Sur la base des travaux de recherche du Dr iur. Dr rer. pol. Fabian M. A. Teichmann

Lorsqu'une commune est paralysée, tout le monde s'en aperçoit : les portails citoyens tombent en panne, les certificats d'enregistrement ne peuvent plus être délivrés, les prestations sociales sont suspendues et, dans le pire des cas, l'approvisionnement en eau ou la distribution d'énergie s'arrêtent. Les administrations communales et les régies municipales (Stadtwerke) comptent parmi les cibles les plus vulnérables du cyberespace allemand – et en même temps parmi les moins bien protégées. Teichmann a analysé les causes structurelles de cette vulnérabilité ainsi que les conséquences de la directive SRI 2 (NIS 2) dans plusieurs articles (Teichmann, Cyberangriffe auf kommunale IT-Infrastrukturen, CyberStR 2025, p. 23–32 ; idem, NIS-2 und die Anwendung auf kleine und mittlere Stadtwerke, EnWZ 2025, p. 400–407).

Pourquoi les communes sont particulièrement menacées

Teichmann identifie plusieurs facteurs structurels qui font des communes des cibles attrayantes et faciles à attaquer.

Le premier problème est l'hétérogénéité du paysage informatique. Alors que les petites communes externalisent souvent leur informatique vers des centres de calcul communaux partagés, les grandes villes gèrent leurs propres infrastructures – et il existe bien souvent un fonctionnement mixte complexe. Cette hétérogénéité historique entraîne des niveaux de sécurité très disparates et une multitude d'interfaces difficiles à surveiller (Teichmann, CyberStR 2025, p. 23–32).

Le deuxième problème réside dans les systèmes patrimoniaux (legacy). De nombreuses communes travaillent avec des logiciels spécialisés obsolètes pour lesquels il n'existe plus de mises à jour de sécurité, ou dont la mise à niveau est négligée pour des raisons budgétaires. Ces systèmes anciens constituent une porte d'entrée privilégiée pour les attaquants.

Le troisième problème, et peut-être le plus grave, réside dans les déficits de gouvernance. Dans les communes, les cyber-risques sont souvent perçus comme des problèmes isolés et ponctuels, et les responsabilités restent floues. L'État fédéral ne se sent pas directement responsable, les Länder renvoient à l'autonomie communale, et de nombreuses communes ne disposent tout simplement pas des ressources humaines et financières suffisantes pour aborder la cybersécurité de manière proactive (Teichmann, CyberStR 2025, p. 23–32).

Un cadre juridique fragmenté

L'un des problèmes centraux est la complexité de la situation juridique. La responsabilité de la cybersécurité communale oscille entre les directives européennes, le droit fédéral et le droit des Länder – un enchevêtrement fédéraliste où manquent des responsabilités claires et des normes minimales uniformes. Il est remarquable que le Conseil de planification informatique (IT-Planungsrat) ait décidé d'exclure les communes de nombreuses obligations de la directive SRI 2 – un symptôme du manque de lisibilité fédéral que Teichmann évalue de manière critique. Le résultat est un patchwork de normes différentes, dans lequel aucun organisme n'assure de manière globale un niveau de protection uniforme (Teichmann, Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf, ZRP 2025, p. 184–187).

Les régies municipales : entre services d'intérêt général et SRI 2

Alors que l'administration communale centrale reste exclue de la directive SRI 2 dans de nombreux Länder, la situation se présente différemment pour les régies municipales. En tant qu'exploitants d'infrastructures d'énergie, d'eau et parfois de transports, elles fournissent des services d'intérêt général essentiels – et entrent de ce fait fréquemment dans le champ d'application de la directive SRI 2 (Teichmann, EnWZ 2025, p. 400–407).

L'auto-évaluation s'avère particulièrement complexe : les entreprises multisectorielles, qui fournissent en même temps de l'électricité, du gaz, de l'eau et éventuellement des services de transport ou de télécommunications, doivent analyser minutieusement sous quelle catégorie se range chacune de leurs activités. De plus, même des acteurs situés sous les seuils réglementaires mais critiques d'un point de vue fonctionnel peuvent être concernés : une petite régie municipale qui approvisionne toute une région en énergie peut, malgré un faible effectif, jouer un rôle clé dont la défaillance aurait des conséquences majeures (Teichmann, EnWZ 2025, p. 400–407).

Le problème des ressources

Teichmann aborde un problème souvent négligé en pratique : les exigences de la directive SRI 2 peuvent tout simplement dépasser les capacités des petits fournisseurs communaux. Une régie municipale comptant quelques dizaines de salariés dispose rarement d'un service de sécurité informatique dédié ou d'un RSSI. Sa proposition de solution est pragmatique : les modèles de coopération. Les petites régies municipales peuvent se regrouper, mandater des prestataires de services de sécurité informatique communs ou s'appuyer sur les ressources de centres de calcul communaux. Point important : toute entité qui externalise sa sécurité informatique reste responsable de son niveau de sécurité et doit évaluer ses prestataires en conséquence (Teichmann, EnWZ 2025, p. 400–407).

Ce que les communes et les régies municipales doivent faire maintenant

Les régies municipales doivent vérifier si et dans quelle catégorie elles relèvent de la directive SRI 2. La cybersécurité doit faire l'objet d'une attribution claire des compétences – en tant que tâche de direction assortie d'une responsabilité définie. Les petits fournisseurs de services publics devraient recourir à des coopérations et à des prestataires de services partagés. Les mesures de protection fondamentales – segmentation du réseau, sauvegardes, authentification multifacteur, gestion des correctifs, formation du personnel – sont réalisables même avec des ressources limitées. Enfin, des concepts d'urgence pour un fonctionnement minimal sans outil informatique sont indispensables dans le cadre des services d'intérêt général (Teichmann, EnWZ 2025, p. 400–407 ; idem, CyberStR 2025, p. 23–32).

Conclusion : les services d'intérêt général exigent une cyber-résilience

Les communes et les régies municipales sont confrontées à un double défi : elles sont particulièrement vulnérables et, en même temps, particulièrement dignes de protection, car leur défaillance compromet l'approvisionnement de base des citoyens. Ce qui est nécessaire, c'est un changement structurel de la culture de cybersécurité au sein des services publics locaux – et cela commence par la reconnaissance de la cybersécurité comme une mission essentielle de la responsabilité publique.

Toutes les références bibliographiques renvoient à des contributions scientifiques publiées par le Dr iur. Dr rer. pol. Fabian M. A. Teichmann. La bibliographie complète est documentée dans la liste des publications (état en mai 2026).