Cybersécurité des collectivités : 10 sanctions de la CNIL

Réponse immédiate

Le 9 novembre 2026, la CNIL a annoncé dix sanctions simplifiées pour des manquements à la cybersécurité des collectivités, visant des collectivités territoriales et un établissement public, avec des amendes de 3 000 à 20 000 euros. Les fautes relevées sont élémentaires : pas d’authentification multifacteur pour les administrateurs, prestataires connectés en permanence, journaux non exploités, serveurs obsolètes, analyses d’impact absentes. Les noms ne seront pas publiés, la loi l’interdit dans cette procédure. Le signal vaut pour toutes les collectivités, et pour leurs prestataires.

Ce que la CNIL a sanctionné dans la cybersécurité des collectivités

Le communiqué de la CNIL ne détaille pas les dossiers un par un. Il regroupe les constats en deux familles. Le tableau les reprend dans l’ordre du communiqué et indique, pour chacun, la mesure qu’un responsable de traitement doit pouvoir montrer lors d’un contrôle.

Constat de la CNIL	Fondement	Ce qu’il faut pouvoir montrer
Connexion à distance des agents insuffisamment robuste, absence d’authentification multifacteur pour les administrateurs	Article 32 du RGPD	Un second facteur pour tout accès distant, au minimum pour les comptes à privilèges
Prestataires extérieurs, par exemple des éditeurs de logiciels, connectés en permanence ou par des comptes partagés entre plusieurs salariés	Article 32 du RGPD	Des comptes nominatifs, des accès ouverts au cas par cas et refermés après l’intervention
Détection inefficace des comportements anormaux : journalisation incomplète ou journaux non exploités en temps réel ou à court terme	Article 32 du RGPD	Des journaux complets et une personne, ou un service, qui les lit
Cloisonnement insuffisant du réseau	Article 32 du RGPD	Des segments séparés, pour qu’une intrusion ne gagne pas tout le système
Serveurs sous des systèmes d’exploitation qui ne reçoivent plus de correctifs	Article 32 du RGPD	Un inventaire des versions et un calendrier de remplacement
Mots de passe faibles, envoyés en clair aux usagers ou mal stockés	Article 32 du RGPD	Une politique de mots de passe et un stockage qui en protège la confidentialité
Téléservices d’échange avec les administrés mis en service sans homologation de sécurité	Référentiel général de sécurité, cité par la CNIL	La décision d’homologation, signée avant l’ouverture du service
Absence d’analyse d’impact pour les téléservices scolaires et périscolaires (données d’enfants, coordonnées bancaires) et pour la vidéoprotection de la voie publique	Article 35 du RGPD, article 90 de la loi Informatique et Libertés	Une analyse d’impact réalisée avant la mise en œuvre du traitement

La CNIL ajoute que certaines des collectivités contrôlées ont subi une ou plusieurs violations de données « qui auraient pu être évitées si les mesures adéquates avaient été prises ». La phrase compte : elle relie explicitement les manquements constatés à des incidents réels, et pas seulement à un risque théorique.

Notre lecture : une liste de fautes connues, pas de failles sophistiquées

Aucun des huit constats ne demande une expertise rare. Authentification multifacteur, comptes nominatifs, mises à jour, cloisonnement : ce sont des mesures d’hygiène informatique de base, pas des parades contre une menace sophistiquée. Le problème est donc d’organisation plus que de technique, et cela a une conséquence pratique. Une collectivité ne peut pas se défendre en invoquant la complexité de la menace : la CNIL lui reproche de ne pas avoir fait le minimum.

Le constat sur les prestataires est le plus instructif pour qui pratique la sécurité économique. Un éditeur de logiciel connecté en permanence au réseau d’une mairie, avec un compte partagé, est une porte d’entrée que la collectivité ne contrôle pas. C’est le même schéma que celui de la cyberattaque des supermarchés d’octobre 2026, où la télémaintenance des équipements de froid laissait des interfaces exposées. Dans les deux cas, la sécurité dépend d’un tiers que personne ne surveille.

