Vol de données aux Hospices civils de Lyon cet été, attaque contre le logiciel Cegedim Santé compromettant les informations administratives de quinze millions de patients en fin d’année dernière… La santé est le troisième secteur le plus ciblé par les cybermenaces. Le sujet est souvent envisagé uniquement sous son angle technique. Pourtant, dans les faits, les crises les plus graves révèlent surtout une question de gouvernance, d’organisation et de communication. L’anticipation et les outils tels que le Plan de continuité de l’activité et la cellule de crise aident les directions à traverser la tempête.
Par Antoine Boutignon, conseiller en communication de crise et sensible, et Mabrouk Zouareg, conseiller en gouvernance stratégique, ZDB Conseil
NIS 2, Network and Information Security 2
pour les établissements de santé employant plus de 50 salariés, cette directive fait désormais de la cybersécurité un sujet de pilotage obligé. Formation des directions aux enjeux de cybersécurité, analyse des risques, gestion des incidents, continuité des soins, sécurité des accès et des données, contrôle des prestataires de la chaîne informatique et formation figurent parmi les mesures qui devront désormais être documentées, pilotées et régulièrement revues.
Si la directive NIS 2 ne concerne pas que les établissements de santé, ceux-ci sont néanmoins particulièrement concernés. Dans son Panorama de la cybermenace 2025, l’ANSSI classe la santé parmi les quatre secteurs concentrant 76 % des incidents signalés et précise que 10 % des victimes de rançongiciels sont des établissements de santé. L’Observatoire de l’Agence du numérique en santé recense de son côté 764 incidents déclarés en 2025, dont deux majeurs.
Quel est l’impact de cette piraterie numérique ? Après avoir rencontré des établissements victimes, la Cour des comptes estimait l’an dernier le coût maximal d’une cyberattaque à 10 M€ (gestion de crise et remédiation), auxquels peuvent s’ajouter jusqu’à 20 M€ de coûts d’exploitation. C’est sans compter les autres coûts, les autres risques. Quand le système d’information tombe, ce ne sont pas seulement des serveurs qui s’arrêtent. Ce sont des rendez-vous qui ne peuvent plus être pris, des dossiers devenus inaccessibles, des interventions reportées, des équipes désorganisées, des patients inquiets. Et, après la crise, une réputation qui peut être durablement entachée. C’est pourquoi les cybermenaces ne peuvent être réduites à une question technique.
Le cas de Dax
La cyberattaque qui a touché le Centre hospitalier de Dax en février 2021 reste un cas d’école. En quelques heures, le système d’information a été rendu indisponible par un rançongiciel. Les équipes ont dû revenir au papier et au stylo, reporter les actes non urgents, transférer certains patients et réorganiser les circuits de soins.
Le retour à la normale a pris du temps. Plusieurs semaines, parfois plusieurs mois selon les activités.
Ce retour d’expérience montre une chose simple. La continuité des soins dépend d’abord de la capacité de l’établissement à décider vite, à coordonner ses équipes, à communiquer clairement et à tenir dans la durée en mode dégradé.
La cyberattaque, une crise systémique
Dans un établissement de santé, le numérique irrigue l’ensemble des activités. Admissions, prescriptions, dossiers patients, laboratoires, imagerie, logistique, facturation. Une cyberattaque peut donc produire un effet domino sur plusieurs fonctions critiques. La question devient alors très concrète : comment continuer à soigner quand les outils numériques ne sont plus disponibles ?
C’est là que la continuité d’activité prend toute sa place. Longtemps perçue comme un sujet technique, elle s’impose aujourd’hui comme un élément central de la résilience des organisations publiques.
L’indispensable Plan de continuité d’activité
Le Plan de continuité d’activité (PCA) vise à maintenir les missions essentielles malgré une forte dégradation du fonctionnement. Dans le secteur hospitalier, il ne s’agit pas seulement de préserver l’administration. Il s’agit de garantir la continuité des soins, la sécurité des patients et la capacité de décision des équipes.
Un PCA utile doit permettre de répondre à quelques questions simples :
- Quelles activités doivent être maintenues en priorité ?
