Menace dominante
Comptes piratés par la messagerie, rançongiciel
Textes
HDS, signalement des incidents, NIS2 à venir
Le contexte
Des soins qui ne peuvent pas s'arrêter
Un établissement de santé cumule des systèmes hétérogènes, souvent anciens, des équipements biomédicaux connectés, les accès de nombreux prestataires de maintenance et des personnels très mobiles. Quand le système d'information s'arrête, ce sont les admissions, les prescriptions et l'imagerie qui passent en mode dégradé, parfois pendant des semaines.
764
incidents déclarés au CERT Santé en 2025[1]
50 %
des compromissions analysées passent par la messagerie[1]
8 %
des victimes de rançongiciel recensées par l'ANSSI en 2025, une part en hausse[2]
Les menaces
Ce qui vise votre secteur
- 01
La compromission de comptes, première menace de 2025
Sur les 764 incidents déclarés au CERT Santé en 2025, la compromission du système d'information est qualifiée de menace la plus importante. La messagerie est le premier vecteur identifié (la moitié des cas analysés), devant les comptes applicatifs et de maintenance, l'Active Directory et les accès VPN.[1]
- 02
Le rançongiciel, moins fréquent mais toujours paralysant
Les rançongiciels déclarés au CERT Santé ont reculé de 30 % entre 2024 et 2025. Mais l'ANSSI relève que plusieurs centres hospitaliers ont subi des perturbations de l'accueil et de la prise en charge des patients, que des EHPAD et des cliniques sont aussi touchés, et que la part de la santé parmi les victimes augmente.[1, 2]
- 03
Les fuites de données de santé
Dossiers patients, résultats d'examens, données de facturation : ces informations se revendent et alimentent des escroqueries ciblées. Le CERT Santé compte les fuites de données parmi les risques les plus préoccupants du secteur. Une violation se notifie à la CNIL sous 72 heures.[1]
- 04
Les accès des prestataires et des équipements biomédicaux
Télémaintenance d'un scanner, accès de l'éditeur du dossier patient, compte de maintenance jamais désactivé : ces accès légitimes sont souvent mal cloisonnés. Les comptes applicatifs et de maintenance sont le deuxième vecteur de compromission relevé par le CERT Santé en 2025.[1]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- En vigueur
Signaler les incidents graves
Les établissements de santé, les structures de prévention, de diagnostic ou de soins et les établissements médico-sociaux signalent sans délai leurs incidents significatifs ou graves de sécurité des systèmes d'information (article L. 1111-8-2 du code de la santé publique). Le CERT Santé de l'Agence du numérique en santé les analyse et vous accompagne.
- En vigueur
Confier vos données à un hébergeur certifié HDS
Toute externalisation de données de santé à caractère personnel se fait chez un hébergeur certifié HDS. Le référentiel version 2 (Journal officiel du 16 mai 2024) impose le stockage dans l'Espace économique européen ; les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer. Vérifiez la portée exacte du certificat de chaque prestataire.
- En vigueur
Protéger des données sensibles (RGPD)
Les données de santé sont des données sensibles : analyse d'impact (AIPD) pour les traitements à risque, registre, sécurité adaptée au risque (article 32) et notification des violations à la CNIL sous 72 heures.
- Loi en discussion
Se préparer à NIS2
La directive vise notamment les prestataires de soins, les laboratoires de référence et certains fabricants de produits pharmaceutiques et de dispositifs médicaux, à partir de 50 salariés ou de 10 M€ de chiffre d'affaires et de bilan. En France, la loi de transposition n'est pas encore votée : le périmètre exact et le calendrier viendront avec elle et ses décrets.
Pour décider
Le programme CaRE : où en est-on ?
Le programme CaRE (Cybersécurité accélération et résilience des établissements) finance la mise à niveau des établissements sanitaires, avec un objectif de 750 M€ d'investissement d'ici 2027. Point au 6 octobre 2026, d'après l'ARS Normandie (page mise à jour en août 2026) :
- Domaine 1, annuaires techniques et exposition sur Internet : appel clos, mené en 2024.
- Domaine 2, continuité et reprise d'activité (sauvegardes non contaminables) : candidatures closes le 31 octobre 2025 ; les établissements retenus déclarent l'atteinte de leurs objectifs jusqu'au 18 novembre 2026.
- Domaines 3, accès distants, et 4, supervision des postes de travail : ouverture annoncée courant 2026. Surveillez les annonces de votre ARS.
- Le financement dépend de prérequis et d'objectifs mesurés : nous rédigeons nos livrables (constats datés, indicateurs, plan d'action) pour qu'ils servent de pièces justificatives.
- Le médico-social a ses propres appels à projets dans plusieurs régions : renseignez-vous auprès de votre ARS.
- Un hôpital public achète selon la commande publique : depuis le 1er avril 2026, un marché de services de moins de 60 000 € HT peut être conclu sans publicité ni mise en concurrence préalables.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions des établissements de santé
Notre établissement sera-t-il concerné par NIS2 ?
Probablement, si vous êtes un prestataire de soins d'au moins 50 salariés, ou dont le chiffre d'affaires et le total de bilan dépassent 10 M€. Mais la loi française n'est pas encore votée : le périmètre définitif dépendra du texte adopté et de ses décrets. Notre simulateur NIS2 donne une première indication, que nous confirmons avec vous.
Faut-il être certifié HDS pour héberger nos propres données ?
Non. La certification vise l'hébergement de données de santé pour le compte d'un tiers. Si vous hébergez vos données dans vos propres locaux, elle ne s'applique pas ; si vous les confiez à un prestataire (cloud, infogérance, éditeur en mode SaaS), ce prestataire doit être certifié pour les activités concernées.
Pouvez-vous nous aider sur un dossier CaRE ?
Nous réalisons les audits et les plans d'action attendus par les domaines du programme, avec des livrables utilisables comme pièces justificatives. L'éligibilité, les prérequis et les calendriers sont fixés par le ministère et votre ARS : nous les vérifions avec vous avant de chiffrer.
Comment intervenez-vous sans perturber les soins ?
Les tests sont planifiés avec la DSI et le service biomédical, hors des créneaux sensibles, et aucun équipement médical n'est testé en production sans accord écrit. La convention d'audit fixe le périmètre, les horaires et la procédure d'arrêt immédiat.
Sources (6)Afficher
- [1]CERT Santé (ANS), observatoire des incidents de sécurité des SI pour les secteurs santé et médico-social, données 2025 (mai 2026)
- [2]ANSSI, Panorama de la cybermenace 2025 (mars 2026)
- [3]ARS Normandie, programme CaRE (2024-2028) (mise à jour août 2026)
- [4]Arrêté du 26 avril 2024 (référentiel HDS version 2), Légifrance (2024)
- [5]Article L. 1111-8-2 du code de la santé publique, Légifrance (2016)
- [6]Directive (UE) 2022/2555 (NIS2), EUR-Lex (2022)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).