Le 3 octobre 2026, la région Hauts-de-France a confirmé la compromission de 782 000 enregistrements et de 48 Go de documents sensibles (source : FrenchBreaches, observatoire des fuites de données, 3 octobre 2026). L'accès n'est pas passé par une faille dans l'infrastructure centrale de la région. Il est passé par deux prestataires informatiques, Atexo et Docaposte, auxquels avaient été délégués la gestion de logiciels métier et l'archivage documentaire. La Loi Résilience, inscrite à l'ordre du jour de l'Assemblée nationale le 7 octobre, concernera environ 1 500 collectivités territoriales (source : dossier législatif AN, commission spéciale, compte rendu n° 1, octobre 2026). Ce calendrier invite à une lecture précise de ce que ce texte impose en matière de gouvernance des prestataires numériques.
Ce que l'attaque révèle structurellement
Atexo édite des logiciels destinés aux collectivités publiques : marchés publics, ressources humaines, gestion des aides. Docaposte, filiale de La Poste, gère la transformation numérique de nombreux organismes publics. Ces deux prestataires disposaient d'accès directs aux bases de données de la région, sans barrière de sécurité équivalente à celle de l'infrastructure centrale.
Ce schéma n'est pas propre à la Hauts-de-France. La majorité des collectivités territoriales françaises gèrent simultanément plusieurs dizaines de prestataires informatiques spécialisés : un éditeur pour la paie, un autre pour le suivi scolaire, un troisième pour la gestion foncière. Chacun dispose d'un accès direct à un segment de données. Aucun n'est soumis aux mêmes exigences de sécurité que l'entité cliente.
La surface d'attaque réelle d'une collectivité n'est pas l'infrastructure qu'elle administre directement. C'est l'ensemble des accès consentis à ses prestataires.
Ce que la Loi Résilience imposera concrètement
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose notamment la directive NIS2. Il est examiné en séance publique à l'Assemblée nationale à partir du 7 octobre 2026. Environ 1 500 collectivités territoriales seront concernées, parmi lesquelles les 300 communes de plus de 30 000 habitants et leurs groupements.
Pour ces entités, la loi introduira des obligations directement applicables à la relation avec les prestataires informatiques. L'article correspondant à l'Article 21 de la directive NIS2 impose que la politique de sécurité des systèmes d'information inclue la sécurité de la chaîne d'approvisionnement numérique. Cela signifie, dans les faits, trois obligations distinctes.
Premièrement, les collectivités devront cartographier les prestataires qui disposent d'un accès à leurs systèmes d'information. Cette cartographie doit identifier la nature de l'accès, les données auxquelles ce prestataire peut accéder et le niveau de sécurité qu'il applique.
Deuxièmement, elles devront intégrer des clauses de sécurité dans les marchés publics informatiques. Les nouvelles procédures de passation de marchés devront évaluer la maturité cyber des candidats. Les marchés en cours devront être renégociés ou complétés par voie d'avenant.
Troisièmement, lorsqu'un incident implique un prestataire, la collectivité reste responsable de la notification à l'ANSSI. Le fait que l'accès initial ait été réalisé via un tiers ne déplace pas la responsabilité. La notification doit partir dans les 24 heures suivant la prise de connaissance de l'incident, quelle que soit la source.
La séquence Hauts-de-France : deux questions pratiques
La région a appris l'incident par ses propres équipes de surveillance, non par un signalement d'Atexo ou de Docaposte. Les prestataires, une fois alertés, ont fermé les plateformes concernées. Les utilisateurs ont commencé à être informés par courrier électronique.
Cette séquence pose deux questions pratiques. La première : quel délai s'est écoulé entre la compromission et la détection ? Si ce délai dépasse 24 heures, la collectivité se trouve potentiellement en dehors du délai de notification imposé par NIS2, à compter du moment où elle aurait dû prendre connaissance de l'incident. La seconde : les contrats avec Atexo et Docaposte incluaient-ils une obligation de notification immédiate en cas de suspicion de compromission ? Sans cette clause, la collectivité dépend de la diligence de ses prestataires pour déclencher sa propre procédure réglementaire.
Ce type de vulnérabilité contractuelle n'est pas une exception. Dans le secteur privé, les attaques de chaîne logicielle sur des éditeurs de sécurité montrent le même vecteur : un prestataire avec accès privilégié, sans obligation contractuelle de signalement immédiat, et une organisation cliente qui détecte l'incident indépendamment. Pour les collectivités, la charge est d'autant plus lourde qu'elles traitent des données personnelles de résidents soumises simultanément à l'Article 33 du RGPD.
Trois mesures avant l'adoption de la loi
Établir l'inventaire des accès prestataires à vos systèmes. Chaque prestataire informatique disposant d'un accès direct à vos bases de données, vos systèmes de fichiers ou vos interfaces d'administration doit figurer dans un registre. Pour chaque entrée : nature de l'accès, données exposées, mécanisme d'authentification utilisé, date du dernier audit de sécurité du prestataire. Cet inventaire est le point de départ de toute politique de chaîne d'approvisionnement conforme aux obligations à venir.
Insérer une clause de notification immédiate dans vos marchés en cours. Cette clause oblige le prestataire à vous notifier dans un délai défini, vingt-quatre heures au maximum, toute suspicion d'accès non autorisé à vos données ou à vos systèmes. Elle doit également lui imposer de coopérer à votre procédure de notification à l'ANSSI. La passation d'un avenant est possible sur les marchés en cours. Pour les nouvelles consultations, la clause doit figurer dans le cahier des charges.
Tester votre procédure de notification avec un scénario prestataire. La plupart des exercices de simulation d'incident partent du principe que la détection se fait en interne. Le scénario du prestataire compromis, dont la collectivité apprend l'incident par ses propres détections, doit figurer dans votre programme d'exercices. Ce test vérifiera si votre équipe sait qualifier un incident dont elle n'est pas l'origine directe et comment démarrer l'horloge de notification.
Ce que le calendrier législatif impose
La Loi Résilience est en séance publique le 7 octobre. Son adoption probable avant la fin du mois d'octobre 2026 donnera le départ d'une période de mise en conformité dont la durée précise sera fixée par le texte final. Le délai entre l'entrée en vigueur et les premières obligations effectives sera court pour les collectivités qui n'ont pas commencé.
La cartographie des prestataires et la révision contractuelle ne sont pas des travaux qui se font en quelques semaines. Les marchés publics ont leurs propres délais procéduraux. Une collectivité qui commence cet inventaire aujourd'hui sera dans une position très différente d'une collectivité qui attend l'adoption définitive du texte.
L'incident Hauts-de-France ne sera pas le dernier du genre. Il illustre une surface d'attaque que la réglementation en cours d'adoption va rendre explicitement opposable.