Cybersécurité, identité numérique, cloud de confiance et continuité d'activité : audit, conseil, formation et réalisation pour le secteur public

Cadre institutionnel et réglementaire de la cybersécurité publique

L'ANSSI, le RGS et l'homologation de sécurité

La cybersécurité des administrations repose d'abord sur une autorité : l'Agence nationale de la sécurité des systèmes d'information (ANSSI), rattachée au secrétariat général de la défense et de la sécurité nationale. Elle publie des guides, des référentiels et des méthodes, tient le centre gouvernemental de veille et de réponse aux attaques informatiques et qualifie des produits et des prestataires. Pour une collectivité, ses publications constituent la référence de fait, même lorsqu'elles ne sont pas toutes obligatoires : le guide d'hygiène informatique, les recommandations sur l'authentification et la sauvegarde, la méthode d'analyse de risques.

Le référentiel général de sécurité (RGS), pris en application de l'ordonnance n° 2005-1516 du 8 décembre 2005, est le texte qui s'impose aux autorités administratives. Sa version 2.0 résulte de l'arrêté du 13 juin 2014. Il prévoit que le système d'information qui permet des échanges électroniques avec les usagers ou entre administrations fasse l'objet d'une homologation de sécurité : une décision formelle par laquelle l'autorité d'homologation, désignée dans la collectivité, atteste qu'elle connaît les risques résiduels et les accepte. L'ANSSI propose aux petites structures le service en ligne gratuit MonServiceSécurisé, lancé en décembre 2022, qui aide à établir les mesures de sécurité et le dossier de décision d'un téléservice.

L'ANSSI qualifie aussi des prestataires : les prestataires d'audit de la sécurité des systèmes d'information (PASSI), de réponse aux incidents de sécurité (PRIS) et de détection des incidents de sécurité (PDIS). Un test d'intrusion ou un audit technique qualifié relève d'eux, et la liste des prestataires qualifiés est publiée par l'agence. Optédif ne figure dans aucune de ces catégories et ne prétend pas y figurer.

La directive NIS2 et l'état de sa transposition

La directive (UE) 2022/2555, dite NIS2, relève le niveau de cybersécurité exigé d'un grand nombre d'entités, dont des administrations publiques : gestion des risques, notification des incidents significatifs, responsabilité des dirigeants, contrôle par une autorité nationale. Elle devait être transposée avant le 17 octobre 2024. En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi deux autres textes européens.

Au 23 octobre 2026, ce projet de loi n'est ni adopté définitivement ni promulgué. Le Sénat l'a adopté en mars 2025, une commission spéciale de l'Assemblée nationale l'a examiné en septembre 2025, et son examen en séance publique, prévu début octobre 2026, a été retiré de l'ordre du jour. Le périmètre exact des entités concernées, les obligations précises et les mesures d'application dépendent du texte final et de décrets qui n'existent pas encore. Nous n'annonçons donc aucune échéance et nous ne promettons aucune conformité. L'ANSSI a par ailleurs mis à disposition un document de travail non obligatoire, le référentiel ReCyF, que les structures peuvent consulter pour se préparer. Le suivi du texte est possible sur le site de l'Assemblée nationale et sur l'espace d'information NIS2 de l'ANSSI.

Méthodes et normes : EBIOS Risk Manager, ISO 27001, ISO 27005 et ISO 22301

EBIOS Risk Manager est la méthode d'appréciation et de traitement des risques numériques publiée par l'ANSSI avec le Club EBIOS. Elle se déroule en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Elle ne délivre aucun label à celui qui l'applique ; l'ANSSI labellise seulement des outils logiciels et des formations qui respectent son cahier des charges, et les nôtres ne portent pas ce label.

Les normes ISO/IEC 27001 (système de management de la sécurité de l'information), ISO/IEC 27005 (gestion des risques liés à la sécurité de l'information) et ISO 22301 (système de management de la continuité d'activité) sont volontaires. La certification d'un système de management est délivrée par un organisme de certification accrédité par le Cofrac, indépendant des prestataires qui préparent la démarche. Le RGS et ces normes se complètent : l'homologation décide d'un système précis, la norme organise un dispositif durable.

