Cybersécurité du secteur santé : quelles actions prioriser en 2027 ?

Les priorités en cours en 2026 et la préparation de 2027

En novembre 2026, la protection des données des patients repose déjà sur des obligations de sécurité adaptées aux risques, notamment celles du RGPD. La certification HDS et les référentiels sectoriels doivent être examinés selon les activités et les prestations concernées. Ces exigences ne commencent pas en 2027. La CNIL propose par ailleurs une mise à jour 2026 de son guide de sécurité des données personnelles, utile pour revoir les mesures en place. (Guide de sécurité de la CNIL)

Pour préparer 2027, transformez les écarts constatés en décisions budgétées : accès à sécuriser, logiciels à maintenir ou à remplacer, restaurations à tester et exercices de continuité à organiser. Fixez des responsables, des moyens et des critères de réussite. Il s’agit d’une recommandation de planification, pas d’un calendrier réglementaire uniforme. La transposition de NIS2 et l’ouverture des financements CaRE nécessitent une veille distincte, car leurs modalités peuvent évoluer. Les sections réglementaires et financières précisent les points déjà établis et ceux qui restent à confirmer.

Les actions de cybersécurité à prioriser dans votre structure de santé

Priorisez les actions qui réduisent simultanément le risque d’intrusion, l’exposition des données des patients et la durée d’une interruption. En pratique, cela conduit à vérifier les comptes sensibles, fermer les accès distants inutiles, traiter les logiciels exposés et tester une restauration avant d’investir dans des outils supplémentaires. Cette démarche traduit les recommandations de sécurité en décisions observables, adaptées aux risques de votre activité. (cnil.fr)

Partir du travail à maintenir

Réunissez direction, informatique, qualité et représentants des métiers autour d’une situation simple : votre application principale devient inaccessible à l’ouverture. Identifiez les actes impossibles, les informations indispensables et les alternatives acceptables. Cette discussion doit déboucher sur un ordre de reprise validé par les professionnels concernés, plutôt que sur une liste de serveurs considérés isolément.

Pour votre cartographie du système d’information, retenez d’abord les logiciels, les données traitées, les personnes habilitées, les prestataires et les dépendances. Ajoutez les connexions entre sites, les équipements médicaux concernés et les services externes indispensables. L’analyse des risques doit tenir compte des conséquences pour les personnes, pas uniquement de la valeur du matériel. (cnil.fr)

Un tableau d’actions pour décider et vérifier

Le tableau suivant relie chaque action à une situation qui la rend prioritaire. L’ordre dépend des risques constatés et des conséquences pour les patients et l’activité. Il ne constitue ni un calendrier réglementaire ni une garantie de conformité.

Pour chaque ligne, demandez ce qui serait concrètement différent après réalisation. « Sauvegardes vérifiées » reste imprécis. « L’application a été reconstruite dans un environnement de test et le métier a validé les dossiers restaurés » permet un arbitrage beaucoup plus utile.

Des besoins différents entre clinique, laboratoire et pharmacie

La sécurité informatique en santé doit être proportionnée aux traitements et à leurs risques. Les objectifs de confidentialité, d’intégrité et de disponibilité sont communs, mais leur traduction opérationnelle dépend des activités, des moyens et des dépendances. Une procédure hospitalière ne doit donc pas être copiée telle quelle dans une officine. (cnil.fr)

Voici des points de départ pour vos ateliers, à confirmer selon votre organisation :

• Clinique : examinez le dossier patient, les prescriptions, les admissions, les échanges avec les praticiens et les équipements utilisés pendant les soins. Faites participer les responsables médicaux aux décisions de coupure ou de reprise.
• Centre de santé : concentrez d’abord l’analyse sur les agendas, les dossiers, les remplaçants, les postes partagés et les services accessibles en ligne. Clarifiez les responsabilités entre sites et professionnels.
• Laboratoire de biologie : reliez la cybersécurité du laboratoire au parcours du prélèvement, à l’identification, aux automates et à la transmission des résultats. Prévoyez la vérification des données avant remise en service.
• Groupement de pharmacies : distinguez les outils mutualisés des équipements et contrats propres à chaque officine. La cybersécurité en pharmacie doit intégrer la dispensation, les commandes et les accès des équipes sans supposer une organisation hospitalière.

