Actualités

Les collectivités territoriales sont les cibles privilégiées des cybercriminels depuis le début de la crise sanitaire. En 2020, au moins 67 collectivités ont été touchées par des cyberattaques d’après la Gazette des communes.

Les attaques sont très variées : demande de rançon (rançongiciel), email incitant au partage d’informations confidentielles (hameçonnage), intrusion et défiguration d’un site internet d’une commune pour y faire apparaître des messages insultants…Les exemples sont légion.

En novembre 2020, l’Agence Nationale de sécurité des systèmes d’information (ANSSI) et l’Association des Maires de France (AMF) ont publié un guide de cybersécurité à destination des communes. Outre les bonnes pratiques et recommandations qu’il contient, ce guide vise avant tout à mettre les élus face à leurs responsabilités et les invite à repenser leur stratégie en matière de risques numériques. Le premier frein dans la mise en place de la sécurité numérique est un frein financier, c’est pourquoi le guide souligne la possibilité pour les collectivités de mutualiser les services de sécurité numérique et d’ainsi réduire leurs coûts.

Référentiel général de sécurité des collectivités territoriales

La cybersécurité n’est pas un enjeu nouveau et les collectivités territoriales doivent suivre un référentiel général de sécurité pris en application des textes suivants :  

– Ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.

– Décret 2010-112 du 2 février 2010 portant application des articles 9, 10 et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.

– Arrêté du 13 juin 2014 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques.

– Arrêté du 10 juin 2015 portant prorogation des délais de mise en œuvre du référentiel général de sécurité.

Néanmoins, la crise sanitaire a entrainé en catastrophe et sans cadre précis une numérisation du service public et la mise en place du télétravail des agents, ce qui a favorisé l’essor des risques numériques.

La sensibilisation et formation des agents aux risques numériques est vitale. L’erreur humaine est une des premières causes des cyberattaques.

Combien d’agents ont cliqué malencontreusement sur un lien malveillant reçu par email, ayant donné accès au système informatique de leur commune ?

Par ailleurs, selon le type de cyberattaque, les données personnelles des administrés peuvent être affectées.

Par conséquent, si la réglementation en matière de cybersécurité garantit que les organisations adoptent des pratiques de cybersécurité solides, la réglementation sur la protection des données personnelles garantie que les organisations prennent également des mesures organisationnelles et techniques solides pour assurer la sécurité des données personnelles, dans un environnement numérique.

Le cadre juridique de protection des données personnelles :

– La loi Informatique et Libertés du 6 janvier 1978
– Le Règlement européen 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD)

Pour être conforme en matière de protection des données personnelles, une collectivité territoriale traitant des données personnelles doit :

1) Désigner un délégué à la protection des données (elle peut avoir recours à une convention de mutualisation avec d’autres collectivités : plusieurs collectivités vont alors profiter des services du même professionnel)

2) Recenser ses données, faire le tri et tenir à jour un registre des traitements

3) Informer les administrés de comment et pourquoi elle traite leurs données et quels sont leurs droits (rédiger une politique de protection des données)

4) Sécuriser les données par des mesures techniques et organisationnelles :
–> mise en place d’une charte informatique (document juridique nécessitant l’aide d’un juriste ou avocat), mise en place d’habilitations et de mots de passe robustes conformément aux recommandations de l’ANSSI

5) Revoir ses contrats avec ses sous-traitants et les encadrer par des clauses propres à la protection des données et à la sécurité des systèmes d’information / Intégrer les obligations relatives à la protection des données dans les marchés publics

6) Réaliser des analyses d’impact pour les traitements présentant des risques pour les droits des personnes

7) Notifier la CNIL sous 72H00 (ainsi que les administrés selon le cas, dans les meilleurs délais) en cas de cyberattaque affectant des données personnelles

Si une collectivité territoriale est victime d’une cyberattaque affectant des données personnelles et qu’elle n’a pas notifié la CNIL et/ou les personnes concernées, elle risque jusqu’à 10 millions d’euros d’amende (article 83 du RGPD).

La responsabilité pénale de l’élu pourra également être envisagée si la cyberattaque est due à sa négligence.

Il est recommandé aux communes d’adopter les mesures juridiques et organisationnelles suivantes pour assurer leur cybersécurité en amont et réduire les risques de cyberattaques ; il faut également voir en aval comment réagir en cas de cyberattaque :  

Juridique :

En amont :

– S’assurer d’être à jour concernant la documentation obligatoire en matière de protection des données personnelles ;
– Mener des analyses d’impact en cas de traitement présentant un risque élevé pour les droits des personnes ;
– Rédiger une charte informatique encadrant les règles d’hygiène informatique ;
– Revoir les contrats avec les prestataires pour s’assurer des obligations mises à la charge des prestataires ainsi que des mesures techniques de sécurité informatique mises en place ;
– Souscrire à une assurance cyber.

En aval :

– Notifier la CNIL et tenir un registre des violations de données ;
– Notifier les personnes concernées le cas échéant ;
– Déposer plainte.