Enjeux et responsabilités dans une collectivité ou une administration

Qui porte quoi

La sécurité d'un système d'information n'est pas l'affaire du seul service informatique. L'exécutif ou le chef de service porte la décision d'homologation et les arbitrages budgétaires. Le directeur général des services veille à la cohérence entre les directions. Le responsable de la sécurité des systèmes d'information (RSSI), quand il existe, anime la politique de sécurité, les analyses de risques et la réponse aux incidents ; dans une petite commune, cette fonction est souvent confiée à un agent qui a d'autres missions ou mutualisée au niveau de l'intercommunalité ou d'un syndicat. Les administrateurs systèmes et réseaux appliquent les mesures, et chaque agent reste le premier maillon : un message d'hameçonnage ouvert, un mot de passe réutilisé suffisent à ouvrir la porte.

Le délégué à la protection des données intervient lorsqu'un incident touche des données personnelles : une violation peut devoir être notifiée à la CNIL (Commission nationale de l'informatique et des libertés) dans les 72 heures. Le dispositif national Cybermalveillance.gouv.fr aide les victimes à s'orienter vers des prestataires de proximité. Ces fonctions doivent s'articuler dans un document simple, que chacun connaît avant la crise.

Identité numérique et gestion des accès

Savoir qui a accès à quoi est la base de la sécurité. Les annuaires (Active Directory, LDAP), les solutions de gestion des identités et des accès (IAM) et les protocoles d'authentification comme OpenID Connect sont les briques techniques ; Keycloak est un exemple d'outil libre qui les met en œuvre. Les enjeux sont organisationnels : arrivées et départs d'agents, droits proportionnés aux fonctions, comptes à privilèges maîtrisés, authentification à plusieurs facteurs pour les accès sensibles, revue périodique des droits.

Côté usagers et agents, l'État propose des fournisseurs d'identité mutualisés : FranceConnect pour les particuliers et ProConnect, qui a succédé à AgentConnect pour les agents publics. Le règlement (UE) 2024/1183, dit eIDAS 2, prépare l'arrivée d'un portefeuille européen d'identité numérique. Les collectivités ont intérêt à raccorder leurs téléservices à ces dispositifs plutôt que de multiplier les comptes.

Hébergement, cloud de confiance et SecNumCloud

Le choix d'un hébergeur engage la protection des données et la continuité du service. La qualification SecNumCloud est délivrée par l'ANSSI à des offres de cloud qui répondent à un référentiel exigeant, y compris sur la protection contre des accès non autorisés d'autorités publiques d'États tiers. Pour savoir si une offre est qualifiée, il faut consulter la liste officielle des produits et services qualifiés de l'ANSSI, et non la plaquette commerciale. Nous ne qualifions aucun hébergeur de SecNumCloud ni de souverain ; les noms d'hébergeurs que le catalogue cite comme thèmes sont des sujets de formation, dont le statut doit être vérifié sur cette liste à la date de votre décision.

La doctrine « cloud au centre » publiée par la direction interministérielle du numérique s'adresse à l'État. Elle prévoit le recours à une offre qualifiée SecNumCloud, ou à une qualification européenne au moins équivalente, pour les données dont la violation porterait atteinte à l'ordre public, à la sécurité publique, à la santé ou à la propriété intellectuelle. L'article 31 de la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (SREN) a inscrit dans la loi des exigences voisines pour l'État et certains opérateurs. Son décret d'application d'avril 2026 ne vise pas directement les collectivités, ce qu'une proposition de loi en discussion pourrait modifier : le point est à vérifier avant toute décision.

Continuité d'activité, sauvegardes et gestion de crise

Une attaque ou une panne se mesure en jours sans téléservice, sans paie ou sans état civil. La continuité d'activité part d'une analyse d'impact : quels services doivent repartir en premier, en combien de temps, avec quelles données. Le plan de continuité d'activité (PCA) organise la poursuite des missions en mode dégradé, le plan de reprise d'activité (PRA) celui du système d'information. Les sauvegardes, déconnectées du réseau principal et testées par une restauration réelle, font la différence en cas de rançongiciel.

