7/3/2026 • 7 min de lecture
La santé figure depuis plusieurs années parmi les secteurs les plus exposés aux fuites de données en France. Malgré les nombreuses initiatives mises en œuvre, l'évolution constante des cybermenaces souligne la nécessité de maintenir et d'adapter en permanence les dispositifs de cybersécurité. Les établissements continuent d'être confrontés à des attaques aux conséquences parfois majeures sur leur activité et, dans certains cas, sur la prise en charge des patients.
Ce constat ne traduit pas un manque de sensibilisation des acteurs. Les responsables de la sécurité des systèmes d'information hospitaliers connaissent parfaitement les risques auxquels ils sont confrontés. En revanche, il met en évidence une difficulté plus profonde : concilier les impératifs de continuité des soins, la modernisation d'infrastructures souvent anciennes, des ressources humaines limitées et des exigences réglementaires toujours plus nombreuses.
C'est dans ce contexte que se développent des projets collaboratifs associant acteurs publics, établissements de santé et industriels afin d'expérimenter de nouvelles approches de cybersécurité.
En 2025, le secteur de la santé représente près de 10 % des incidents traités par l'ANSSI, ce qui en fait le troisième secteur le plus touché derrière les collectivités territoriales et l'éducation. Il demeure toutefois le secteur où le coût moyen d'une violation de données est le plus élevé (IBM, 2025). Les campagnes de ransomware y demeurent particulièrement présentes et la tendance reste orientée à la hausse.
Cette situation n'est malheureusement pas nouvelle. Depuis 2020, la part des incidents concernant les établissements de santé a fortement progressé, malgré la multiplication des plans d'action et des initiatives publiques.
L'une des raisons tient à la valeur des données médicales. Contrairement à une carte bancaire, rapidement désactivée après une fraude, un dossier patient conserve une valeur durable. Il peut contenir des informations administratives, médicales et personnelles exploitables pendant plusieurs années, ce qui en fait une cible particulièrement attractive pour les cybercriminels.
Les organisations de santé ne sont plus exposées uniquement à leurs propres vulnérabilités, mais également à celles de l'ensemble de leur chaîne de sous-traitance. Les deux compromissions successives de Cerballiance, impliquant deux prestataires différents, illustrent cette réalité et montrent que la sécurisation de l'écosystème des fournisseurs demeure un défi majeur.
Cette regrettable attractivité est renforcée par les conséquences opérationnelles qu'une cyberattaque peut avoir sur un établissement de santé. Une indisponibilité du système d'information peut rapidement perturber la prise en charge des patients : reports d'interventions, accès limité aux dossiers médicaux, réorganisation des services ou transferts vers d'autres établissements. Selon l'Agence du Numérique en Santé, plus d'un tiers des incidents cyber déclarés dans le secteur ont un impact direct sur les soins. Cette pression opérationnelle accroît mécaniquement le pouvoir de négociation des attaquants.
À retenir : Les établissements de santé constituent des cibles privilégiées en raison de la forte valeur de leurs données. La protection doit porter autant sur les systèmes internes que sur l'ensemble de l'écosystème numérique.
Les cyberattaques occupent naturellement une place importante dans l'actualité. Pourtant, les erreurs internes continuent de représenter une part significative des violations de données.
Près de 20 % des violations déclarées en 2024 trouvent leur origine dans une erreur humaine (CNIL). Depuis l'entrée en application du RGPD, le secteur de la santé représente par ailleurs 12 % de l'ensemble des notifications adressées à l'autorité.
Si ces incidents ne bénéficient pas de la même visibilité qu'un ransomware paralysant un établissement, ils n'en sont pas moins préoccupants. Une mauvaise attribution de droits, un compte qui n'est jamais désactivé après un départ ou des habilitations inadaptées peuvent exposer durablement des données sensibles sans provoquer d'alerte immédiate.
Cette exposition est également renforcée par les réalités du quotidien dans les établissements de santé. Le rythme de travail, marqué par l'urgence et la nécessité d'assurer en permanence la continuité des soins, conduit parfois les professionnels à privilégier l'efficacité immédiate au détriment des bonnes pratiques de cybersécurité.