Gouvernance et organisation :

En amont :

– Nommer un délégué à la protection des données ;
– Établir un plan de crise (plan de continuité d’activité, plan de communication) ;
– Mettre en place un réseau de référents locaux en matière de sécurité numérique ;
– Informer et sensibiliser ses agents au quotidien avec des exercices de mise en situation.

En aval :

– Réunir la cellule de crise pour désigner une personne en charge de la communication interne et externe ;
– Accompagner les agents victimes de la cyberattaque et faire un retour d’expérience à l’ensemble des agents pour les sensibiliser ;
– Notifier l’assurance.

Une approche méthodique et organisée permettra aux élus de prévenir et/ou guérir le plus rapidement possible et d’ainsi minimiser les risques d’atteinte à leur image et réputation. Les élus doivent s’entourer d’équipes techniques et juridiques spécialisées dans le domaine de la sécurité numérique pour s’assurer de mettre en place une bonne hygiène numérique.

Pour concurrencer les titans du numérique américains et chinois, quatre enjeux majeurs s’imposent à
l’Europe: permettre aux licornes européennes de passer à l’échelle, attirer les entreprises étrangères de la
Tech, aider les entreprises européennes à opérer la transition digitale, investir dans les talents.
Or l’Europe est aujourd’hui en retard : selon le cabinet CB Insights, 12 % seulement des licornes de la Tech
sont européennes – la France n’a que 7 licornes en octobre 2020. Pourtant, l’Europe compte un grand nombre
de start-up – la France en compte environ 10 000 sur son territoire.

Le baromètre du MEDEF construit par le BCG soulignait en 2019 que la France est dans le peloton
international sur quasiment toutes les dimensions qui font l’excellence digitale (talents, infrastructures,
politiques, accès aux données, cybersécurité). Plus précisément:

• La qualité de la formation des talents digitaux, avec notamment l’excellence des formations scientifiques,
  permet à la France de se situer entre la 6ème et la 7ème position des principaux classements mondiaux;
• Les incitations à la recherche sont fortes, avec 20 % de la R & D des entreprises soutenue indirectement
  par le gouvernement;
• La mise à disposition des données publiques: selon l’OCDE, la France se classe en deuxième position quant à l’accès aux données et en troisième sur la disponibilité des données;
• L’engagement de l’État pour la cybersécurité: la France est 8ème pour l’indice Global cybersécurité, calculé
• par l’Union Internationale des Télécommunications (UIT).

La France doit néanmoins remédier à des faiblesses majeures. Ainsi, l’adoption de la transition digitale
reste faible (moins de 20 % des entreprises françaises intègrent l’IA dans leur stratégie), d’autant que les
infrastructures nécessaires ne sont pas pleinement déployées. De facto, le manque de projets d’ampleur
et la moindre attractivité des salaires ne permettent pas à la France d’attirer et de conserver les talents
digitaux. En résulte une pénurie de talents, la France attirant 1,6 fois moins que le Royaume-Uni et 2 fois
moins que les Etats-Unis. Sa capacité à retenir les talents environ 1,5 fois plus faible qu’au Royaume-Uni et
aux Etats-Unis.

Néanmoins, les employés et managers français sont largement volontaires pour opérer la transition digitale,
c’est-à-dire la mise en œuvre des technologies numériques et des méthodes de travail dans les activités d’une
entreprise. 76 % des employés et 89 % des managers se disent impliqués dans la transformation digitale de
leur entreprise, devant les allemands et les anglais.

La digitalisation de l’Etat et des administrations publiques

Lors du Grand débat national qui s’est tenu en France courant 2019, « plus de 1,5 million de Français ont
exprimé leurs fortes attentes vis-à-vis des services publics ». Et 3 mots-clés souvent reliés au digital ont
émergé : le besoin de simplicité, de rapidité et de proximité. Pour répondre au mieux aux attentes des
citoyens, il est donc primordial pour les administrations françaises de repenser la manière dont leurs services
sont livrés aux usagers finaux, et ce notamment, grâce au levier digital. Ce processus de transformation vers
le digital que doit faire aboutir le service public est souvent désigné comme « e-administration », ou encore
« administration en ligne ». Ce mot désigne alors l’ensemble des prestations électroniques qui permettent
aux administrés – citoyens comme entreprises – d’interagir avec l’administration publique simplement, et
directement en ligne. Les citoyens (en France comme à l’étranger) attendent de leurs administrations des
démarches quotidiennes facilitées, et une meilleure qualité de service. C’est bien l’objectif de fonctionnement
de la E-administration: proposer des services digitaux afin de faire bénéficier à leurs citoyens de moyens
simples, efficaces et pérennes pour échanger avec eux. En France, certaines procédures digitalisées
existent déjà. De la demande d’acte de naissance à l’inscription aux listes électorales, en passant par les
changements d’adresse, la dématérialisation des démarches administratives s’intensifie, et elle a commencé
à faire ses preuves dans la simplification de la vie citoyenne.

