Dans un monde de plus en plus digitalisé, les cyberattaques se multiplient y compris dans le domaine de la santé qui génère de nombreuses données personnelles, précieuses pour les pirates informatiques. Cybersécurité, cadre réglementaire, actions à mener pour améliorer la cyber résilience de son établissement : tout ce qu’il faut savoir.
Les chiffres du cyber en santé : un secteur sous tension
- En 2025, quatre secteurs d’activité concentraient 76 % des 1366 incidents cyber signalés à l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information : la santé arrive en 3ème position avec 10 % de ces incidents, derrière l’éducation et la recherche (34 %) et les ministères et les collectivités territoriales (24 %)
- Selon une étude menée par l’agence, 15 % des établissements de santé ont déjà dû faire face à un incident cyber ayant entraîné des perturbations, sans distinction entre les établissements publics, privés, à but lucratif ou non.
- Parmi ces 15 % d’établissements touchés, seuls 15 % déclarent avoir été suffisamment préparés pour faire face à ce type de risque. Du côté des établissements n’ayant jamais subi d’attaques, 13 % seulement estiment être “bien préparés” à un risque.
- Plus globalement, les établissements de santé privés ou à but lucratif ont tendance à se sentir mieux préparés que les établissements publics ou à but non lucratif.
A lire aussi : Cyberattaque à l’hôpital en 2025 : un constat alarmant pour les établissements de santé
Pourquoi les données de santé sont-elles une cible privilégiée des cyberattaques ?
Les attaquants exploitent un contexte favorable pour mener leurs attaques cyber :
- L’environnement administratif offre un cadre légal favorable à la collecte de données ou de vulnérabilités,
- Les établissements de santé pâtissent de mauvaises pratiques de sécurité et de faiblesses techniques structurelles, qui simplifient l’accès aux données récoltées.
En parallèle, les attaquants ont de plus en plus souvent recours à des composants et des services dits “légitimes”, qui dissimulent leurs actions parmi des flux qui ne sont pas considérés comme malveillants. Il s’agit notamment d’outils d’accès à distance (RMM), d’outils de stockage en ligne ou de clouds, ou encore de services web d’aide au développement et à l’intégration. Faciles d’accès et d’utilisation, ils sont utilisés pour collecter et exfiltrer des données, télécharger des codes malveillants ou maintenir une persistance sur un système d’information afin de mener plus tard des attaques par rançongiciel.
Plus récent mais tout aussi redoutable, le recours à l’intelligence artificielle permet aux hackers de perfectionner le niveau, la quantité, la diversité et l’efficacité de leurs attaques.
Bon à savoir
Les cyberattaques peuvent paralyser des systèmes d’information hospitaliers entiers (SIH) en quelques minutes, et ont un coût non négligeable : 7,1 millions d’euros* en moyenne, pour une cyberattaque sur un établissement de santé.
A lire aussi : Le risque cyber en santé
Le cadre réglementaire
En France, les professionnels de santé, les établissements et les réseaux de santé sont tenus d’assurer le respect de la vie privée et des données des patients.
Les lois et réglementations en vigueur
Le RGPD (Règlement général sur la protection des données) est en vigueur depuis le 25 mai 2018 afin de renforcer les droits des personnes, et de responsabiliser les acteurs, notamment dans le domaine de la santé.
La loi Informatique et Liberté et la loi sur la protection des données personnelles viennent compléter le cadre réglementaire qui sécurise les données personnelles, c’est à dire “toute information se rapportant à une personne physique, identifiée ou identifiable”.
En marge de ce cadre, les praticiens ont l’obligation de protéger les données de leurs patients via des mesures de sécurité adaptées, telles que :
- L’utilisation de la carte professionnelle de santé,
- L’accès au logiciel de suivi grâce à une authentification sécurisée,
- L’utilisation d’un système de chiffrement en cas de stockage sur un cloud.
Si les données sont stockées auprès d’un hébergeur de données de santé agréé, celui-ci doit assurer un niveau de sécurité conforme au risque, validé par contrat.
A lire aussi : Hébergement des données de santé : obligations, certification et bonnes pratiques
Les bonnes pratiques à respecter
En complément de ce cadre réglementaire, la sécurité des données des patients peut être renforcée en respectant certaines règles, notamment :
- Limiter les informations collectées au strict nécessaire,
- Utiliser les dossiers patients uniquement à des fins de suivi médical,
- Supprimer les dossiers patients au-delà de la durée de conservation préconisée (20 ans à compter de la dernière consultation),
- Informer les patients et s’assurer du respect de leurs droits,
- Utiliser un service de messagerie sécurisée de santé pour échanger avec d’autres professionnels de santé ou des patients,
- Chiffrer les pièces jointes envoyées par messageries standards,
- Sécuriser l’accès aux téléphones ou tablettes utilisées pour échanger avec les patients,
A lire aussi : Données de santé : le guide de conformité pour établissements et libéraux
Bon à savoir
Le Conseil National de l’Ordre des médecins propose un guide pratique sur la protection des données personnelles afin d’orienter les praticiens dans le respect de leurs obligations pour assurer la sécurité des patients. La CNIL a aussi édité un guide qui rappelle les précautions à mettre en œuvre systématiquement.
Comment assurer la cybersécurité de ces données sensibles ?
Renforcer la sécurité informatique des établissements de santé est un enjeu crucial pour mieux se préparer face aux situations de crise. Reposant à la fois sur une approche collective et sur la responsabilité de chacun, la cybersécurité des données de santé s’appuie sur 4 axes majeurs :
La formation du personnel
La formation des équipes est indispensable pour impliquer toutes les parties prenantes dans la sécurité de l’établissement. Les sessions doivent être proposées de façon régulière pour mettre à jour les connaissances de chacun·e en continu, selon les évolutions en matière de technologie et de risques. Ces formations doivent balayer toutes les thématiques, de la prévention à la réaction en cas d’acte malveillant.