Ces propositions servent à préparer la cartographie, pas à présumer des équipements présents. Pour la cybersécurité d’une clinique comme pour celle d’un centre multisite, l’enjeu est de nommer les dépendances réelles. Une petite structure peut avoir peu de logiciels, mais rester très dépendante d’un seul prestataire.

Chez Kwantic, nous intégrons la cybersécurité à la conception, à l’intégration et à la maintenance des applications utilisées par les acteurs de la santé. Nous intervenons sur les mécanismes d’authentification, les droits d’accès, la traçabilité des opérations et la sécurisation des échanges entre logiciels. Concrètement, cela permet de limiter l’accès aux données des patients aux personnes habilitées, de rendre les actions sensibles contrôlables et de traiter les vulnérabilités applicatives. Nous travaillons avec vos responsables métiers, informatiques et vos partenaires d’hébergement pour mettre en œuvre ces protections dans votre environnement existant et organiser leur maintien dans la durée

Comprendre les incidents pour mieux choisir les protections

Un rançongiciel, ou ransomware, peut rendre les données et les logiciels inutilisables en les chiffrant. Les sauvegardes peuvent également être visées, ce qui complique la reprise. Protégez donc les moyens de restauration, en complément des systèmes utilisés au quotidien. Le guide de l’ANSSI consacré aux sauvegardes rappelle leur rôle dans la réponse aux incidents de sécurité. (messervices.cyber.gouv.fr)

Une fuite de données de santé peut également survenir sans arrêt visible de l’activité. Un compte utilisable au-delà des besoins de son titulaire, une exportation excessive ou une interface mal protégée méritent autant d’attention qu’un poste bloqué. La Commission nationale de l’informatique et des libertés, ou CNIL, insiste notamment sur les habilitations et la surveillance des consultations du dossier patient. (cnil.fr)

Pour votre analyse, distinguez trois conséquences : l’indisponibilité, la divulgation et l’altération. La protection des données de santé ne consiste pas uniquement à empêcher leur vol. Il faut également pouvoir détecter une modification non autorisée et rétablir des informations fiables, dans un délai compatible avec les besoins du service. (cnil.fr)

Reprendre la maîtrise des comptes et des dossiers patients

Des droits liés à une mission précise

La gestion des accès aux données de santé commence par une question concrète : qui a besoin de voir quoi pour travailler ? Définissez des profils par mission, faites valider les demandes et retirez les droits devenus inutiles lors des départs ou changements de fonction. La CNIL recommande une revue régulière, au moins annuelle, associant les métiers. (cnil.fr)

Évitez de réduire la gestion des habilitations en santé à la création d’un identifiant. Le périmètre doit couvrir consultation, modification, exportation, administration et éventuels accès entre sites. Pour la protection du dossier patient, demandez au responsable métier de valider les droits réels dans l’application, pas seulement le nom du profil attribué.

Les comptes partagés appellent une attention particulière. Lorsqu’une exception technique subsiste, documentez sa justification, son responsable et les mesures permettant de retrouver l’auteur des actions. La CNIL déconseille leur utilisation sans traçabilité des exceptions, validation appropriée et réexamen régulier. (cnil.fr)

Une authentification compatible avec le terrain

L’authentification multifacteur en santé combine des facteurs de catégories différentes, par exemple un mot de passe et un dispositif détenu par l’utilisateur. Deux mots de passe ne constituent pas deux facteurs distincts. Commencez votre analyse par la messagerie, l’administration, les accès distants et les applications sensibles. (cnil.fr)

L’authentification forte en santé doit aussi fonctionner pendant un remplacement, une perte de dispositif ou une panne. Demandez comment récupérer un accès sans réintroduire un compte collectif permanent. Faites tester le parcours sur les postes et dans les conditions de travail réellement utilisés avant sa généralisation.

Scénario type fictif : dans un centre de santé, un remplaçant utilise les identifiants du praticien absent. La décision à prendre n’est pas seulement de changer un mot de passe. Il faut prévoir un compte nominatif, des droits limités à sa mission et une procédure de fermeture à son départ.

