Un service d’urgences qui repasse au papier et au crayon. Des interventions déprogrammées. Un logiciel de dossier patient indisponible pendant plusieurs semaines. Ces situations ne relèvent plus du scénario d’exercice : elles font partie du quotidien de nombreuses directions d’établissements.
Le secteur de la santé réunit trois caractéristiques qui en font une cible de premier plan. Il détient des données à très forte valeur, il fait fonctionner un système d’information hétérogène, et il exerce une activité qui ne supporte aucune interruption. Les groupes criminels le savent : la pression sur la continuité des soins pousse à céder vite.
Cet article fait le point sur ce que le risque cyber représente concrètement pour un établissement ou une structure libérale, sur ce qu’une attaque coûte réellement, et sur la manière dont un programme d’assurance peut en absorber une partie.
Pourquoi la santé concentre autant d’attaques
Une donnée qui ne se périme jamais
Une carte bancaire compromise s’oppose en quelques minutes. Un dossier médical, non. Il contient une identité, un historique de pathologies, parfois des coordonnées bancaires et des droits d’assurance. Ces informations restent exploitables des années après leur vol, pour de l’usurpation d’identité, de la fraude aux prestations ou du chantage. C’est cette durée de vie, plus que le volume, qui fait leur valeur sur les marchés criminels.
Un système d’information difficile à homogénéiser
Un établissement fait cohabiter un dossier patient informatisé, un système de gestion de laboratoire, un serveur d’imagerie, une gestion administrative et une dizaine d’applications métier, achetées à des époques différentes et maintenues par des éditeurs différents. Dans son rapport de janvier 2025 consacré à la cybersécurité des établissements de santé, la Cour des comptes désigne cette multiplicité comme un obstacle structurel à la sécurisation, et relève un effort d’investissement très inférieur à celui d’autres secteurs exposés : de l’ordre de 1,7 % du budget d’exploitation, contre environ 9 % dans le secteur bancaire.
Des équipements biomédicaux qui élargissent la surface d’attaque
Pompes à perfusion, systèmes d’appel malade, automates de biologie, moniteurs, caméras : ces équipements sont désormais connectés au réseau. Ils sont conçus pour durer dix à quinze ans, rarement pour recevoir des correctifs de sécurité au rythme d’un poste de travail. Chaque appareil raccordé est un point d’entrée de plus, et il échappe souvent à l’inventaire tenu par la direction des systèmes d’information.
Un modèle criminel devenu industriel
Le rançongiciel n’est plus un savoir-faire rare : il se loue. Des groupes spécialisés développent l’outil, le mettent à disposition d’affiliés qui mènent les attaques, et partagent le produit de la rançon. Ce modèle, connu sous le nom de rançongiciel en tant que service, a fait augmenter le nombre d’attaquants capables de viser un établissement beaucoup plus vite que leur niveau technique moyen.
Établissements et libéraux : deux expositions différentes
Hôpitaux, cliniques et structures médico-sociales
Les grandes structures subissent des attaques préparées. L’intrusion précède souvent le chiffrement de plusieurs semaines, le temps de cartographier le réseau, de repérer les sauvegardes et de les neutraliser. L’objectif n’est plus seulement de bloquer les données mais de les exfiltrer, pour ajouter la menace de publication à celle de l’indisponibilité. La double extorsion est devenue la norme.
Au delà du rançongiciel, ces établissements font aussi l’objet d’attaques en déni de service et de tentatives d’intrusion à visée d’espionnage, notamment lorsqu’ils accueillent des activités de recherche clinique.
Cabinets, laboratoires et professionnels libéraux
Les structures libérales sont rarement visées nominativement. Elles sont touchées par des campagnes de masse : un courriel imitant un éditeur de logiciel, une fausse relance de l’assurance maladie, une pièce jointe piégée adressée au secrétariat. Le résultat est le même, avec moins de moyens pour y faire face.
- l’hameçonnage, qui vise les identifiants de messagerie et les accès aux logiciels métier ;
- le rançongiciel, qui rend le fichier patients et l’agenda inaccessibles ;
- le vol de données, avec revente ou publication des dossiers ;
- la fraude au virement, qui exploite une messagerie compromise pour détourner un règlement.