Mais la France semble encore loin de certains pays très avancés sur le sujet comme l’Estonie par exemple.
En Estonie, dont la superficie n’est pourtant que de 45 000 km² pour 1,32 million d’habitants, une carte
d’identité électronique a déjà été instaurée, et adoptée par près de 98 % de la population. Payer ses impôts,
recevoir ses ordonnances médicales, créer son entreprise, suivre les résultats académiques de ses enfants…
La quasi-totalité des démarches administratives estoniennes sont aujourd’hui réalisables en ligne 24 heures
sur 24 et 7 jours sur 7. La ministre estonienne Urve Palo estime que le pays économise ainsi l’équivalent de
2 % de PIB par an.

Alors bien sûr cela pose la question de la protection des données. Ainsi en 2007, en pleine crise avec la
Russie, le pays a été victime d’un piratage de grande ampleur qui a perturbé pendant plus de deux semaines
le fonctionnement des sites institutionnels, des banques mais aussi des médias. L’Estonie a depuis fait de
la cybersécurité une priorité. Avec le développement du numérique sont apparus de nouveaux risques, liés
notamment à l’utilisation frauduleuse des données personnelles des administrés.

Leur gestion et protection devient donc clé dans le maintien et le renforcement d’un rapport de confiance
entre l’administration et les usagers.

Au delà des citoyens, l’intérêt de l’e-adminitration est aussi très important pour les entreprises qui voient
dans cette digitalisation des pratiques un moyen considérable de faciliter l’ensemble des démarches qu’elles
doivent entreprendre à chaque étape de leur développement, pour pouvoir au final gagner en compétitivité.
De nombreuses demandes sont déjà réalisables en ligne de manière unitaire, comme les déclarations de
chiffres d’affaires ou les déclarations préalables à l’embauche, minimisant ainsi les déplacements et l’envoi
de courriers aux administrations concernées. Mais ces première réponses digitales restent encore à être
approfondies.

La révolution numérique est devenue une opportunité de meilleur service rendu aux citoyens tout en gagnant
en efficacité. L’administration s’est ainsi engagée dans une modernisation de ses process et outils. C’est
l’objectif du programme national « Action publique 2022 » autour de 3 points principaux :

• Améliorer la qualité des services publics,
• Offrir un environnement de travail modernisé aux fonctionnaires
• Maîtriser les dépenses publiques en optimisant leurs utilisations.
  La transformation de l’Etat est donc très attendue par les citoyens qui souhaitent que les services publics
  l’aident et lui apportent plus de valeur ajoutée dans son quotidien. Repenser la dématérialisation autour du
  citoyen nécessitera à l’administration de redéfinir les contours de son action autour de la création de valeur
  et de lien plus authentique.

Comment faire émerger une filière numérique européenne forte ?

Face à la polarisation de la filière numérique autour des Etats-Unis et de la Chine, une stratégie doit être
érigée à un niveau européen. Afin de créer les champions européens et français du numérique, aller jusqu’au
bout par des investissements massifs est la clé. Les Etats-Unis assurent un volume de capital-risque 3,4
supérieur à l’Europe, et la Chine un investissement par start-up 5 fois supérieur. En outre, les start-ups
chinoises et américaines ont accès à un marché intérieur unifié et large, à des consortiums industriels et
créent un effet d’entraînement sur les entreprises.

La France ne sera capable d’assurer une place sur le numérique que si elle renforce sa capacité à s’appuyer
sur un marché européen unifié et large. Soutenir une telle stratégie européenne est donc essentiel.

Le numérique, au même titre que la Défense (les deux domaines se recouvrant d’ailleurs à travers les sujets
de cybersécurité et d’objets connectés), représente un enjeu de souveraineté pour la France et l’Europe,
qui se trouvent désormais sur ces deux domaines à la croisée des chemins tant sur le plan économique que
géopolitique.

En l’espace de quelques années, l’expression « souveraineté numérique » utilisée à l’origine pour évoquer les
risques émergents de « vassalisation » technologique de l’Europe par des sociétés américaines ou chinoises
est devenue un sujet politique majeur. A mesure que les technologies numériques se développent dans
l’ensemble des champs de l’activité économique et politique de nos sociétés, elles modifient les dynamiques
de pouvoir entre les acteurs privés et les États et entre les États eux-mêmes. Les instruments de la
souveraineté des États sont ainsi indiscernables des outils de la puissance technologique. Les États-Unis
et la Chine font très largement la course en tête dans les domaines de l’Intelligence artificielle (IA), du
numérique, de la robotique et de la domotique depuis plusieurs années grâce à une stratégie affirmé. Ils ne
dissimulent d’ailleurs pas leur volonté d’utiliser leurs champions du numérique pour asseoir leur domination
économique, militaire, géostratégique et leur souveraineté numérique.

La mise en place du Centre européen de compétences industrielles, technologiques et de recherche en
matière de cybersécurité va dans ce sens. Envisagé comme un organe de formation autant qu’un organe
consultatif, ce centre permettrait de fédérer les acteurs de la recherche, les industriels et enfin les éditeurs
de solutions, de manière à faire éclore des pépites compétitives à l’échelle mondiale.

Sacha GAILLARD
Maire-adjoint Ville de Saint-Cloud
Président-fondateur d’EspriTerritoires
Chef de Projet Digital

– Les Entretiens de Royaumont 2021 –