Une traçabilité qui sert à détecter

La sécurité du dossier patient informatisé suppose de savoir qui a accédé à quel dossier, et pas uniquement qui s’est connecté au logiciel. La CNIL demande une journalisation permettant ce contrôle et recommande l’analyse des accès inhabituels. Les accès d’urgence élargis, parfois appelés « bris de glace », nécessitent une surveillance particulière. (cnil.fr)

Pour rendre la traçabilité des accès au dossier exploitable, désignez une personne chargée de recevoir les alertes et de qualifier les anomalies. Définissez aussi les conditions d’accès aux journaux et leur protection. Conserver des traces sans jamais les examiner ne suffit pas à organiser la détection. (cnil.fr)

Sécuriser les logiciels santé et leur maintenance

Un dossier de sécurité pour chaque application indispensable

La sécurité d’un logiciel médical ne se déduit ni de son ancienneté dans votre structure ni de sa popularité. Pour chaque outil critique, demandez une fiche indiquant sa version, son mode d’hébergement, ses accès techniques, ses interfaces et les responsabilités de maintenance. Les recommandations de la CNIL couvrent notamment la maintenance, les développements et la sécurité des services en ligne. (cnil.fr)

Utilisez cette fiche pour poser des questions précises à l’éditeur :

Qui reçoit et traite une alerte sur une vulnérabilité du logiciel médical ?

Comment une correction est-elle annoncée, installée puis vérifiée ?

Quelle version reste supportée et comment préparer son remplacement ?

Quelles données sont accessibles au support pendant une intervention ?

Comment récupérer les dossiers et leurs pièces jointes en cas de changement de solution ?

Pour la sécurité d’un logiciel de cabinet médical, commencez par les fonctions effectivement utilisées. Un module inutilisé exposé sur Internet ou un compte de support oublié mérite d’être supprimé ou désactivé. Dans une structure plus importante, appliquez la même logique aux composants et services associés.

Notre accompagnement d’Audition Conseil illustre cette dimension d’intégration. Pour ce réseau d’audioprothésistes, nous avons développé un moteur de recherche géolocalisé et une interface de prise de rendez-vous connectée au système d’information du client. Dès qu’un parcours utilisateur dépend de plusieurs logiciels, la revue de sécurité doit couvrir leurs échanges et les responsabilités de chaque intervenant. Cette référence présente notre travail sur le parcours et les connexions entre outils.

Des mises à jour suivies jusqu’à leur réalisation

La mise à jour d’un logiciel médical doit avoir un responsable nommé, une procédure et une vérification finale. Distinguez ce que réalise l’éditeur de ce qui reste à la charge de votre équipe ou de votre prestataire. La CNIL recommande d’encadrer les interventions et d’enregistrer les opérations de maintenance. (cnil.fr)

Lorsqu’un correctif ne peut pas être appliqué immédiatement, formalisez la raison, les protections temporaires, la personne qui accepte le risque et la date de réexamen. Évitez qu’un report lié à l’activité devienne une absence durable de maintenance. Pour les outils liés à un dispositif médical, associez le fabricant et les responsables concernés avant toute modification de l’environnement.

Si l’éditeur ne fournit plus de correctif, comparez les possibilités de remplacement, de retrait du service exposé ou de restriction des connexions. Le maintien temporaire doit être une décision documentée, avec des conditions de surveillance et une échéance. Le fait qu’un logiciel fonctionne encore ne permet pas, à lui seul, de juger son niveau de sécurité.

Une télémaintenance autorisée et limitée

La sécurité des accès distants concerne autant les salariés que les fournisseurs. Pour la télémaintenance en santé, privilégiez des comptes identifiés, des droits limités et des interventions traçables. Les interfaces d’administration ne devraient pas être directement accessibles depuis Internet selon les recommandations de la CNIL. (cnil.fr)

Un réseau privé virtuel, ou VPN, protège une connexion mais ne remplace pas la gestion des comptes. Vérifiez qui peut se connecter, vers quels équipements et avec quelle authentification. Prévoyez surtout comment suspendre l’accès d’un fournisseur rapidement, sans attendre que son interlocuteur habituel soit disponible.

Protéger les échanges, les portails et les interfaces

Suivre les données au-delà du logiciel principal

La sécurisation des données de santé doit couvrir leur circulation. Recensez les envois de résultats, prescriptions, documents administratifs, exports et transferts entre sites. Pour chaque échange, identifiez l’émetteur, le destinataire, les données nécessaires et le canal autorisé. La CNIL recommande notamment de sécuriser les transmissions et de vérifier les destinataires. (cnil.fr)

Scénario type fictif : après une panne d’interface, un laboratoire transmet des résultats par un moyen improvisé. Pour éviter cette dérive, préparez un canal de secours validé, une vérification du destinataire et une trace de transmission. La confidentialité des données des patients doit rester un critère du mode dégradé.

