Cybersécurité : Vers une montée en compétence des établissements de santé grâce aux exercices de crise

C’est un fait : le secteur de la santé est particulièrement visé par les attaques informatiques, avec des conséquences potentiellement graves pour les patients. Pour les préparer au mieux à ces incidents, le gouvernement a lancé le programme « CaRE » (pour Cybersécurité accélération et Résilience des Établissements) en décembre 2023. C’est dans ce cadre qu’a été mis à disposition le premier kit d’exercice de crise cyber par l’Agence du numérique en santé (ANS).

2250 exercices de crise déjà réalisés

En 2023 et 2024, plus de 2250 exercices ont été réalisés, couvrant près de 80% des établissements. « Le but était de faire découvrir le sujet et sensibiliser« , a expliqué Silem Miled, expert en gestion de crise et continuité d’activité au sein du cabinet Crisalyde. Il faut désormais continuer la montée en compétences et maintenir les acquis, ajoute-t-il lors de la présentation de la nouvelle version du kit d’exercice de crise cyber, dont la rédaction lui a été confiée.

A la suite d’une phase pilote ayant mobilisé sept établissements, de nouveaux chronogrammes d’exercices de crise ont été publiés. Ils enrichissent le kit actuel et peuvent s’adapter à plusieurs types d’établissements : établissements MCO (séjours de courte durée), établissements de santé hors MCO (psy, hospitalisation à domicile) et soins de suite et de réadaptation.

Deux scénarios possibles

Dans le détail, le nouveau kit propose la possibilité de jouer plusieurs cellules : une cellule décisionnelle (plan blanc ou plan bleu), une cellule opérationnelle technique et une cellule stratégique. Le choix du nombre de cellules participantes permet de déterminer le niveau de difficulté du kit (débutant, intermédiaire ou confirmé). Deux types de scénarios sont proposés : l’indisponibilité du système d’information et l’atteinte à l’intégrité des données avec une probabilité forte d’altération.

Lors du paramétrage de l’exercice, les établissements doivent choisir des compétences parmi cinq thématiques clés : gouvernance et organisation de crise, continuité d’activité, sécurité et résilience technique, cybersécurité et réponse à incident et communication et coordination.

Se préparer à l’entrée en vigueur de NIS 2

Cette nouvelle version devrait aider les établissements à se mettre en conformité avec leur nouvelle obligation de réaliser chaque année un exercice de crise cyber, en vertu d’une instruction publiée au bulletin officiel le 17 février dernier. A noter que cette action s’inscrit dans la continuité de la mise en œuvre de la directive NIS 1 et dans la perspective de l’entrée en vigueur de la directive NIS 2, qui s’appliquera à la grande majorité des établissements de santé.