Depuis 2019, les collectivités territoriales sont devenues les cibles de multiples cyberattaques, en particulier d'attaques par rançongiciel et d'attaques par déni de service distribué (DDoS). Menées à des fins lucratives ou politiques, ces attaques peuvent entraîner le vol de milliers de données personnelles et paralyser les activités administratives durant plusieurs jours, provoquant potentiellement des atteintes à la vie privée des administrés, la perturbation d'élections locales ou la tenue de l'état civil, au risque d'altérer la confiance des citoyens dans l'administration. Ces attaques soulèvent alors de nombreux questionnements juridiques. En particulier, les collectivités territoriales sont-t-elles actuellement tenues de sécuriser les services publics et les données qu'elles exploitent contre ces cyberattaques, ou du moins de minimiser leurs conséquences ? En ce sens, détiennent-t-elles aujourd’hui des obligations de cybersécurité ? Alors que ces entités locales poursuivent leur transformation numérique à travers la dématérialisation de leurs services publics et l'installation de capteurs connectés, devenant toujours plus vulnérables aux cyberattaques, cette thèse propose de circonscrire et d'analyser le cadre juridique relatif aux obligations de cybersécurité des collectivités territoriales. Elle démontre l'existence d'un cadre juridique morcelé et évolutif, qui s'articule autour du référentiel général de sécurité (RGS), du règlement général sur la protection des données à caractère personnel (RGPD) et désormais, pour plusieurs centaines d'entre elles, de la directive network and information security 2" (dite "NIS 2") qui est en cours de transposition en France en 2025. Dès lors, cette thèse interroge la pertinence et les limites de ce cadre juridique de cybersécurité. Celui-ci comporte en effet plusieurs zones d'ombre, qui concernent par exemple l'obligation de détection des incidents de sécurité ; la contractualisation avec des fournisseurs de services soumis à des règlementations extraterritoriales tels que le Cloud Act ou la loi Fisa ; ou encore l'obligation de rétablir la disponibilité des systèmes d'information. Par ailleurs, la transposition de la Directive NIS 2 continue de soulever de vifs questionnements sur la pertinence de renforcer les obligations de cybersécurité des collectivités territoriales, compte tenu de leurs difficultés budgétaires et de recrutement d'experts en cybersécurité. Ainsi, comme cette thèse propose de le démontrer, le droit de la cybersécurité des collectivités territoriales repose sur un équilibre délicat qui vise à tenir compte à la fois des difficultés rencontrées par ces administrations locales, et des risques de cyberattaques auxquelles celles-ci sont exposées.