L’interopérabilité en santé facilite les échanges entre applications, mais chaque connexion doit conserver un périmètre explicite. Une interface destinée à transmettre un résultat n’a pas nécessairement besoin d’accéder à tout le dossier. Demandez aux fournisseurs de documenter les données échangées et les responsabilités de contrôle. (cnil.fr)

Vérifier les droits derrière chaque interface

Les interfaces de programmation applicative, ou API, permettent à des logiciels de communiquer automatiquement. La sécurité des API de santé implique de protéger les clés d’accès, limiter les données partagées et tracer les échanges. La CNIL recommande également de séparer les fonctions courantes des fonctions d’administration. (cnil.fr)

Pour la sécurité d’une application de santé, demandez comment les droits sont contrôlés lors de chaque consultation ou téléchargement. Faites examiner les parcours de récupération de compte, d’ajout d’utilisateur et d’export. La sécurité du portail patient doit rester cohérente avec celle du logiciel qui l’alimente. (cnil.fr)

La sécurité de la téléconsultation mérite la même revue : accès des professionnels, identification des interlocuteurs, documents échangés et assistance technique. Vérifiez aussi ce qui est conservé et par qui. Ne considérez pas la seule présence d’une connexion chiffrée comme une validation de tout le service. (cnil.fr)

Les flux à encadrer ne concernent pas uniquement les dossiers des patients. Pour CEIDO, groupement d’officines indépendantes, notre agence de cybersécurité a relié le site web à Zoho CRM, un outil de gestion de la relation client, afin de centraliser les demandes de pharmaciens et de partenaires. Dans ce type de projet, il faut aussi déterminer quelles informations transmettre, qui peut les consulter et comment les connexions seront maintenues. Le périmètre des données et les protections attendues se définissent selon les usages réels.

Adapter la protection aux dispositifs médicaux connectés

La cybersécurité des dispositifs médicaux demande une coordination entre informatique, utilisateurs, responsables biomédicaux lorsqu’ils existent et fabricants. Les recommandations de l’Agence nationale de sécurité du médicament et des produits de santé, ou ANSM, couvrent le cycle de vie, les accès distants et les échanges réseau. Elles ne justifient pas de modifier un équipement sans examiner les conséquences pour son fonctionnement. (ansm.sante.fr)

Pour votre inventaire, proposez une fiche courte : équipement, usage, version logicielle, fournisseur, connexions nécessaires, maintenance et fin de support. Demandez au fabricant les conditions de mise à jour et les mesures compatibles avec l’équipement. Un outil de sécurité adapté à un poste bureautique ne l’est pas automatiquement à un dispositif médical.

La cybersécurité des objets connectés en santé passe notamment par le cloisonnement et la maîtrise des flux. L’objectif est de limiter les communications aux besoins documentés, sans empêcher le fonctionnement clinique attendu. L’ANSM recommande une matrice des flux et la maîtrise des accès distants pour les dispositifs concernés. (ansm.sante.fr)

Pour une officine, commencez par identifier les équipements réellement connectés et leurs fournisseurs. N’importez pas une architecture hospitalière si elle ne correspond pas au terrain. En revanche, demandez pour chaque équipement qui peut intervenir à distance et comment cette intervention est autorisée.

Sauvegarder pour restaurer une activité utilisable

Distinguer la sauvegarde de la disponibilité quotidienne du logiciel

La sauvegarde des données de santé ne doit pas être confondue avec la disponibilité quotidienne du logiciel. Une copie accessible avec les mêmes comptes que la production peut être exposée au même incident. L’Agence nationale de la sécurité des systèmes d’information, ou ANSSI, rappelle le rôle des sauvegardes dans la réponse aux incidents de sécurité. (messervices.cyber.gouv.fr)

La CNIL recommande notamment une copie géographiquement distincte, une sauvegarde isolée hors ligne et des tests réguliers. La sauvegarde externalisée en santé peut contribuer à cette organisation, à condition d’examiner ses accès, son chiffrement, ses contrats et les moyens de récupération. Une externalisation ne constitue pas, à elle seule, une preuve de résistance à l’attaque. (cnil.fr)

Demandez un inventaire du périmètre sauvegardé : dossiers, pièces jointes, résultats, paramétrages et composants nécessaires au redémarrage. Le guide sectoriel de l’Agence du Numérique en Santé, ou ANS, fournit un cadre pour organiser la sauvegarde des systèmes d’information de santé. (esante.gouv.fr)

