépendances entre applications ;
- des équipements nécessaires au fonctionnement des services ;
- des personnes responsables en cas d'incident ;
- des solutions de sauvegarde disponibles ;
- des procédures de restauration ;
- des moyens de communication en situation dégradée.
Tester les procédures plutôt que supposer qu'elles fonctionneront
Une sauvegarde existante ne garantit pas qu'une restauration sera réussie dans les conditions réelles d'un incident.
Des tests permettent de vérifier les procédures, d'identifier les dépendances et de mesurer les difficultés auxquelles les équipes pourraient être confrontées.
Pour les collectivités, l'ANSSI met notamment à disposition un kit permettant d'organiser des exercices de gestion de crise d'origine cyber.
La continuité des services numériques repose ainsi sur une combinaison de mesures techniques, de procédures et d'organisation.
Faut-il externaliser tout ou partie de l'informatique ?
Externaliser l'informatique n'est pas une obligation et toutes les collectivités n'ont pas les mêmes besoins.
Une collectivité disposant d'une DSI structurée peut conserver une grande partie des compétences en interne tout en faisant appel à des prestataires spécialisés pour certains projets ou expertises.
Une petite commune peut, à l'inverse, avoir besoin d'un accompagnement beaucoup plus large.
L'externalisation peut notamment concerner :
- la maintenance ;
- le support utilisateurs ;
- la supervision ;
- les sauvegardes ;
- la cybersécurité ;
- l'administration des systèmes ;
- le réseau ;
- la messagerie ;
- l'hébergement ;
- l'accompagnement des projets.
La question pertinente n'est donc pas simplement de savoir s'il faut externaliser, mais quelles responsabilités doivent rester en interne et lesquelles peuvent être confiées à un prestataire.
Pour approfondir cette distinction, consultez notre page consacrée à l'infogérance informatique.
L'accompagnement doit rester adapté aux ressources disponibles
Une solution pertinente pour une intercommunalité disposant de plusieurs sites ne sera pas nécessairement adaptée à une petite commune.
Le niveau d'accompagnement peut évoluer dans le temps en fonction :
- du nombre d'utilisateurs ;
- du nombre de sites ;
- des applications utilisées ;
- des compétences internes ;
- du niveau de maturité informatique ;
- des projets numériques ;
- des contraintes budgétaires ;
- des exigences de disponibilité.
Cette souplesse est particulièrement importante lorsque les ressources informatiques internes sont limitées.
Comment choisir un prestataire informatique pour une collectivité ?
Le choix d'un prestataire informatique pour collectivité doit être basé sur les besoins réels de la structure et sur sa capacité à maintenir l'environnement dans la durée.
L'expérience technique générale est importante, mais elle ne suffit pas nécessairement.
Vérifier la compréhension du contexte public local
Le prestataire doit comprendre que les utilisateurs, les applications et les priorités d'une collectivité peuvent être très différents de ceux d'une entreprise privée.
Il doit notamment être capable de travailler avec des interlocuteurs variés : élus, direction générale, agents administratifs, services techniques, responsables métiers ou référents informatiques.
Examiner l'étendue réelle des services
Il est utile de distinguer les prestations ponctuelles des services d'exploitation réguliers.
Une collectivité peut avoir besoin d'un prestataire capable d'intervenir sur plusieurs niveaux :
- assistance aux utilisateurs ;
- maintenance ;
- systèmes et réseaux ;
- sauvegardes ;
- sécurité ;
- accompagnement des projets ;
- documentation ;
- conseil.
L'objectif est d'éviter qu'une difficulté soit systématiquement renvoyée vers plusieurs interlocuteurs différents.
Vérifier la gestion des incidents
Un bon dispositif doit préciser ce qui se passe lorsqu'un incident survient.
Il est notamment utile de connaître :
- les canaux de support ;
- les modalités d'escalade ;
- les responsabilités ;
- les horaires de prise en charge ;
- les procédures en cas d'incident de sécurité ;
- les modalités de communication avec la collectivité.
Les engagements doivent être définis contractuellement et adaptés au niveau de service réellement nécessaire.