Pour un cabinet, l’enjeu n’est pas seulement financier. L’impossibilité d’accéder au dossier d’un patient au moment de la consultation pose une question de sécurité des soins.
Ce qu’une attaque coûte réellement
L’arrêt de l’activité
C’est le poste le plus lourd, et il est souvent sous estimé. Le rapport de la Cour des comptes situe le coût moyen de gestion de crise et de remise en état autour de 10 millions d’euros pour un établissement, auxquels s’ajoute une perte d’exploitation évaluée à une vingtaine de millions. Pour une structure libérale, l’ordre de grandeur change mais la mécanique est identique : des honoraires à reconstituer, des semaines de saisie manuelle et une reprise progressive.
Les obligations réglementaires
Une violation de données déclenche des délais courts. L’article 33 du RGPD impose la notification à la CNIL dans les 72 heures. Si le risque pour les personnes est élevé, l’article 34 impose d’informer individuellement les patients concernés. À cela s’ajoutent le signalement des incidents graves au portail des autorités sanitaires et, pour les entités concernées par la directive NIS 2, des obligations renforcées de sécurité et de déclaration.
Ces démarches mobilisent du temps de direction, un conseil juridique et souvent une prestation de communication, au moment précis où l’établissement est le moins disponible.
La responsabilité civile
La divulgation de données de santé peut causer un préjudice à des tiers : patients, salariés, partenaires. Les actions individuelles restent rares en France, mais les actions de groupe en matière de données personnelles progressent, et les sanctions administratives de la CNIL s’ajoutent au coût direct de l’incident.
La confiance
C’est la conséquence la moins chiffrable et la plus durable. Un patient qui apprend que son dossier a circulé s’interroge sur la capacité de la structure à le protéger. Pour un cabinet installé sur un bassin de vie réduit, l’effet sur la patientèle peut durer plusieurs années.
Les mesures qui font réellement baisser le risque
Aucune de ces mesures n’est spectaculaire. Prises ensemble, elles écartent la grande majorité des scénarios observés.
- Authentification multifacteur sur la messagerie, les accès distants et les comptes d’administration. C’est la mesure qui bloque le plus d’attaques pour le coût le plus faible.
- Sauvegardes déconnectées et testées. Une sauvegarde accessible depuis le réseau est chiffrée en même temps que le reste. Une sauvegarde jamais restaurée en conditions réelles n’est pas une sauvegarde.
- Mises à jour suivies, en particulier sur les équipements exposés depuis internet : pare-feu, accès distants, serveurs de messagerie.
- Cloisonnement du réseau, pour que les équipements biomédicaux et les postes bureautiques ne circulent pas sur le même segment.
- Gestion des accès. Les comptes des personnes parties doivent être fermés, les droits d’administration réservés à quelques personnes, et les accès des prestataires ouverts à la demande plutôt qu’en permanence.
- Sensibilisation ciblée des fonctions réellement exposées : secrétariat, comptabilité, direction.
- Procédure de crise écrite, avec les numéros à appeler, la liste des décisions à prendre dans les premières heures et un exercice réalisé au moins une fois.
Sur le plan collectif, le programme CaRE piloté par l’Agence du numérique en santé finance depuis 2023 la montée en maturité des établissements, autour de la gouvernance, de la mutualisation des ressources, de la sensibilisation et de la sécurité opérationnelle. Les établissements éligibles ont intérêt à en vérifier les conditions d’accès.
Ce que couvre une assurance cyber, et ce qu’elle ne couvre pas
Les garanties qui comptent
Un contrat cyber utile ne se juge pas à son plafond mais à ce qu’il déclenche dans les premières heures.
- L’assistance en urgence, joignable 24 heures sur 24, qui mobilise une équipe de réponse à incident, un juriste et, si besoin, un conseil en communication.
- Les frais de reconstitution des données et de remise en état du système d’information.
- La perte d’exploitation consécutive à l’indisponibilité, avec une attention particulière à la durée de la période d’indemnisation.
- La responsabilité civile pour les préjudices causés aux tiers du fait de la perte ou de la divulgation de données.
- Les frais de notification aux personnes concernées et d’accompagnement réglementaire.