- Quelles procédures dégradées peuvent être mises en place ?
- Qui décide ?
- Comment informer rapidement les professionnels ?
- Comment parler aux patients, aux familles et aux partenaires ?
- Comment revenir à la normale ?
La qualité des réponses conditionne directement la capacité de l’établissement à traverser la crise.
La communication fait partie du dispositif de crise
Dans une crise, l’information est une ressource. Quand elle manque, les rumeurs s’installent, les tensions montent, l’inquiétude gagne les usagers. Quand elle circule clairement, les équipes tiennent mieux et les partenaires comprennent la situation.
Trois publics demandent une attention particulière. Les professionnels d’abord, qui doivent connaître les procédures, les décisions et les évolutions. Souvent négligée, parce que semblant secondaire face aux demandes pressantes des médias, cette communication interne est, en temps de crise, primordiale pour contrôler la propagation de fausses informations. Le personnel hospitalier est le premier porte-parole et, en définitive, le premier garant de la réputation de l’établissement.
Deuxième cible de communication : les patients et leurs proches, qui veulent savoir si la prise en charge est assurée. Troisième cible enfin : les partenaires institutionnels et les médias qui doivent recevoir des informations cohérentes.
Sur ce point, la communication n’est pas un supplément. Elle fait partie du dispositif de crise. Particularité de notre pays, dans le cas d’une cyberattaque touchant un organe public, la communication externe est très encadrée par les services de l’État. Savoir ce que l’on peut dire, comment et à qui revient dans les faits le plus souvent à composer avec des impératifs de sécurité publique. Tout l’enjeu sera alors, pour les équipes de communication, de bien comprendre les espaces dans lesquels elles pourront faire circuler les informations. En somme, en dire le plus possible, dans les limites autorisées.
Une cellule de crise pour rassembler les parties prenantes
Une cyberattaque impose souvent la mise en place immédiate d’une cellule de crise. Son efficacité tient moins à sa taille qu’à la qualité des compétences réunies : direction générale, responsables médicaux, systèmes d’information, logistique, communication, partenaires concernés. Cette cellule doit analyser la situation, évaluer les impacts sur les soins, définir les priorités, coordonner les actions et organiser la communication interne et externe.
Le cas de Dax rappelle aussi l’importance d’associer rapidement les autorités compétentes, notamment l’ANSSI, l’ARS et les établissements partenaires, pour organiser les transferts de patients, sécuriser le système et préparer le retour progressif à la normale.
Cette gouvernance doit être préparée avant l’événement. Pas construite dans l’urgence.
La préparation en amont de la cellule, ses règles d’interventions, ses procédures, sa communication, sa manière d’opérer, c’est le rôle du conseil en gestion de crise. Mais le conseiller a également toute sa place dans l’accompagnement sur le terrain, le jour J, quand la crise éclate. Il devient alors un regard extérieur, une soupape de sécurité permettant d’éviter les œillères. Il n’a pas d’intérêt autre que celui de la direction de l’hôpital. C’est ce qui fait sa force et son utilité dans la tempête.
S’exercer pour anticiper ses vulnérabilités
Les organisations les plus solides ne sont pas celles qui disposent seulement des meilleurs outils. Ce sont celles qui ont préparé leurs procédures et testé leurs réflexes.
Les exercices de simulation permettent d’identifier les vulnérabilités, de vérifier les procédures et de renforcer la coordination entre les acteurs. Ils permettent aussi de tester la communication et d’habituer les décideurs à travailler avec des informations incomplètes et des délais courts.
La préparation d’un plan de communication de crise permettra de réduire les inconnues. D’apporter à la cellule un temps d’avance, une respiration bienvenue dans la préparation des messages lorsque la pression augmente.
Les cyberattaques rappellent enfin une réalité simple. Les risques contemporains ne séparent pas la technique, l’organisation et la communication. Dans un hôpital, la résilience repose sur l’ensemble.
La préparation n’empêche pas la crise. Elle permet d’en limiter les conséquences et d’accélérer le retour au fonctionnement normal. Dans le secteur hospitalier, cet enjeu touche directement la continuité du service public de santé et la sécurité des patients.
———————————————————————————————-