Ministères et collectivités : 24 % des incidents traités par l'ANSSI en 2025

Quatre secteurs concentrent 76 % des incidents traités par l'ANSSI. Trois d'entre eux sont majoritairement publics.

Publié le 11 mars 2026 par Cédric Lécuyer. 6 minutes de lecture.

Les chiffres

L'Agence nationale de la sécurité des systèmes d'information a publié son panorama de la cybermenace 2025. Elle a traité 3 586 événements de sécurité sur l'année, en diminution de 18 % par rapport à 2024, une baisse que l'Agence explique par l'effet des Jeux olympiques et paralympiques, qui avaient provoqué un pic de signalements entre mai et août 2024.

Sur cet ensemble, 1 366 incidents ont été portés à sa connaissance, un volume stable par rapport à 2024, où il s'établissait à 1 361, après une croissance continue les années précédentes : 1 112 en 2023, 831 en 2022.

La répartition sectorielle est plus parlante que le total. Quatre secteurs concentrent 76 % des incidents : l'éducation et la recherche à 34 %, les ministères et les collectivités territoriales à 24 %, la santé à 10 % et les télécommunications à 9 %.

L'Agence assortit ces chiffres d'une précaution méthodologique qu'il faut reprendre : ils reflètent la vision consolidée par les signalements de ses bénéficiaires, et ne sont pas nécessairement représentatifs de l'ensemble des événements qui touchent chaque secteur. La forte représentation de l'éducation et de la recherche s'explique d'ailleurs, note-t-elle, par le nombre important d'entités publiques dans ces secteurs, plus enclines à contacter l'ANSSI même pour un incident de faible criticité.

Autrement dit, ce classement mesure autant la propension à signaler que l'exposition réelle. Une organisation qui n'apparaît pas dans les statistiques n'est pas nécessairement épargnée : elle peut simplement ne rien déclarer.

L'enseignement le moins commenté

Sur les incidents par rançongiciel, la lecture est plus fine.

Les PME, TPE et ETI restent la catégorie la plus affectée. Mais l'Agence relève que la proportion d'incidents de ce type ayant touché des établissements de santé, à 8 %, est de nouveau en hausse par rapport à 2024, plusieurs centres hospitaliers ayant subi des perturbations de leurs activités d'accueil et de traitement des patients. Les structures de petite taille, EHPAD et cliniques, sont également touchées.

Dans le même temps, la part des collectivités territoriales, à 11 %, a légèrement diminué.

Ce mouvement inverse mérite attention. Il ne signifie pas que les collectivités seraient devenues moins attractives pour les attaquants, mais il suggère que les efforts engagés depuis plusieurs années y produisent un effet mesurable, alors que le secteur hospitalier reste sur une trajectoire défavorable.

L'Agence note par ailleurs que les attaquants cybercriminels continuent de pratiquer la double, voire la triple extorsion, au détriment notamment de collectivités territoriales et d'établissements de soin ou d'enseignement, et que certains groupes privilégient désormais l'exfiltration de données sans chiffrement.

Cette évolution change la nature du risque. Un chiffrement se voit : les systèmes s'arrêtent. Une exfiltration sans chiffrement ne se voit pas, sauf à disposer d'une supervision capable de détecter des volumes de lecture anormaux. L'organisation apprend l'incident quand les données sont mises en vente.

Ce que cela implique pour un dispositif de maîtrise des risques

Le risque cyber n'est pas un risque technique parmi d'autres, à traiter dans un plan séparé tenu par la direction des systèmes d'information. C'est un risque de continuité du service public, et il a sa place dans la cartographie des risques au même titre que les risques budgétaires, comptables ou juridiques.

Trois conséquences pratiques.

La cotation doit porter sur l'impact métier, pas sur la vraisemblance technique. La question n'est pas de savoir si un poste peut être compromis, mais ce qui se passe si l'état civil, la paie ou la chaîne de la dépense sont indisponibles pendant deux semaines, et qui décide quoi dans cet intervalle.

Les mesures de maîtrise doivent être documentées comme les autres. Un plan de continuité qui n'a jamais été testé est une intention, pas un contrôle. L'Agence consacre d'ailleurs, dans le référentiel qu'elle a publié depuis, un objectif de sécurité distinct aux exercices, tests et entraînements.

Enfin, la détection compte autant que la prévention. Face à des attaques qui privilégient l'exfiltration discrète, un dispositif qui ne repose que sur des barrières périmétriques ne produit aucune alerte tant que le dommage n'est pas consommé.

Une échéance qui se rapproche

Ce panorama paraît alors que le cadre réglementaire se transforme. La directive NIS 2, dont la transposition française est en cours, élargira considérablement le nombre d'entités soumises à des obligations de gestion du risque cyber et de déclaration d'incident, en y incluant des collectivités territoriales.

Les organisations qui construisent aujourd'hui leur cartographie des risques en y intégrant le volet cyber ne feront pas un travail supplémentaire au moment de l'entrée en vigueur : elles auront simplement pris de l'avance sur une obligation annoncée.

Sources

• Panorama de la cybermenace 2025, CERT-FR, Agence nationale de la sécurité des systèmes d'information

• Les collectivités territoriales, des cibles de choix pour les cybercriminels, Laboratoire de la société numérique