Les établissements de santé font face à des contraintes techniques importantes. Les applications doivent être disponibles en permanence, les équipements biomédicaux sont souvent exploités pendant de nombreuses années et les systèmes d'information doivent communiquer en continu avec un large écosystème de partenaires.
Ces contraintes expliquent en partie la présence prolongée de systèmes anciens. En 2022, près de 60 % des hôpitaux utilisaient encore des postes fonctionnant sous Windows 7.
Ces chiffres ne doivent toutefois pas conduire à considérer toutes les difficultés comme inévitables. Certaines relèvent effectivement des spécificités du secteur de la santé et nécessitent des compromis. D'autres traduisent des arbitrages rendus difficiles par des années de sous-investissement, des projets de modernisation repoussés ou des contraintes budgétaires persistantes.
Le secteur de la santé évolue dans un environnement réglementaire de plus en plus exigeant. Entre le RGPD, la directive NIS 2, les référentiels de l'Agence du Numérique en Santé, le programme CaRE ou encore les recommandations de l'ANSSI, les établissements doivent répondre à des obligations toujours plus nombreuses.
Si ces cadres ont permis d'élever progressivement le niveau de maturité en cybersécurité, leur mise en œuvre reste complexe. Dans de nombreux établissements, des équipes sécurité limitées doivent simultanément assurer la conformité réglementaire, accompagner les projets métiers, gérer les incidents, sensibiliser les utilisateurs et piloter les audits.
Au-delà de la conformité, la protection des données de santé soulève également un enjeu de souveraineté numérique. Le recours croissant aux services cloud conduit les établissements à s'interroger sur la maîtrise réelle de leurs données. Les législations extraterritoriales, comme le Cloud Act américain, interrogent la capacité des organisations européennes à conserver un contrôle effectif sur leurs informations sensibles.
À retenir : La protection des données de santé ne repose pas uniquement sur le respect des obligations réglementaires. Elle suppose également de disposer des ressources nécessaires et de faire des choix technologiques permettant de préserver durablement la maîtrise des données et des infrastructures critiques.
Les principes fondamentaux de la cybersécurité sont aujourd'hui largement établis : sécuriser et tracer les accès, maîtriser les identités, contrôler les prestataires ou encore moderniser les infrastructures. Toutefois, face à l'évolution des menaces, la protection ne peut plus reposer uniquement sur le renforcement du périmètre du système d'information. Elle doit également s'attacher à protéger les données elles-mêmes, y compris lorsqu'une compromission est survenue.
C'est dans cette logique que s'inscrit le projet BALISE, porté par le GCS e-Santé Bretagne, lauréat de l'appel à manifestation d'intérêt national « Sécuriser les territoires » dans le cadre de France 2030.
Son ambition est de développer un démonstrateur de cybersécurité fondé sur le marquage des données de santé afin de mieux les protéger, d'améliorer leur traçabilité, de détecter les fuites potentielles, de les bloquer avant leur sortie du système d'information lorsque cela est possible, et d'en faciliter le repérage en cas de diffusion.
Le projet repose sur un changement de paradigme en plaçant la donnée au cœur de la stratégie de cybersécurité plutôt que de se limiter à la protection des infrastructures.
Dans ce cadre, DASPREN contribue au projet BALISE en apportant son expertise sur l'identification des données sensibles et les mécanismes de protection contre les fuites de données. Aux côtés des autres partenaires, l'entreprise participe au développement d'une solution souveraine adaptée aux contraintes des établissements de santé, conciliant innovation, traçabilité et résilience.
Les difficultés rencontrées par le secteur de la santé en matière de cybersécurité ne s'expliquent ni par un manque de sensibilisation, ni par une absence de réglementation.
Elles résultent principalement de la convergence de plusieurs facteurs : des infrastructures complexes, des ressources humaines limitées, un environnement réglementaire exigeant et des arbitrages permanents entre sécurité et continuité des soins.
Face à des attaquants dont les méthodes évoluent rapidement, la réponse ne peut plus se limiter à l'ajout de nouvelles obligations ou de nouveaux outils. Elle passe par une cybersécurité pensée comme un enjeu stratégique à l'échelle de l'ensemble de l'établissement.
La protection des données de santé est aujourd'hui indissociable de la protection des patients. À ce titre, elle ne peut plus être considérée comme un simple sujet informatique mais constitue désormais une composante essentielle de la résilience du système de santé.
