la cybersécurité, enjeu silencieux du scrutin

À cinq mois du vote municipal, les communes françaises doivent sécuriser leurs systèmes d’information avant les attaques numériques déjà observées dans plusieurs villes.

La préparation des élections locales de mars 2026 ne repose pas seulement sur les listes électorales et les programmes politiques. Les menaces informatiques pèsent désormais sur la crédibilité du scrutin, après une série d’incidents qui ont touché de nombreuses mairies françaises ces dernières années. Les cas documentés par Zataz montrent comment rançongiciels, fuites de données et manipulations de serveurs peuvent fragiliser le fonctionnement municipal. L’enjeu dépasse la simple continuité de service : il concerne la confiance démocratique.

Des précédents inquiétants dans les collectivités

Zataz a signalé plusieurs cyberattaques visant des collectivités locales depuis 2020. En 2021, la mairie de Sainte-Marie-de-Ré a vu ses données chiffrées par un rançongiciel, paralysant la délivrance d’actes d’état civil. En 2022, la ville de Chalon-sur-Saône a été contrainte de couper son réseau pour éviter la propagation d’un malware. D’autres communes, comme Angers, Gravelines, Lille, Albi ou Marseille, ont également été confrontées à des intrusions ayant exposé des fichiers administratifs sensibles.

Ces attaques suivent un schéma constant : exploitation de failles non corrigées, hameçonnage ciblé du personnel, absence de segmentation réseau. Selon les analyses publiées par Zataz, certains groupes cybercriminels vendent ensuite les accès compromis sur des forums clandestins ou sur le dark web. Des communes infiltrées pour du business malveillant. Mais les données collectées ne vont-elles pas servir, dans quelques mois, à d’autres fins ?

Une collecte d’informations internes et d’administrés qui ne cesse pas. Nous l’avons vu, malheureusement, en cette fin d’année 2025 avec les mairies de Corneilhan, Saint Claude, Elne, Etc.

Des opérations qui pourraient viser non seulement les rançons, mais aussi les informations électorales (bases d’électeurs, adresses, identifiants d’agents), susceptibles d’être revendues ou exploitées à des fins de désinformation.

Les élections de 2026 sous surveillance numérique

Le double scrutin des 15 et 22 mars 2026 mobilisera plus de 35 000 communes et des milliers d’ordinateurs reliés aux systèmes d’état civil et de gestion électorale. Le ministère de l’Intérieur a annoncé un renforcement des audits de sécurité et de la supervision des systèmes municipaux, mais la surface d’attaque reste considérable. En voici quelques-unes : sécuriser les connexions entre les mairies et les préfectures ; imposer une authentification multifacteur pour tous les agents électoraux ; isoler les postes de vote électronique (quand ils existent) du reste du réseau administratif ; sauvegarder hors ligne les bases électorales pour limiter l’impact d’un rançongiciel ; sécurisation des sites web et leurs accès ; fermer les sites web ouverts pour des opérations ponctuelles (blogs des centres de loisirs passés ; rendez-vous culturels passés, Etc.)

Les collectivités devront aussi gérer la menace informationnelle : campagnes de désinformation locales, faux sites municipaux, messages usurpant l’identité d’élus, contrôle des panneaux d’informations électroniques placées dans les rues, Etc. Le Service de Veille ZATAZ a la chance d’avoir la confiance de communes. Certaines fuites de données sont trés étonnantes. Nous ne pouvons en dire plus !

Vers une résilience locale : former et anticiper

Zataz souligne régulièrement que la majorité des incidents observés ne relèvent pas d’attaques d’État mais de cybercriminalité opportuniste. Pourtant, la frontière se brouille lorsque des groupes affiliés à des intérêts étrangers exploitent les mêmes failles pour collecter des informations politiques. La résilience passe par la formation systématique des agents municipaux et par la mise en place de procédures de crise adaptées. Chaque mairie doit pouvoir isoler un poste infecté, restaurer ses données et informer les autorités compétentes sans retarder les opérations électorales.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la CNIL veillent. En 2024, l’ANSSI a recensé 218 incidents impliquant ces structures. Si la recherche de gains financiers reste la motivation principale des attaquants, certaines offensives visent aussi la déstabilisation ou l’espionnage. La CNIL, par exemple, reprend son bâton de pèlerin pour revenir sur le ciblage politique avant les municipales.

Nouveau cadre européen

Un nouveau cadre européen vient renforcer la régulation numérique du débat électoral. Le règlement 2024/900, pleinement applicable depuis le 15 octobre 2025, complète le RGPD pour encadrer l’usage des outils de ciblage dans la communication politique. La CNIL, désignée autorité compétente pour appliquer les articles 18 et 19 du texte, veille désormais à ce que l’utilisation des données personnelles à des fins de prospection politique soit strictement encadrée. Le règlement introduit des obligations nouvelles sur le traitement de données liées à la diffusion d’annonces ou à la segmentation des électeurs.

La Commission européenne a publié des lignes directrices précisant les acteurs concernés, la définition de la publicité politique et la notion d’« activités internes ». Le Comité européen de la protection des données (CEPD) prépare, de son côté, de nouvelles orientations pour clarifier les aspects directement liés à la gestion des données électorales.

En attendant leur publication, la CNIL a diffusé six fiches pratiques pour guider les partis, candidats et citoyens. Ces documents détaillent les règles concernant les outils de communication politique, la constitution de fichiers de contact, l’utilisation des listes électorales, l’interdiction de certaines bases de données, les fichiers issus du secteur privé et la responsabilité juridique des acteurs politiques.

Un tableau récapitulatif accompagne ces fiches pour préciser les mentions obligatoires que doivent publier les responsables de traitement et les éditeurs selon le type de publicité politique, en cohérence avec le RGPD et le règlement européen sur la transparence.

La CNIL inscrit ces mesures dans un plan d’action global destiné à protéger les données des électeurs à chaque échéance électorale. Elle prévoit la publication d’autres contenus pédagogiques, l’ouverture d’un observatoire des élections, et la collecte de signalements citoyens via un formulaire dédié. L’objectif est de détecter tout usage abusif des fichiers d’électeurs pendant la campagne municipale.
Enfin, l’autorité participera au Salon des maires et des collectivités locales du 18 au 20 novembre 2025, où elle présentera ses fiches et animera une conférence intitulée : « Municipales 2026 : quelles règles applicables en matière de prospection politique ? ».

Ce nouveau cadre complète la lutte contre les manipulations numériques et renforce la transparence du débat électoral, au moment où les campagnes locales s’appuient de plus en plus sur les données personnelles et les réseaux sociaux. Les municipales de 2026 seront un nouveau test grandeur nature de la cybersécurité territoriale française. La vigilance technique devra accompagner la vigilance démocratique. Comment les communes les plus modestes pourront-elles se protéger face à des menaces aussi sophistiquées que persistantes ?