En accompagnant un client du secteur médical sur la sécurisation de son site et de ses outils numériques, j’ai mesuré à quel point la cybersécurité de la santé reste un sujet sous-estimé par rapport à l’ampleur réelle du risque. Voici ce que la veille sectorielle et l’actualité récente permettent d’en dire, avec la prudence que mérite un domaine que je n’exerce pas moi-même en tant que professionnel de santé.
La cybersécurité de la santé numérique fait face à trois défis majeurs : la multiplication des dispositifs médicaux connectés qui élargissent la surface d’attaque, un cadre réglementaire renforcé (notamment la directive européenne NIS2) qui impose de nouvelles obligations, et un manque de ressources humaines largement reconnu par les établissements eux-mêmes.
- 1 Un secteur de plus en plus numérisé, donc de plus en plus exposé
- 2 NIS2, un cadre réglementaire qui monte en exigence
- 3 Le manque de ressources humaines, un obstacle largement reconnu
- 4 Ce que la transformation digitale des autres secteurs peut apporter
- 5 Le phishing, le vecteur d’attaque le plus fréquent, santé comprise
- 6 La sauvegarde et le plan de continuité, une assurance vitale
- 7 Questions fréquentes
Un secteur de plus en plus numérisé, donc de plus en plus exposé
La numérisation croissante des établissements de santé, dossiers patients informatisés, dispositifs médicaux connectés, outils de télémédecine, multiplie mécaniquement les points d’entrée potentiels pour une cyberattaque. Contrairement à d’autres secteurs, une panne informatique dans un hôpital ne se limite jamais à une perte financière : elle peut directement affecter la prise en charge des patients, ce qui rend la vigilance particulièrement critique dans ce domaine précis.
NIS2, un cadre réglementaire qui monte en exigence
La directive européenne NIS2 impose désormais aux organisations essentielles, dont de nombreux acteurs de santé, une gestion des risques renforcée et une gouvernance de la sécurité informatique plus formalisée qu’auparavant. Ce cadre, contraignant sur le papier, répond à une réalité déjà documentée par de multiples incidents touchant des établissements de santé ces dernières années.
Le référentiel de certification intègre désormais le numérique
Depuis le sixième cycle de certification des établissements de santé, entré en application en 2025, des critères numériques ont été explicitement intégrés, incluant le pilotage des dispositifs médicaux numériques, IA comprise. Ce changement structurel montre que la cybersécurité n’est plus traitée comme un sujet périphérique mais comme un critère de qualité des soins à part entière.
Un hôpital ne se protège jamais uniquement avec un logiciel de sécurité, mais avec une organisation entière qui prend le sujet au sérieux à tous les niveaux.
Le manque de ressources humaines, un obstacle largement reconnu
Une large majorité des organisations de santé reconnaît elles-mêmes que leurs ressources humaines restent insuffisantes pour répondre pleinement aux défis numériques actuels, un constat qui rejoint les freins déjà documentés pour généraliser la réalité augmentée en chirurgie au-delà de quelques établissements pionniers. Ce constat, partagé par le secteur lui-même plutôt qu’imposé de l’extérieur, révèle un écart réel entre les obligations réglementaires croissantes et les moyens concrets disponibles pour y répondre.
| Défi | Enjeu principal |
|---|---|
| Dispositifs médicaux connectés | Surface d’attaque élargie |
| Cadre réglementaire NIS2 | Gouvernance de sécurité renforcée obligatoire |
| Ressources humaines | Manque de personnel qualifié en cybersécurité santé |
| Continuité des soins | Impact direct d’une panne, au-delà du coût financier |
Ce que la transformation digitale des autres secteurs peut apporter
Sans prétendre à une expertise médicale, mon métier d’agence web m’a appris que la sécurité informatique repose toujours sur les mêmes fondamentaux, quel que soit le secteur : mises à jour régulières, gestion rigoureuse des accès, formation du personnel aux réflexes de base face au phishing. Ces principes, déjà appliqués dans le e-commerce et l’entreprise classique, restent transposables au secteur de la santé, même si l’enjeu y prend une dimension supplémentaire liée à la vie des patients.
Le phishing, le vecteur d’attaque le plus fréquent, santé comprise
Contrairement à une image parfois technique et sophistiquée de la cyberattaque, une large part des incidents dans le secteur de la santé démarre par un email de phishing ouvert par un membre du personnel, exactement comme dans n’importe quelle entreprise. Former régulièrement l’ensemble du personnel, pas seulement les équipes informatiques, à reconnaître ces tentatives reste l’une des mesures les plus rentables face au coût d’un incident majeur.
Ce constat rejoint ce que j’observe régulièrement en accompagnant des clients d’autres secteurs sur leur sécurité informatique : la technologie de protection compte moins, au global, que la vigilance quotidienne des personnes qui utilisent les outils numériques au poste de travail.
La sauvegarde et le plan de continuité, une assurance vitale
Au-delà de la prévention, un établissement de santé doit pouvoir continuer à fonctionner, au moins en mode dégradé, en cas d’incident majeur touchant ses systèmes informatiques. Un plan de continuité d’activité testé régulièrement, avec des procédures papier de secours pour les fonctions les plus critiques, fait souvent la différence entre un incident maîtrisé et une paralysie complète qui met directement en danger la prise en charge des patients.
La responsabilité partagée avec les prestataires numériques
Un établissement de santé qui externalise une partie de ses outils numériques auprès de prestataires tiers doit vérifier que ces derniers appliquent des standards de sécurité au moins équivalents aux siens. Une chaîne de sécurité n’est jamais plus solide que son maillon le plus faible, et un prestataire mal sécurisé peut devenir la porte d’entrée d’une attaque qui touche in fine l’établissement lui-même, malgré ses propres efforts de protection.
Questions fréquentes
La directive NIS2 concerne-t-elle tous les établissements de santé ?
Elle cible en priorité les organisations considérées comme essentielles, une catégorie qui inclut de nombreux acteurs majeurs du secteur de la santé.
Les dispositifs médicaux connectés sont-ils plus vulnérables que d’autres appareils ?
Ils cumulent souvent des contraintes de mise à jour plus complexes que des appareils grand public, ce qui peut effectivement allonger la durée d’exposition à une faille connue.
Le manque de personnel qualifié touche-t-il uniquement la santé ?
Non, c’est un défi partagé par de nombreux secteurs, mais ses conséquences prennent une gravité particulière dans un contexte de soins aux patients.
La cybersécurité de la santé numérique fait face à une numérisation croissante, un cadre réglementaire de plus en plus exigeant et un manque de ressources humaines reconnu par le secteur lui-même. Les principes de base de la sécurité informatique restent transposables à ce domaine, même si l’enjeu y dépasse largement la seule question financière habituelle.