La gestion de crise ajoute l'organisation de la décision et de la communication : cellule de crise, rôles, annuaire de secours, moyens de communication hors du système touché. Les services de supervision des ouvrages d'eau et d'assainissement, qui pilotent des automatismes, demandent une attention propre. La norme ISO 22301 offre un cadre de management pour ces dispositifs ; le plan communal de sauvegarde, prévu pour les risques majeurs, est un sujet voisin traité avec la protection civile.

Ce que nous faisons, et ce que nous ne faisons pas

Les prestations d'Optédif sur ce domaine

Nous réalisons des audits organisationnels : gouvernance, politique de sécurité, gestion des accès, sauvegardes, gestion des incidents, sensibilisation des agents. Nous conseillons sur l'organisation de la fonction sécurité, la politique de sécurité, le dossier d'homologation d'un téléservice ou le choix d'un mode d'hébergement, avec des scénarios comparés. Nous concevons des documents et des architectures : politique de sécurité, analyse de risques selon EBIOS Risk Manager, plan de continuité, charte d'usage, schéma d'accès. Nous déployons des outils de gestion des identités, de supervision et de sauvegarde dans votre environnement, par lots, avec recette et retour arrière.

Nous évaluons à blanc avant un audit de certification ou une décision d'homologation, et nous formons vos équipes, des agents aux cadres. Les outils cités dans le catalogue, comme Wazuh, MISP, TheHive, QRadar, Nessus, Keycloak ou Active Directory, sont les outils des thèmes concernés : nous ne les comparons pas et nous ne les recommandons pas à titre commercial. Les missions sont conduites au forfait ou en récurrent, avec des livrables définis, sous la responsabilité d'Optédif.

Ce que nous ne faisons pas

Optédif n'est pas prestataire qualifié par l'ANSSI. Nos missions de sécurité sont des accompagnements organisationnels et des formations ; lorsqu'un audit qualifié est requis, nous vous orientons vers un prestataire PASSI. Nous ne réalisons ni test d'intrusion, ni audit technique de configuration ou de code, ni réponse à incident au sens de la qualification PRIS (prestataire de réponse aux incidents de sécurité), ni service de détection au sens de la qualification PDIS (prestataire de détection d'incidents de sécurité). Un scanner de vulnérabilités fait partie de l'hygiène de vos équipes ; son usage ne remplace pas un audit qualifié.

Nous ne délivrons ni certification, ni homologation, ni attestation de conformité à NIS2. Nous préparons à la certification ISO 27001 ou ISO 22301 et nous réalisons des audits à blanc, la certification étant délivrée par un organisme accrédité par le Cofrac. L'homologation reste la décision de l'autorité d'homologation de votre collectivité. Nous ne donnons pas d'avis juridique : l'analyse d'un texte appliqué à votre situation relève de votre service juridique ou de votre avocat. Nous n'hébergeons pas vos données et nous travaillons, autant que possible, sur des données anonymisées ou fournies à titre d'exemple.

Lorsque nous assistons un acheteur dans la préparation d'une consultation, par exemple pour un service de supervision ou d'hébergement, nous ne candidatons pas à cette consultation. Nos formations s'adressent aux agents et aux cadres, jamais aux élus au titre de leur mandat. Les cas présentés sur le site sont des exemples construits : ils ne décrivent aucun client réel et ne promettent aucun résultat.

Références officielles

Pour aller plus loin, les sources de référence sont celles des autorités : le site de l'ANSSI pour les guides, les méthodes et les listes de prestataires qualifiés, le site de la CNIL pour les violations de données, le texte de la directive NIS2 sur EUR-Lex, et Légifrance pour les textes français. Nous vous invitons à vérifier sur ces sites l'état des textes à la date de votre projet, car plusieurs d'entre eux évoluent encore.