Numérique : "La mutualisation aide à respecter les obligations des communes"

Localtis - Pour la cybersécurité, l'inclusion numérique, le verdissement du numérique… la mutualisation est évoquée comme la solution, notamment par l'Etat. Pourtant l'association que vous représentez parle d'un manque de reconnaissance, comment l'expliquez-vous ?

Emmanuel Vivé - Aujourd'hui, en matière de mutualisation, on peut voir le verre à moitié vide ou le verre à moitié plein. Les services de l'État, les autorités indépendantes et autres agences savent nous trouver dès que la mutualisation s'impose. Par exemple, quand il y a eu un problème de délivrance des passeports et des cartes nationales d'identité avant l'été, on est venu nous voir. Par contre, pour les projets de loi ou de décret numériques, on est très rarement auditionnés et on découvre le sujet une fois le texte finalisé. Pourtant, nous connaissons la réalité des communes de moins de 5.000 habitants que nous accompagnons au quotidien sur le numérique. Le résultat est qu'on se retrouve par exemple avec un texte qui va dire que l'open data est obligatoire pour les communes de plus de 3.500 habitants, obligation qu'à peine une commune sur 10 respecte aujourd'hui. On aurait peut-être dû travailler davantage sur l'interopérabilité des systèmes d'information avec les éditeurs. La mutualisation aide au respect des obligations. Là où il y a une structure de mutualisation, les taux de transformation sont plus importants. On l'a vu il y a quelques années sur la dématérialisation des actes soumis au contrôle de légalité : là où existe un Opérateur de service public numérique (OPSN), plus de 99% des communes l'ont mise en œuvre.  On l'a constaté plus récemment sur le RGPD. Seulement 54 % des collectivités ont désigné un DPO [obligatoire depuis 2018 pour toutes les communes quelle que soit leur taille]. Quand vous avez sur un territoire une structure qui porte le sujet, on atteint 70% et la Cnil l'a bien compris. Il faut que notre rôle soit reconnu dès lors que l'on porte une thématique.

Faut-il inscrire les obligations de mutualisation dans la loi ?

Ce qui est certain, c'est que lorsque l'on souhaite aller plus vite, là où il y a un accompagnement, c'est une réussite. Maintenant obliger les collectivités à la mutualisation c'est compliqué. Je pense que l'enjeu est surtout d'inciter à la mutualisation, en s'appuyant notamment sur les préfets. On pourrait envisager une commission départementale sur les usages et la transformation numérique avec l'Association des maires, la structure portant la fibre, l'OPSN, les gendarmes (…) autour de la table pour savoir comment on s'organise en tenant compte de la diversité des territoires. Car la mutualisation peut être réalisée à l'échelle de l'intercommunalité, du département, de la région. Ce qu'il y a de certain c'est que sans l'uniformisation, on n'y arrivera pas.

Comment se positionnent les OPSN sur la directive NIS2, dont la transposition doit intervenir avant la fin octobre 2024 et qui devrait imposer de nouvelles obligations cyber aux collectivités ?

C'est un des gros sujets qui arrivent. Il y a tout d'abord son application aux OPSN eux-mêmes. Ils pourraient être désignés comme opérateur de services essentiels [soumis à des obligations contraignantes], question qui n'est pas tranchée. Moi je dis prenons nos responsabilités : allons-y, on fera ce qu'il faut. Il y aura juste un temps d'adaptation nécessaire et un besoin de financement complémentaire [25 OPSN sur 66 ont bénéficié de l'offre parcours cyber de l'Anssi] pour se mettre en adéquation. Il y a ensuite la question du périmètre d'application de NIS2 aux collectivités. Dans ce qui a l'air de se dessiner, l'Anssi devrait proposer de désigner comme entités essentielles les régions, les départements, les métropoles, les agglos et les communes de plus de 50.000 habitants. L'agence devrait bénéficier de moyens supplémentaires pour être capable de gérer. Pour les autres communes en revanche, l'Anssi ne pourra pas suivre. Ce que nous proposons, c'est qu'à partir du moment où un OPSN aura suivi un parcours Anssi, disposera d'un label Expert cyber [5 structures ont aujourd'hui ce label], la collectivité qui adhère à l'OPSN pourra être considérée comme conforme à la directive sans pour autant devenir une entité régulée. Nous avons rencontré le sénateur Patrick Chaize qui s'est dit intéressé par nos propositions.

Qu'en est-il pour les offres cyber mutualisées portées par les OPSN ?

Une vingtaine d'OPSN ont répondu à l'appel à projets de l'Anssi sur des licences mutualisées, permettant d'aider les petites communes à s'équiper d'outils comme un antivirus, une sauvegarde externalisée ou un dispositif anti-phishing. Des appels d'offres ont été lancés, l'Anssi finançant les licences pendant trois ans. Aujourd'hui à peu près de 10.000 communes peuvent disposer de ces solutions cyber. Au préalable, nous avons fait beaucoup de sensibilisation en organisant des réunions locales avec l'appui de la gendarmerie, de l'Anssi, de cybermalveillance ou de la Cnil. Le cyber c'est essentiel car nous avons une responsabilité sur la donnée. On a aussi mis au point Madis, [un logiciel libre financé dans le cadre du plan de relance porté par l'OPSN Soluris] qui permet à une commune de moins de 500 habitants de réaliser un diagnostic cyber en une matinée et où la mairie repart avec un guide de recommandations, dont la mise en œuvre des solutions cyber.