Définir la perte et l’arrêt acceptables avec les métiers

Avant de choisir une fréquence, faites préciser les conséquences d’une perte de données récentes. Avant de contractualiser un délai, définissez ce que signifie « reprendre » : consulter les dossiers, saisir de nouveaux actes ou rétablir tous les échanges. Ces objectifs doivent être cohérents avec les procédures de continuité et les moyens disponibles. (esante.gouv.fr)

Pour votre prochain test de restauration des données de santé, proposez ce déroulement :

1. Choisir un service indispensable et un scénario de perte réaliste.
2. Identifier les sauvegardes, logiciels, accès et intervenants nécessaires.
3. Restaurer dans un environnement séparé, avec les autorisations prévues.
4. Faire vérifier par le métier les dossiers, documents et fonctions attendus.
5. Consigner le temps constaté, les blocages et les corrections à engager.

Scénario type fictif : une clinique retrouve sa base de dossiers mais pas les pièces jointes utilisées pendant les soins. Le test doit alors être considéré comme incomplet. Sa valeur réside précisément dans la découverte du manque avant une interruption réelle, pas dans la production d’un compte rendu rassurant.

Organiser la continuité et la gestion de crise

Distinguer continuité et reprise informatique : PCA vs PRA

Le plan de continuité d’activité, ou PCA, décrit comment poursuivre les fonctions prioritaires malgré une perturbation. Le plan de reprise d’activité, ou PRA, organise le rétablissement des systèmes et services. Pour un établissement de santé, le PRA doit donc servir un ordre de reprise métier, et non seulement un ordre technique de redémarrage. L’ANS met à disposition des ressources pour construire ces plans. (esante.gouv.fr)

Un plan de continuité d’activité en santé doit rester utilisable sans la messagerie ni le dossier partagé habituels. Préparez les contacts, les procédures et les supports nécessaires dans un format accessible en situation dégradée. Faites vérifier leur emplacement par les équipes susceptibles de les utiliser, y compris hors des horaires administratifs.

Le plan de reprise d’activité en santé doit préciser les dépendances entre services, les validations attendues et les conditions de reconnexion. Prévoyez aussi le traitement des informations produites pendant l’arrêt. Le retour à la normale n’est achevé que lorsque les professionnels peuvent reprendre un travail fiable.

Répartir les décisions avant l’incident

Pour organiser la gestion de crise cyber dans votre structure de santé, attribuez explicitement quatre rôles : décision de direction, coordination technique, continuité métier et communication. Ajoutez les interlocuteurs juridiques et de protection des données selon les besoins. L’objectif est d’éviter que le technicien chargé d’investiguer porte seul les décisions concernant les patients et l’activité.

Préparez un exercice centré sur un scénario limité : logiciel indisponible, fournisseur injoignable ou suspicion de compromission d’un compte médical. Testez la circulation de l’alerte et la capacité à joindre les décideurs. Les ressources CaRE comprennent des supports de préparation aux exercices de crise cyber. (esante.gouv.fr)

Traiter séparément incident et violation de données

Une violation de données de santé peut concerner leur confidentialité, leur intégrité ou leur disponibilité. Toutes les violations doivent être documentées. Le responsable du traitement doit notifier la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Tout dépassement de ce délai doit être motivé. Il est possible de compléter les informations par étapes sans retard injustifié. (RGPD, article 33)

En cas de risque élevé, l’information des personnes est également requise, sous réserve des exceptions prévues. Ne supposez donc pas qu’une restauration dispense d’analyser une éventuelle fuite de données de santé. Le vol de données des patients et l’interruption de service appellent des évaluations distinctes. (cnil.fr)

Le signalement sectoriel constitue un autre circuit. Le CERT Santé, centre de réponse aux incidents de sécurité du secteur, présente les structures concernées et les déclarations complémentaires possibles. Vérifiez votre situation dans son cadre législatif des signalements, sans supposer qu’une déclaration remplace toutes les autres.