Examiner la sécurité et la sous-traitance
Si le prestataire intervient sur des systèmes contenant des données personnelles, la collectivité doit également examiner les garanties de sécurité proposées et le cadre contractuel applicable.
La CNIL recommande notamment de vérifier les garanties offertes par les sous-traitants, de définir les responsabilités et les règles de gestion des incidents, ainsi que les conditions de restitution ou de destruction des données en fin de prestation.
Privilégier une vision à moyen terme
Le prestataire ne doit pas uniquement répondre aux incidents actuels.
Il doit également pouvoir accompagner l'évolution du système d'information : renouvellement du parc, changement de solution, évolution des usages, nouveaux sites, migration vers des services cloud ou renforcement de la sécurité.
Le bon choix dépend donc moins d'un catalogue de prestations que de la capacité du partenaire à comprendre l'environnement de la collectivité et à faire évoluer son accompagnement.
FAQ
Quels services informatiques sont essentiels pour une collectivité territoriale ?
Les besoins peuvent notamment couvrir le parc informatique, les réseaux, les postes de travail, la messagerie, les outils collaboratifs, les sauvegardes, la maintenance, le support utilisateurs et la cybersécurité. Le périmètre dépend de la taille, de l'organisation et des applications utilisées par chaque collectivité.
Une petite commune doit-elle avoir un service informatique interne ?
Non. L'organisation dépend des ressources et des besoins de la commune. Certaines collectivités disposent de compétences informatiques en interne tandis que d'autres externalisent tout ou partie de la maintenance, du support, de la sécurité ou de l'administration des systèmes.
Pourquoi la cybersécurité est-elle importante pour une collectivité ?
Les collectivités traitent des données et dépendent de nombreux services numériques. Une compromission peut affecter les agents, les données et la disponibilité de certains services. La sécurité doit donc être abordée à travers les mesures techniques, les procédures et la sensibilisation des utilisateurs.
Comment protéger les données personnelles d'une collectivité ?
La protection repose notamment sur des mesures techniques et organisationnelles adaptées aux risques : gestion des accès, sécurisation des postes et réseaux, sauvegardes, protection des données et encadrement des prestataires. La CNIL propose des ressources spécifiquement consacrées aux collectivités territoriales.
Une collectivité peut-elle confier sa maintenance informatique à un prestataire ?
Oui. La maintenance peut être confiée à un prestataire, notamment lorsque celui-ci intervient sur des traitements de données personnelles. Dans ce cas, les responsabilités et garanties applicables à la sous-traitance doivent être correctement encadrées.
Comment préparer une collectivité à une panne ou une cyberattaque ?
Il faut identifier les services prioritaires, protéger et sauvegarder les données importantes, définir les procédures de restauration et de gestion de crise, attribuer les responsabilités et tester régulièrement les dispositifs prévus. L'ANSSI propose notamment des ressources et des exercices dédiés aux collectivités.
Les mêmes exigences informatiques s'appliquent-elles à toutes les collectivités ?
Non. Une commune, une intercommunalité ou une autre structure territoriale peut avoir des contraintes et des ressources très différentes. Les mesures techniques, l'organisation du support, les besoins de sécurité et le niveau d'externalisation doivent être adaptés au contexte de chaque structure.
Conclusion
Les services informatiques pour collectivités territoriales doivent répondre à une réalité particulière : maintenir des outils numériques disponibles pour les agents et les services publics tout en protégeant les données et en préparant la collectivité à d'éventuels incidents.
Parc informatique, réseau, messagerie, sauvegardes, maintenance, support, cybersécurité et continuité ne doivent pas être considérés comme des sujets isolés. Leur cohérence permet de construire un système d'information de collectivité plus maîtrisé et plus résilient.
Le niveau d'accompagnement à retenir dépend ensuite de la taille de la structure, de ses ressources internes, de ses applications, de ses sites et de ses priorités. L'enjeu est de disposer d'un dispositif informatique réellement adapté au fonctionnement de la collectivité, plutôt que de reproduire un modèle standard.