Pourquoi les noms des collectivités ne seront pas connus

C’est le cas limite que la plupart des reprises ignorent. Dans la procédure simplifiée, l’article 22-1 de la loi Informatique et Libertés prévoit que le président de la formation restreinte, ou le membre qu’il désigne, statue seul et « ne peut rendre publiques les décisions qu’il prend ». La CNIL ne publiera donc pas la liste des dix organismes.

Deux conséquences. D’abord, toute liste nominative qui circulerait ne viendrait pas de la CNIL et devrait être traitée comme une rumeur tant qu’une collectivité ne l’a pas confirmée elle-même. Ensuite, la sanction perd une partie de son effet de réputation : pour une commune, le coût visible se limite à l’amende, au plus 20 000 euros. Le levier réel est collectif. En publiant un communiqué qui agrège les constats, la CNIL avertit l’ensemble des collectivités de ce qu’elle cherche lors d’un contrôle.

Ce que dit le droit, à jour au 12/11/2026

La procédure simplifiée (article 22-1 de la loi Informatique et Libertés)

Le président de la CNIL peut engager cette procédure lorsque l’affaire ne présente pas de difficulté particulière, au regard d’une jurisprudence établie ou des décisions déjà rendues par la formation restreinte. Les mesures possibles sont un rappel à l’ordre, une injonction de mise en conformité, éventuellement sous astreinte, et une amende. Les plafonds sont fixés par le même article : 20 000 euros d’amende et 100 euros par jour d’astreinte, portés à 100 000 euros et 500 euros par jour lorsque le chiffre d’affaires annuel mondial du responsable dépasse 50 millions d’euros. Le président de la formation restreinte peut refuser cette voie ou l’interrompre, et le dossier repasse alors en procédure ordinaire.

La sécurité et l’analyse d’impact (articles 32 et 35 du RGPD)

L’article 32 du RGPD impose au responsable de traitement et à son sous-traitant des mesures techniques et organisationnelles adaptées au risque. L’article 35 impose une analyse d’impact avant tout traitement susceptible d’engendrer un risque élevé, ce qui vise notamment, selon la CNIL, la surveillance systématique à grande échelle d’une zone accessible au public. Pour les traitements relevant du titre III de la loi Informatique et Libertés, ceux qui servent à prévenir ou détecter des infractions pénales, la même obligation figure à son article 90 : c’est ce texte que la CNIL cite aux côtés de l’article 35.

NIS 2 : une transposition toujours en cours

La directive (UE) 2022/2555, dite NIS 2, devait être transposée au plus tard le 17 octobre 2024, selon son article 41. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, est en discussion en séance publique à l’Assemblée nationale depuis le 9 novembre 2026. Tant que la loi n’est pas promulguée, ses obligations ne s’appliquent pas. La CNIL indique seulement que le texte mettra « notamment » à la charge des collectivités territoriales de nouvelles exigences : leur périmètre exact dépendra de la version finale.

Méthode : l’autodiagnostic en huit questions

Ces questions reprennent les huit constats de la CNIL, dans l’ordre où une collectivité ou son prestataire peut les traiter, du plus rapide au plus long. Chaque réponse doit pouvoir s’appuyer sur une pièce écrite, car c’est ce qu’un contrôleur demandera.

Les comptes administrateurs exigent-ils un second facteur pour toute connexion à distance ? Pièce : la configuration du VPN ou du portail d’accès.
Chaque prestataire a-t-il un compte nominatif, ouvert à la demande et refermé ensuite ? Pièce : la liste des comptes externes et leur date de dernière connexion.
Les mots de passe sont-ils transmis et stockés correctement ? La CNIL cite explicitement les mots de passe transmis en clair aux usagers.
Les journaux sont-ils lus ? Avoir des journaux ne suffit pas : la CNIL reproche aussi l’absence d’exploitation en temps réel ou à court terme.
Quels serveurs tournent sous un système qui ne reçoit plus de correctifs ? Pièce : l’inventaire des versions, avec une date de remplacement pour chacun.
Le réseau est-il cloisonné entre services, écoles, vidéoprotection et administration ?
Chaque téléservice ouvert aux administrés a-t-il été homologué avant sa mise en service ? Pièce : la décision d’homologation.
Une analyse d’impact existe-t-elle pour le portail famille et pour la vidéoprotection ? Pièce : le document daté, antérieur à la mise en œuvre.

