Repères · OpenSource Solutions
Ce que la CNIL sanctionne : l'hygiène de base
Pas besoin d'une cyberattaque spectaculaire pour être sanctionné. En novembre 2026, dix collectivités l'ont été pour des oublis que l'on retrouve dans beaucoup d'entreprises.
Mis à jour le Mercredi novembre 11, 2026 23:18:46 CET · sources datées en bas de page
Sanctions CNIL et cybersécurité : vrai ou faux
Faux
« La CNIL ne vise que les grandes organisations »
Le 9 novembre 2026, la CNIL a publié dix sanctions contre des collectivités territoriales et un organisme public, pour des manquements de sécurité de base.Vrai, mais
« Les amendes sont faibles »
De 3 000 à 20 000 €, le plafond de la procédure simplifiée. Le vrai coût est ailleurs : une intrusion par un accès oublié, et ses suites.Faux
« Mon prestataire peut garder un accès permanent »
C'est l'un des manquements sanctionnés : des éditeurs reliés en permanence au réseau, sans autorisation au cas par cas, ou par des comptes partagés.
Ce qui a été sanctionné
| Manquement | Ce qu'il faut à la place |
|---|---|
| Pas d'authentification multifacteur (MFA) pour les administrateurs | MFA sur tous les accès d'administration, à distance en priorité |
| Accès prestataires permanents ou comptes partagés | Accès ouverts à la demande, nominatifs, limités dans le temps |
| Journaux incomplets ou jamais consultés | Journaux complets, surveillés, avec des alertes sur l'anormal |
| Réseau peu cloisonné | Segmentation : un poste compromis n'ouvre pas tout le réseau |
| Systèmes d'exploitation plus supportés | Versions maintenues, mises à jour suivies |
| Mots de passe faibles ou envoyés en clair | Coffre-fort de mots de passe, partage sans email ni messagerie |
| Analyses d'impact manquantes | Une AIPD pour les traitements sensibles (enfants, données bancaires, vidéo) |
Ce que cette fiche ne règle pas
- Une liste ne remplace pas un audit. Elle dit ce qui a été sanctionné, pas ce qui manque chez vous.
- Ce ne sont pas que les collectivités. L'obligation de sécurité du RGPD s'applique à toute organisation qui traite des données personnelles.
Ce que nous faisons
Des journaux exploités
Supervision permanente de vos serveurs et alertes traitées. Voir la supervision.Des accès maîtrisés
Administration réservée aux adresses autorisées, mots de passe dans un coffre-fort d'entreprise. Voir le VPN WireGuard et la gestion des mots de passe.Des systèmes à jour
Mises à jour suivies, durcissement, rapport mensuel. Voir la maintenance et la cybersécurité.Sources
- CNIL, Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions, 9 novembre 2026.
- Leto, Cybersécurité des collectivités : la CNIL prononce dix sanctions.
Où en êtes-vous ?
Trente minutes pour passer cette liste en revue avec vous, point par point.