Cyberattaque dans les soins

L'Europe tire la sonnette d'alarme

Tout commence souvent de manière anodine. Une « facture » dans la boîte mail, une pièce jointe que quelqu’un ouvre malencontreusement, une mise à jour 'qui peut bien attendre une semaine'. Jusqu’au moment où, soudain, les écrans deviennent noirs, les téléphones basculent en procédure d’urgence et les infirmières se remettent à travailler avec du papier et un bic comme en 1998. Dans le secteur des soins, il ne s’agit pas d’un simple incident informatique gênant, mais bien d’une menace directe pour la continuité des soins - et donc pour les patients.

C’est précisément pour cette raison que la Commission européenne a lancé, début 2025, un plan d’action qui ne traite plus la cybersécurité dans les hôpitaux comme une simple question technique, mais comme un maillon essentiel pour la sécurité des patients. L’Europe scrute les chiffre - et surtout leurs conséquences: les cyberattaques sont plus fréquentes, plus agressives et plus professionnelles. En 2023, les États membres ont signalé 309 incidents dans le secteur de la santé.

Sur la période 2021-2023, les ransomwares se sont imposés comme le mode opératoire dominant. Selon l’Agence de l’Union européenne pour la cybersécurité (ENISA), ils représentent 54% des cyberattaques qui visent le secteur de la santé. Dans 42% des cas, les hôpitaux étaient directement ciblés. L’ENISA craint que cette tendance ne se poursuive dans les années à venir. L’Agence s’inquiète surtout du fait qu’un peu plus d’un quart seulement des établissements de santé disposent de programmes de défense spécifiques contre les ransomwares.

Une cible de choix

Mais pourquoi donc les hôpitaux sont-ils des cibles aussi prisées? Les directions hospitalières évoquent toutes le même paradoxe: les soins se numérisent plus vite que jamais, mais les infrastructures sont rarement de « dernière génération ». Dossiers patients électroniques, dispositifs médicaux connectés au réseau, applications cloud, prestataires externes travaillant directement dans les systèmes… Autant d’éléments qui rendent les soins plus efficaces, mais aussi plus vulnérables.

Les auteurs de ransomwares le savent parfaitement: ils ne s’attaquent pas seulement aux données, mais surtout au facteur 'temps'.

Les auteurs de ransomwares le savent parfaitement. Ils ne s’attaquent pas seulement aux données, mais surtout au facteur temps. Un hôpital peut rester hors ligne une semaine. Un service d’urgence, non. Et de cette tension découle la pression pour payer. L’Europe le dit sans détour: les cyberincidents dans le secteur des soins peuvent entraîner des retards de traitement et des perturbations très fortes des processus de prise en charge.

À cela s’ajoute un autre phénomène : la frontière entre l’informatique « classique » et les technologies dites « opérationnelles » s’estompe. Une faille dans le réseau administratif peut soudain se propager vers des systèmes qui pilotent des équipements médicaux ou la gestion des bâtiments. Ce qui relevait autrefois de mondes séparés devient un écosystème unique.

Le message sous-jacent est clair: agir après une attaque, c’est déjà trop tard.

Le plan d’action de l’UE: moins de papier, plus de pratique

À l’évocation d’un « plan d’action européen », on pense vite à des rapports volumineux et à de nouvelles obligations. Celui-ci se veut au contraire très concret. Il s’articule autour de quatre objectifs: prévenir, détecter, répondre/rétablir et dissuader. Avec un message central limpide: si l’on agit après une attaque, il est déjà trop tard.

Au cœur du dispositif figure un nouveau point de soutien au sein de l’ENISA: un European Cybersecurity Support Centre (ECCC) destiné à aider les hôpitaux via des lignes directrices, des outils et un appui opérationnel. Pas une couche bureaucratique supplémentaire, mais un lieu où le partage des connaissances et des bonnes pratiques doit s’accélérer. Ce n’est pas superflu. L’Europe constate que la pénurie de profils en cybersécurité est criante, et souligne explicitement que le recrutement de talents dans ce domaine reste un défi majeur pour de nombreux hôpitaux.

Le plan se déploie par étapes, avec 2025 comme année de lancement pour les consultations, la gouvernance et les premiers instruments. Les éléments les plus intéressants pour les directions hospitalières et les responsables ICT sont ceux qui font la différence avant et pendant un incident.

1. L’« hygiène » comme norme, pas comme recommandation
L’Europe souhaite que les mesures de base – mises à jour, sauvegardes, authentification multifactorielle – soient appliquées de manière plus systématique. Pas seulement via des recommandations, mais aussi grâce à un cadre permettant de mesurer la maturité en cybersécurité, assorti d’une évaluation annuelle européenne du secteur. Cela peut être perçu comme une pression supplémentaire, mais c’est aussi une opportunité: celle de rendre visibles les investissements et les priorités au niveau des comités de direction.

2. Des signaux d’alerte plus rapides, moins de mauvaises surprises
Un deuxième volet concerne la détection et l’échange d’informations. L’Europe travaille à un service d’alerte précoce à l’échelle de l’UE afin que les avertissements parviennent plus vite aux hôpitaux. Une base de données des « vulnérabilités connues et exploitées », pertinentes pour les technologies de santé et les systèmes médicaux, verra également le jour. L’objectif est clair: réduire la dépendance aux signaux fortuits et intervenir plus rapidement là où le feu couve.

3. Se rétablir sous pression
Un incident de ransomware n’est presque jamais un simple problème informatique. C’est une crise à part entière: communication, triage, arbitrage des priorités de redémarrage, activation de procédures d’urgence, parfois même des choix éthiques. Le plan mise donc sur des playbooks ransomware et sur des exercices de plus grande ampleur. Et si la situation dégénère, l’Europe veut offrir un filet de sécurité: un service de réponse rapide via la EU Cybersecurity Reserve, lorsque les capacités nationales s’avèrent insuffisantes.

4. Argent et ressources humaines: s’attaquer au maillon faible
Enfin, l’Europe évoque des leviers financiers, comme des programmes de "vouchers" que les États membres pourraient utiliser pour soutenir les hôpitaux – en particulier les plus petits – dans des mesures de sécurité concrètes. Des modules de formation pour les professionnels de santé sont également prévus. Car, dans la pratique, la sécurité commence souvent par les comportements sur le terrain, bien avant les pare-feu.