Passer du réactif au cadre formalisé repose sur deux piliers : un plan de reprise réellement testé et une gouvernance cyber clairement identifiée. Le reste se joue dans le choix des prestataires. La sécurité est d’ailleurs le premier critère de sélection d’un partenaire informatique pour 70 % des établissements, devant la confiance (61 %) et le prix, relégué au quatrième rang (52 %).
Ce critère se traduit en exigences vérifiables. La certification HDS conditionne l’hébergement des données de santé chez un tiers. La directive NIS2 classe les établissements publics de santé parmi les entités essentielles. Sa transposition française tarde — le projet de loi Résilience, voté au Sénat en mars 2025, n’est toujours pas adopté par l’Assemblée nationale — mais, une fois en vigueur, analyse de risques, PRA et notification d’incident sous 24 heures deviendront des obligations contrôlées.
Les établissements n’avancent pas seuls. Le programme CaRE, le CERT Santé et les centres régionaux apportent financements, kits d’exercice de crise et appui en cas d’attaque. La protection des données de santé cesse d’être une affaire purement technique : elle devient un objet de gouvernance, inscrit au budget et porté par la direction. Le cadre existe. L’appliquer reste l’étape la plus rugueuse.
La prise de conscience est acquise. Les établissements savent ce qu’ils risquent, du rançongiciel à NIS2. Le prochain chantier est celui de la formalisation, sous contrainte de moyens. La question, pour 2026, n’est plus de savoir si la cybersécurité des établissements de santé est une priorité. Elle est de savoir lesquels franchiront le pas des 31 % dotés d’une stratégie écrite, et à quel rythme.