Les règles applicables à votre structure de santé

Les structures de santé ne relèvent pas toutes des mêmes obligations cyber. Il faut distinguer la protection des données personnelles, les règles d’hébergement, les référentiels sectoriels et les régimes applicables à certaines entités. Commencez par qualifier votre activité, votre rôle dans les traitements et vos contrats avant de bâtir une liste d’exigences. (cnil.fr)

Le RGPD impose une sécurité adaptée aux risques

Le Règlement général sur la protection des données, ou RGPD, s’applique aux traitements de données personnelles concernés. Son article 32 impose au responsable du traitement et au sous-traitant des mesures techniques et organisationnelles appropriées. Il vise notamment confidentialité, intégrité, disponibilité, résilience et capacité de rétablissement. Consultez le chapitre consacré aux responsabilités et à la sécurité.

L’articulation entre RGPD et données de santé ne se résume donc pas à recueillir un consentement ou à afficher une politique de confidentialité. Les habilitations, la maintenance, les contrats et les tests doivent pouvoir être expliqués. Une mesure présentée comme bonne pratique peut contribuer à satisfaire cette obligation générale, sans être identiquement prescrite à toutes les structures.

La certification HDS porte sur les activités d’hébergement couvertes

HDS signifie « hébergeur de données de santé ». Le régime concerne notamment l’hébergement, pour le compte d’un tiers ou du patient, de données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Il ne signifie pas que chaque professionnel doit lui-même être certifié. Consultez les précisions officielles sur le champ HDS.

Pour votre hébergement de données de santé, demandez le certificat applicable, sa validité et les activités couvertes. Vérifiez leur correspondance avec les prestations réellement achetées, y compris la sauvegarde lorsque celle-ci entre dans le périmètre concerné. La certification HDS d’un intervenant ne constitue pas une certification globale de votre application ou de votre organisation. (esante.gouv.fr)

HDS et RGPD sont complémentaires. Choisir un hébergeur HDS ne règle pas automatiquement les habilitations, les finalités du traitement ou les obligations contractuelles. Pour les exigences techniques actualisées, consultez les référentiels officiels de certification HDS. (cnil.fr)

La PGSSI-S combine exigences et accompagnement

La Politique générale de sécurité des systèmes d’information de santé, ou PGSSI-S, rassemble des référentiels et des documents d’accompagnement. Certains documents fixent des exigences opposables, d’autres proposent des recommandations pratiques. Il faut donc contrôler le document, sa version et son champ d’application, plutôt que qualifier tout le corpus d’obligatoire ou de facultatif. (esante.gouv.fr)

Utilisez la page officielle de la PGSSI-S comme point d’entrée pour l’identification électronique, les sauvegardes et les autres sujets pertinents. Faites préciser par vos fournisseurs les exigences qu’ils prennent en charge. Conservez une liste de celles qui restent à organiser localement.

NIS2 exige de qualifier l’entité avant de conclure

NIS2 désigne la deuxième directive européenne sur la sécurité des réseaux et des systèmes d’information. Le secteur de la santé figure dans son champ, mais cela ne suffit pas à conclure que toute officine, tout cabinet ou tout laboratoire est une entité essentielle. L’assujettissement dépend notamment de l’activité, de la taille, des exceptions et des textes nationaux. (messervices.cyber.gouv.fr)

Pour déterminer si votre structure est concernée par NIS2, faites documenter la situation de votre entité juridique, en tenant compte des règles relatives aux entreprises liées ou partenaires lorsque celles-ci s’appliquent. Au 6 novembre 2026, la page officielle de préparation à NIS2 indique une transposition française en cours. Contrôlez son évolution avant de présenter des échéances ou obligations nationales comme définitivement applicables.

Programme CaRE et initiatives européennes pour accompagner les projets

Le programme CaRE, pour « Cybersécurité accélération et Résilience des Établissements », soutient les établissements de santé et les structures médico-sociales dans leur démarche cyber. Il associe gouvernance, ressources, sensibilisation et sécurité opérationnelle. Ne supposez pas qu’un cabinet, une pharmacie ou toute entreprise de santé bénéficie automatiquement des mêmes dispositifs. (esante.gouv.fr)

Pour votre budget, partez des risques identifiés puis vérifiez l’éligibilité de chaque projet. Demandez les prérequis, dépenses couvertes, justificatifs et conditions d’atteinte des objectifs avant tout engagement. Un financement potentiel ne doit pas devenir la condition de traitement d’un accès manifestement inutile ou d’une restauration jamais testée.