Pour hiérarchiser les réponses, la matrice des risques d’Intelligence Stratégique permet de noter chaque manquement en gravité et en vraisemblance, puis d’en tirer un plan d’action daté. Le critère de priorité le plus simple reste celui de la CNIL : un manquement qui touche des données de mineurs ou des coordonnées bancaires pèse plus lourd dans le montant de l’amende.

Limites et précautions

Le communiqué ne dit pas quelle collectivité a été sanctionnée pour quel manquement, ni combien d’amendes ont atteint le plafond. Le montant de 20 000 euros figure comme borne haute de la fourchette annoncée.
Le texte que la CNIL lie sur Légifrance pour l’obligation d’homologation n’a pas pu être lu pour cet article : Légifrance bloque les outils automatisés. Son contenu n’est donc pas résumé ici.
Le communiqué parle de dix sanctions visant des « collectivités territoriales et un établissement public », sans dire combien d’organismes distincts sont concernés.
Cet article informe, il ne constitue pas un conseil juridique. Les seuils de NIS 2 applicables aux collectivités ne seront connus qu’avec la loi promulguée.

Questions fréquentes

La CNIL peut-elle sanctionner une commune ?

Oui. Le 9 novembre 2026, elle a annoncé dix sanctions financières visant des collectivités territoriales et un établissement public, avec des amendes de 3 000 à 20 000 euros, pour des manquements à la sécurité des données et à l’obligation d’analyse d’impact.

Qu’est-ce qu’une sanction simplifiée de la CNIL ?

C’est une procédure écrite, prévue par l’article 22-1 de la loi Informatique et Libertés, réservée aux affaires sans difficulté particulière. Un seul membre de la formation restreinte statue. L’amende est plafonnée à 20 000 euros pour un organisme dont le chiffre d’affaires ne dépasse pas 50 millions d’euros, et la décision n’est pas rendue publique.

Quelles sont les obligations de cybersécurité d’une collectivité ?

Aujourd’hui, surtout l’article 32 du RGPD (mesures de sécurité adaptées au risque), l’analyse d’impact des articles 35 du RGPD et 90 de la loi Informatique et Libertés, et l’homologation de sécurité des téléservices exigée par le référentiel général de sécurité. La transposition de NIS 2 en ajoutera, une fois la loi adoptée.

Pourquoi les noms des collectivités sanctionnées ne sont-ils pas publiés ?

Parce que l’article 22-1 de la loi Informatique et Libertés interdit de rendre publiques les décisions prises en procédure simplifiée. En procédure ordinaire, l’article 22 permet au contraire à la formation restreinte de rendre ses mesures publiques.

Lire avec l'IA

Votre résumé IA de cet article

Choisissez votre assistant : il lit cet article, vous en donne l'essentiel, puis vous aide à aller plus loin si vous le souhaitez.

Pour voir plus souvent les articles d’Intelligence Stratégique dans Google, ajoutez ce site à vos sources préférées.

Sources

Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions, CNIL, 9 novembre 2026 : cnil.fr
Les contrôles de la CNIL en 2025 : applications mobiles, administration pénitentiaire, cybersécurité des collectivités, CNIL, 21 mars 2025 : cnil.fr
La procédure de sanction simplifiée, CNIL, page du 5 décembre 2022 consultée le 12 novembre 2026 : cnil.fr
Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, articles 22-1 et 90, version reproduite par la CNIL, consultée le 12 novembre 2026 : cnil.fr
Règlement (UE) 2016/679 (RGPD), chapitre IV, articles 32 et 35, reproduction de la CNIL : cnil.fr
Rapport annuel : le bilan et les actions marquantes de la CNIL en 2025, CNIL, 18 mai 2026 : cnil.fr
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dossier législatif, Assemblée nationale, consulté le 12 novembre 2026 : assemblee-nationale.fr
Directive (UE) 2022/2555 (NIS 2), article 41, texte consolidé reproduit par nis-2-directive.com, consulté le 12 novembre 2026 : nis-2-directive.com

À jour au 12/11/2026.

PUBLIÉ LE 12.11.2026 · UNE ERREUR ? SIGNALEZ-LA