Contextualiser les mesures de sécurité
Pour favoriser l’appropriation des bonnes pratiques, il est conseillé d’organiser régulièrement des exercices concrets, en lien avec le contexte de travail des équipes. Il peut s’agir de simulations d’attaque ou de simulations de pannes pour réaliser des exercices de gestion de crise.
Rationnaliser les outils
La cybersécurité d’un système informatique passe en partie par la maîtrise des plateformes et des outils utilisés : les multiples applications et logiciels sont autant de portes d’entrée pour les attaquants. Un audit technique doit être réalisé pour évaluer les outils en place, leur pertinence, leur degré de sécurité et leurs failles éventuelles, afin de les corriger.
Rationnaliser les outils
Pour limiter au maximum les attaques extérieures, le modèle zéro trust consiste à sécuriser le réseau afin qu’aucune personne ni aucun terminal à l’intérieur ou à l’extérieur du réseau ne puisse accéder au système informatique de l’établissement.
Pensé par nos experts cyber en établissement de soins, le cyber checkup vous permet d’obtenir gratuitement une évaluation complète incluant l’état des lieux de vos pratiques, un comparatif avec des établissements similaires, des recommandations ciblées pour orienter votre stratégie de sécurité et votre niveau d’assurabilité.
> À lire aussi : Évaluation du risque cyber dans les établissements de santé : comment procéder ?
Passer de la cybersécurité à la cyber résilience
La menace cyber fait désormais partie du quotidien des établissements de santé. S’il est difficile de prédire la survenue des incidents critiques, il est possible de se préparer au mieux pour y faire face : c’est ce que l’on appelle la cyber résilience.
Concrètement, il s’agit pour les établissements de s’équiper, se structurer et se former afin de réagir au mieux en cas d’incident, et d’assurer la continuité des soins en réduisant au maximum l’impact pour la sécurité des patients et celle du personnel soignant.
Violation de données de santé : comment réagir ?
En cas d’attaque ou de fuite de données, il est nécessaire d’agir vite :
1 – Signaler les incidents graves de sécurité du système d’informations, via le portail de signalement des évènements sanitaires indésirables. Ce signalement doit permettre de mettre en avant les mesures à appliquer pour protéger le système et assurer la continuité de la prise en charge sanitaire, tout en permettant aux autres établissements de se protéger face à une attaque similaire
2 – Documenter en interne les violations de données personnelles subies et notifier les violations représentant un risque pour les droits et les libertés des personnes à la CNIL et aux personnes concernées, en cas de risque élevé.
3 – Déposer plainte dans les 72 heures auprès de la police ou de la gendarmerie si l’incident est d’origine malveillante.
Les recommandations de l’ANSSI
La prévention est la meilleure solution face aux risques de cyberattaques. L’ANSSI préconise plusieurs bonnes pratiques afin d’anticiper au mieux les menaces :
- Systématiser l’authentification multifacteurs (MFA) pour tout accès distant : l’ANSSI constate que trop de comptes VPN (employés ou prestataires) sont encore dépourvus de mécanismes d’authentification forte.
- Proscrire l’exposition des interfaces d’administration sur Internet.
- Cartographier les usages : l’ANSSI recommande de faire une cartographie précise des logiciels de prise en main à distance autorisés sur le réseau.
- Auditer globalement : réaliser des audits de sécurité « larges » pour obtenir une vision globale des failles, plutôt que des audits trop restreints qui donnent un faux sentiment de sécurité.
- L’élaboration en amont de Plans de Continuité d’Activité (PCA) et de Plans de Reprise d’Activité (PRA) est indispensable pour maintenir les soins pendant la crise.
- Renouveler tous les mots de passe, clés de chiffrement associés aux équipements touchés.
- Si un établissement est contraint d’installer un logiciel tiers douteux (par exemple imposé par une législation étrangère), l’ANSSI recommande de l’installer sur un poste totalement isolé du reste du système d’information de l’entité et de surveiller scrupuleusement ses échanges de données.
Bon à savoir
L’ANSSI a publié un guide opérationnel qui énonce les recommandations à mettre en place pour anticiper les attaques et mettre en place une stratégie de communication efficace en cas de cyberattaques.
A lire aussi : PCRA : préserver les soins et la sécurité des patients
Mise en œuvre de NIS2, programme CaRE et nouveaux outils en 2026
La directive NIS2 et le programme CaRE visent le même objectif : renforcer la cybersécurité des établissements de santé.
Adoptée par l’Union européenne, la directive NIS2 est un cadre réglementaire qui impose aux établissements de santé de mieux protéger leurs systèmes d’information, notamment via la mise en place d’une gouvernance de la cybersécurité impliquant :
- Une analyse des risques
- Des mesures de protection adaptées
- Une gestion des incidents
- Des plans de continuité d’activité
- La formation des équipes.
La directive induit également l’implication des dirigeants dans la protection des systèmes d’informations, et l’obligation de signaler tout incident majeur aux autorités.
Le programme CaRE (Cybersécurité accélération et résilience des établissements) est un dispositif français qui accompagne les structures sanitaires et médico-sociales dans leurs démarches. Piloté par les pouvoirs publics, il propose des financements, des outils et une méthodologie adaptée pour améliorer durablement la sécurité des structures. Il s’articule autour de quatre axes :
- Renforcer la gouvernance,
- Développer les compétences des équipes,
- Mutualiser les ressources,
- Mettre en œuvre des mesures de sécurité opérationnelles
À lire aussi : Directive NIS2 : ce que doivent savoir les établissements sanitaires et médico-sociaux en France