La page du domaine CaRE consacré aux accès distants, actualisée le 30 octobre 2026, annonce un lancement envisagé en 2027. Elle précise que les objectifs sont encore en construction. Considérez donc cette perspective comme un point de veille, pas comme une aide déjà acquise. (esante.gouv.fr)

À l’échelle européenne, le plan d’action pour la cybersécurité des hôpitaux et prestataires de soins a été lancé en janvier 2025. Il organise prévention, détection, réponse et rétablissement, ainsi que dissuasion. Pour votre structure, vérifiez les services effectivement accessibles et leurs modalités, sans confondre un plan annoncé avec un dispositif immédiatement mobilisable. (health.ec.europa.eu)

Choisir un prestataire cybersécurité et contrôler les résultats

Un responsable de la sécurité des systèmes d’information, ou RSSI, pilote la démarche de sécurité. Le recours à un RSSI externalisé spécialisé en santé peut être envisagé lorsque les ressources internes sont limitées. Définissez son périmètre, son autorité, ses livrables et les décisions qui restent à la direction avant de comparer les offres d’accompagnement.

Pour choisir un prestataire de cybersécurité spécialisé en santé, demandez une proposition reliée à vos outils et à vos contraintes. Exigez des responsabilités claires, des modalités d’intervention et des engagements concernant les données. La CNIL rappelle que la qualification des rôles et la contractualisation concernent aussi les accès ponctuels de maintenance. (cnil.fr)

Un audit de sécurité et un test d’intrusion ne répondent pas exactement à la même question. L’audit peut examiner l’architecture, la configuration, l’organisation ou le code d’un logiciel de santé. Un test d’intrusion, aussi appelé pentest, cherche à vérifier l’exploitabilité et l’impact de vulnérabilités dans un périmètre défini. Choisissez le contrôle selon la décision attendue. (aide.monservicesecurise.cyber.gouv.fr)

Former les équipes et suivre quelques preuves utiles

La formation à la cybersécurité dans la santé gagne à partir des situations de travail. Pour prévenir l’hameçonnage, aussi appelé phishing, utilisez des exemples de faux messages d’éditeur, de demandes urgentes de documents ou de sollicitations de support. La sensibilisation doit expliquer comment vérifier une demande et à qui signaler un doute, dans un langage adapté aux fonctions. (cnil.fr)

Scénario type fictif : une personne se présentant comme le support demande un code de connexion par téléphone. L’équipe doit disposer d’un numéro connu pour rappeler et d’une règle claire de vérification. Testez cette procédure avec l’accueil autant qu’avec les responsables informatiques.

Pour piloter la cybersécurité de votre structure de santé, retenez un tableau de bord court : comptes sensibles vérifiés, logiciels sans support identifiés, restaurations validées et corrections en attente. Associez chaque indicateur à une décision possible. Évitez les scores qui progressent sans expliquer ce qui protège mieux l’activité.

L’intelligence artificielle peut être évaluée pour aider au tri d’alertes ou à la préparation de supports pédagogiques. Avant un essai, définissez les données autorisées, les accès et la validation humaine. Ne transmettez pas de données des patients à un outil non évalué pour cet usage. Les recommandations de la CNIL sur la sécurité des systèmes d’intelligence artificielle soulignent notamment le cloisonnement et la maîtrise des accès. (cnil.fr)

Questions fréquentes sur la cybersécurité en santé

Un test d’intrusion peut-il perturber les soins dans un établissement de santé ?

Oui, certaines opérations de test peuvent provoquer un dysfonctionnement. Un test d’intrusion en santé doit donc être autorisé, délimité et organisé avec des conditions d’arrêt, particulièrement sur les systèmes liés à la prise en charge. Le périmètre, les risques et les interventions autorisées doivent être convenus avec le commanditaire avant le test. (aide.monservicesecurise.cyber.gouv.fr)

Demandez au prestataire ce qui sera testé, sur quel environnement et avec quels comptes. Prévoyez les interlocuteurs disponibles pendant l’intervention et le suivi des corrections. Le livrable utile n’est pas seulement une liste de failles, mais un plan de traitement dont vous pouvez vérifier l’exécution.

Par où commencer pour renforcer la cybersécurité d’une petite structure de santé ?

Commencez par identifier le service dont l’arrêt mettrait le plus votre activité en difficulté. Vérifiez ensuite ses accès sensibles, sa maintenance et la possibilité de le restaurer. Si une vulnérabilité exposée ou un compte compromis est déjà identifié, son traitement devient prioritaire. La démarche doit rester proportionnée aux moyens disponibles, avec un responsable capable de suivre les décisions.