- Le volet extorsion, dans les limites permises par la loi.
Les points à regarder avant de signer
- Le délai de carence sur la perte d’exploitation. Une carence de 24 heures et une carence de 72 heures ne couvrent pas le même sinistre.
- Les conditions de garantie. Certains contrats subordonnent l’indemnisation au respect de mesures de sécurité déclarées à la souscription. Un écart entre le questionnaire et la réalité fragilise le dossier.
- Le périmètre des données couvertes, en particulier lorsqu’elles sont hébergées chez un prestataire certifié hébergeur de données de santé.
- L’articulation avec les autres contrats : multirisque professionnelle, responsabilité civile professionnelle, responsabilité des dirigeants. Les recouvrements et les trous de couverture se logent aux frontières.
Une attaque ne se gagne pas au moment de l’indemnisation. Elle se gagne dans les quarante-huit premières heures, quand il faut décider quoi débrancher, qui prévenir et comment continuer à soigner.
Roussille Assurances
Notre rôle de courtier
Nous intervenons sur trois plans. En amont, nous qualifions le risque avec vous et nous préparons le questionnaire d’assurance, qui est devenu l’élément déterminant de la négociation. Ensuite, nous mettons les compagnies en concurrence sur le périmètre réel de votre activité plutôt que sur un produit standard. Enfin, si l’incident survient, nous pilotons le dossier de sinistre à vos côtés, du premier appel jusqu’au règlement.
Notre indépendance est ici un point pratique : nous ne sommes liés à aucune compagnie, ce qui nous permet de discuter les exclusions ligne à ligne plutôt que de défendre un contrat maison.
Questions fréquentes
Un cabinet libéral est-il vraiment une cible pour les cybercriminels ?
Oui, et souvent une cible plus facile qu’un hôpital. Les attaques de masse ne choisissent pas leur victime : elles balaient des milliers d’adresses et exploitent la première faille rencontrée. Un cabinet dispose des mêmes données sensibles qu’un service hospitalier, avec beaucoup moins de moyens pour les protéger et pour repartir après un incident.
Quel est le délai pour signaler une violation de données de santé ?
L’article 33 du RGPD impose de notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation, sauf si elle est peu susceptible d’engendrer un risque pour les personnes. Si le risque pour les patients est élevé, l’article 34 impose en plus de les informer individuellement et dans les meilleurs délais. Un incident de sécurité affectant un établissement de santé fait par ailleurs l’objet d’un signalement au portail dédié des autorités sanitaires.
L’assurance cyber prend-elle en charge le paiement d’une rançon ?
Certains contrats le prévoient, dans un cadre strict. Depuis la loi d’orientation et de programmation du ministère de l’Intérieur de janvier 2023, l’indemnisation d’une rançon par un assureur est subordonnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’infraction. Payer reste par ailleurs déconseillé par les autorités : cela ne garantit ni la restitution des données, ni leur non-divulgation.
Faut-il être parfaitement sécurisé pour être assurable ?
Non, mais le niveau de sécurité conditionne les conditions de couverture. Les assureurs demandent aujourd’hui un socle de mesures : authentification multifacteur sur les accès distants, sauvegardes déconnectées et testées, mises à jour suivies, plan de réaction écrit. Sans ce socle, le risque est refusé ou assorti de franchises et d’exclusions lourdes.
Mon prestataire informatique est-il responsable en cas d’attaque ?
Sa responsabilité peut être engagée au titre de ses obligations contractuelles, mais elle ne vous décharge pas des vôtres. Au regard du RGPD, l’établissement reste responsable de traitement : c’est lui qui notifie, qui informe les patients et qui répond devant la CNIL. Le contrat de sous-traitance doit donc être lu avec attention, notamment ses plafonds de responsabilité.
Faire le point sur votre exposition
Si vous dirigez un établissement, un laboratoire ou un cabinet et que vous ne savez pas précisément ce que votre contrat actuel couvrirait en cas d’attaque, c’est le bon moment pour le vérifier. Nous réalisons un diagnostic de vos garanties, sans engagement.
Cet article a une vocation d’information générale. Il ne remplace pas l’analyse de votre situation ni les termes de vos contrats.
