Cybersécurité en santé : la formation, un levier essentiel face aux cyberattaques
Un article rédigé par le Cepia Consulting, Vincent OSCAR et Manon DEREMETZ.
Les cyberattaques ciblent toujours autant le secteur de la santé
L’actualité de 2026 en matière de cyberattaques et de fuites de données visant le secteur de la santé n’aura échappé à personne : celles-ci deviennent monnaie courante et, plus inquiétant encore, semblent n’épargner personne.
Dans son Panorama de la cybermenace de 2025[1], l’Agence nationale de la sécurité des systèmes d’information (ANSSI) rappelle que les incidents en matière de cybersécurité survenus dans le secteur de la santé ont compté pour 10 % du total des incidents signalés, portant ce nombre à 764 pour la seule année 2025[2].
Pour preuve, la violation de données ayant impacté la société Cegedim en 2025, révélée au grand public par France 2 à l’occasion de son émission « L’Œil du 20 heures » diffusée le 26 février 2026, aura eu pour effet de faire souffler un vent de panique auprès de certains professionnels de santé, s’estimant démunis face au risque cyber pouvant peser sur leurs propres structures mais également, comme l’a illustré cette affaire, sur leurs prestataires externe, en charge du traitement des données personnelles de leurs patients et dont l’activité et le niveau réel de sécurité restent bien souvent difficiles à contrôler.
Au-delà du spectre de la mise en cause de la responsabilité juridique de ces structures, et de celui des éventuelles sanctions administratives que la CNIL a pu d’ores et déjà prononcer à l’encontre de certains professionnels de santé[3], le risque cyber agit comme une épée de Damoclès pesant sans distinction sur chaque professionnel, alors même que ceux-ci ne disposent pas nécessairement des connaissances techniques suffisantes permettant d’identifier celui-ci, ni des moyens humains, matériels et financiers nécessaires à sa réduction.
Des moyens opérationnels et financiers insuffisants pour permettre aux structures de santé de se protéger efficacement
Les professionnels de santé d’aujourd’hui et leurs établissements de santé, mais plus encore ceux de demain, se retrouvent ainsi pris en étau entre, d’une part, un contexte économique et budgétaire très peu propice aux investissements structurels au sein des établissements privés et aux augmentations des budgets publics en matière de sécurité informatique et juridique et, d’autre part, une augmentation des obligations légales et des impératifs de sécurité pesant sur ces structures, nécessaires à l’atténuation de la menace cyber à l’échelle nationale et à la protection des droits et libertés des patients.
Cette complexification des obligations issues du droit de la protection des données à caractère personnel et des systèmes d’information appliqué à la santé a récemment été illustrée par l’évolution de la directive NIS du Parlement européen et du Conseil, dont le retard de transposition en droit français de sa seconde itération[1]pourrait valoir à la France une condamnation par la Cour de justice de l’Union européenne[2], mais également par l’adoption récente d’une nouvelle version du référentiel HDS (V2.1)[3] visant notamment à renforcer la sécurisation des flux de données de santé, et à limiter les transferts transfrontaliers de celles-ci, hors pays membres de l’Union européenne et de l’Espace économique européen.
Face à une frilosité conjoncturelle des marchés et à des budgets publics resserrés que les acteurs du secteur préfèreraient, d’une manière parfaitement compréhensible, voir alloués au soutien direct d’un système de soins sous pression, les leviers d’action permettant de pallier à la crise cyber impactant dès aujourd’hui l’écosystème de la santé, et à celles à venir que les technologies émergentes seront susceptibles d’amplifier[4], semblent bien limités.
Le développement des compétences numériques en santé comme principal moyen d’abaissement du risque cyber
Pourtant, et la BPI (Banque Publique d’Investissement) le rappelle bien[1], la majeure partie des cyberattaques ayant conduit à la compromission d’un système d’information reste aujourd’hui issue d’une mauvaise gestion des identités, ou de mises à jour tardives.
En d’autres termes, d’une erreur humaine ou opérationnelle ayant été l’élément unique, ou à tout le moins un élément déterminant, de la chaîne de causalité ayant abouti à une violation de données, particulièrement concernant les attaques par ransomwares, ou rançongiciels.
La formation des professionnels de santé, mais aussi et surtout de leurs équipes supports apparaît donc tout à la fois comme un moyen d’action particulièrement efficace en vue d’abaisser le risque cyber, mais également comme une mesure de sécurité à part entière permettant aux structures de santé de mieux appréhender les questions de gestion et de sécurisation des traitements de données de santé de leurs patients.
Permettre aux différents professionnels impliqués tout au long du processus de prise en charge du patient de développer leurs compétences numériques en santé, aboutirait ainsi à augmenter le niveau de contrôle de ces professionnels sur les flux de données de leurs patients, dans l’intérêt des droits et libertés de ceux-ci, mais également dans l’intérêt du professionnel lui-même. En choisissant une formation pluridisciplinaire spécialisée et adaptée aux particularités du secteur de la santé, les professionnels seraient donc mieux à même de comprendre l’environnement numérique dans lequel ils évoluent et pourraient aborder les questions de sécurisation des données de leurs patients avec, espérons-le, un peu plus de sérénité.
[1] Voir en ce sens : https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025/
[2] Comme le rappelle la BPI : https://bigmedia.bpifrance.fr/nos-dossiers/cybersecurite-en-sante-ou-en-sommes-nous
[3] Voir en ce sens les délibérations suivantes de la CNIL : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042676787 et https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042675720
[4] La Directive (UE) 2022/2555, ou NIS 2 disponible ici : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32022L2555
[5] Au même titre que l’Irlande, l’Espagne et les Pays-Bas, voir en ce sens le communiqué de presse de la Commission européenne du 8 juillet 2026 : https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1499
[6] La version post-consultation de ce référentiel est disponible sur le site de l’ANS : https://esante.gouv.fr/sites/default/files/media/document/R%C3%A9f%C3%A9rentiel_certification_HDS%20-%20FR%20-%20V2.1%20-%20post%20concertation.pdf
[7] La relative simplicité d’utilisation des systèmes d’intelligence artificielle, leur autonomie d’action ainsi que leur force de frappe en matière cyber pourrait laisser à penser que leur implication dans les futures violations de données deviendra centrale au cours des années à venir, voir en ce sens : https://www.franceinfo.fr/internet/intelligence-artificielle/en-australie-l-ia-pirate-d-elle-meme-le-site-national-des-services-de-sante_8207708.html
[8] 70% des violations issues de rançongiciels découlent, directement ou indirectement d’une mauvaise gestion des identités numériques ou de mises à jour tardives des logiciels utilisés, voir en ce sens l’article de la BPI suivant : https://bigmedia.bpifrance.fr/nos-dossiers/cybersecurite-en-sante-ou-en-sommes-nous
📞 Pour toute question à propos du DU Compétences numériques en santé, contactez : Laurence KOSTYRA | Coordinatrice formations