La certification HDS d’un hébergeur suffit-elle à sécuriser un logiciel de santé ?

Non. La certification porte sur les activités d’hébergement couvertes par le certificat. Elle ne valide pas automatiquement les droits des utilisateurs, les interfaces du logiciel ou les pratiques de votre structure. Demandez qui prend en charge chaque mesure et quelles preuves sont disponibles. Contrôlez aussi la validité du certificat et son adéquation aux prestations achetées.

NIS2 en France : quelles structures de santé sont concernées ?

L’appartenance au secteur de la santé ne suffit pas à conclure. L’activité de l’entité, sa taille, les règles de calcul applicables et les exceptions doivent être examinées. La distinction entre entité essentielle et entité importante ne doit pas être déduite du seul caractère sensible des données. Le passage consacré à NIS2 précise l’état de la transposition française à la date de consultation.

Comment tester les sauvegardes des données de santé avant une reprise d’activité ?

Restaurez un outil indispensable dans un environnement séparé et faites contrôler le résultat par les professionnels qui l’utilisent. Le test doit couvrir les dossiers, les pièces jointes, les paramètres et les fonctions nécessaires. Mesurez le délai réellement constaté et identifiez les éléments manquants. Un compte rendu de sauvegarde réussie ne remplace pas cette validation métier.

Qui est responsable de la cybersécurité dans une clinique, un laboratoire ou une pharmacie ?

La direction doit attribuer les responsabilités et arbitrer les moyens. Un référent interne ou un prestataire peut coordonner les actions techniques, mais les professionnels de santé doivent participer aux décisions qui touchent leur activité. Précisez qui autorise les accès, accepte une interruption pour maintenance et valide la reprise. Le suivi doit rester possible lorsque l’interlocuteur habituel est absent.

Ce qu’il faut retenir

La cybersécurité des établissements de santé comme celle des structures de ville se construit autour des outils réellement utilisés. Pour renforcer la sécurité informatique d’un hôpital, d’une clinique, d’un laboratoire ou d’une officine, partez des conséquences métier et vérifiez les responsabilités plutôt que d’accumuler les solutions.

1. Limitez les accès et contrôlez les habilitations aux dossiers patients.
2. Reliez la sécurité du logiciel de santé à sa maintenance et à ses interfaces.
3. Exigez une restauration démontrée, puis une validation métier.
4. Préparez la continuité avec des procédures accessibles pendant l’arrêt.
5. Vérifiez votre périmètre réglementaire et les dispositifs effectivement ouverts.
6. Pour définir vos prochaines priorités, faites évaluer la sécurité de vos outils métiers, de leurs accès et de leur maintenance.

Vous devez renforcer la sécurité d’une application de santé, revoir ses habilitations ou sécuriser ses connexions avec vos autres logiciels ? Kwantic vous accompagne pour définir les évolutions nécessaires et les mettre en œuvre, de la conception des protections à leur intégration et à la maintenance applicative. Échangeons sur vos outils, vos contraintes de soins et les exigences de protection de vos données. Parlons de votre projet.

Références

ANSSI · Sauvegarde des systèmes d’information

CNIL · Sécurité et confidentialité de l’accès au dossier patient informatisé

CNIL · Gérer les habilitations

CNIL · Authentifier les utilisateurs

CNIL · Encadrer la maintenance et la fin de vie des matériels et logiciels

CNIL · Protéger le réseau informatique

CNIL · Sécuriser les échanges avec l’extérieur

ANSM · Cybersécurité des dispositifs médicaux intégrant du logiciel

CNIL · Sauvegarder

ANS · Règles de sauvegarde des systèmes d’information de santé, version 1.1

ANS · Programme CaRE et documentation opérationnelle

CNIL · Gérer les incidents et les violations

CERT Santé · Cadre législatif et signalements d’incidents

ANS · Champ d’application de l’hébergement de données de santé

ANS · Certification HDS et périmètre des activités couvertes

CNIL · Responsable de traitement et sous-traitant

ANS · Politique générale de sécurité des systèmes d’information de santé

ANS · CaRE, domaine 3 et préparation de la sécurisation des accès distants

Commission européenne · Plan d’action pour la cybersécurité des soins

ANSSI · Réaliser un audit de la sécurité du service

CNIL · Impliquer et former les utilisateurs

CNIL · Garantir la sécurité du développement d’un système d’IA