Cybersécurité santé : obligations et bons réflexes des soignants

Une messagerie bloquée un lundi matin, un logiciel de cabinet inaccessible, des dossiers patients chiffrés par un rançongiciel : la cybersécurité santé n’est plus réservée aux grands hôpitaux. Les obligations, elles, diffèrent selon que vous exercez en établissement ou en libéral.

Cet article fait le point pour les professionnels : qui doit déclarer un incident et à qui, ce que la CNIL attend d’un cabinet, quelles ressources gratuites existent et ce que prépare l’Europe. Pour la version patient d’une attaque, voir notre article sur la cyberattaque à l’hôpital.

Pourquoi la cybersécurité santé concerne-t-elle tous les soignants ?

Parce que les données de santé ont de la valeur et que les attaques sont souvent opportunistes. Selon l’Agence du numérique en santé (ANS), 764 incidents de sécurité ont été déclarés en 2025, avec une hausse de 22 % des incidents d’origine malveillante entre 2024 et 2025. Dans 38 % des cas, l’incident a conduit à un fonctionnement en mode dégradé ou à une interruption de la prise en charge des patients.

Ces chiffres ne comptent que les incidents déclarés, en majorité par des établissements. Les cabinets ne sont pas tenus de déclarer au CERT Santé, ce qui ne veut pas dire qu’ils sont épargnés. Un poste de travail piraté expose les dossiers de vos patients de la même façon, avec souvent moins de moyens pour réagir.

Quelles obligations selon votre structure ?

Elles tiennent à deux textes qui ne se recoupent qu’en partie : l’obligation de signaler les incidents de sécurité des systèmes d’information (article L.1111-8-2 du code de la santé publique) et le RGPD, qui vaut pour tous.

Structure	Signaler un incident grave	Autres obligations
Établissement de santé, hôpital des armées, centre de radiothérapie, laboratoire de biologie médicale	Obligatoire, sans délai, auprès du CERT Santé de l’ANS	Pour les établissements de santé : exercices de crise cyber et actions urgentes ou prioritaires (instruction du 22 janvier 2025)
Établissement ou service médico-social	Obligatoire, même procédure, via le portail des signalements	Notification CNIL en cas de violation de données
Cabinet libéral, officine	Non cité dans la liste du portail Cyberveille de l’ANS	Sécurité des données et notification CNIL sous 72 h en cas de violation à risque

Un incident est « grave » lorsqu’il a des conséquences, potentielles ou avérées, sur la sécurité des soins, sur l’intégrité ou la confidentialité des données de santé, ou sur le fonctionnement normal de l’établissement. Selon la qualité de la structure et la nature de l’incident, des déclarations complémentaires peuvent s’ajouter auprès de l’ANSSI, de la CNIL et de la police ou de la gendarmerie, précise l’ANS.

Autre point commun à tous : si vous confiez la conservation des données de vos patients à un tiers (logiciel en ligne, sauvegarde externalisée), cet hébergeur doit être certifié HDS. Notre article sur la certification HDS explique comment le vérifier.

Que faire en cas d’incident ?

Les démarches ci-dessous se suivent, mais plusieurs se mènent en parallèle si vous n’êtes pas seul :

1. Alerter. Un établissement peut joindre le CERT Santé, par téléphone au 09 72 43 91 25, 24 heures sur 24 en cas d’urgence. Un cabinet ou une officine peut demander l’assistance de 17Cyber, le dispositif national de Cybermalveillance.gouv.fr.
2. Déclarer. Pour les structures concernées, le formulaire se remplit sur le portail des signalements, avec les informations disponibles au moment du constat : périmètre, date, systèmes touchés, impact.
3. Notifier la CNIL. Si des données personnelles sont touchées avec un risque pour les personnes, la notification se fait au plus tôt et dans un délai maximal de 72 heures.
4. Informer les patients. En cas de risque élevé pour leurs droits, les personnes concernées doivent être prévenues au plus tôt.
5. Garder une trace. Toute violation, même sans risque, se consigne dans un registre interne.

Ces règles viennent de la CNIL. Elle précise que toutes les violations ne doivent pas être notifiées : tout dépend du niveau de risque pour les personnes. Les données de santé étant sensibles, l’évaluation du risque se fait avec prudence. La CNIL propose un téléservice pour notifier une violation en ligne.

Quels bons réflexes pour un cabinet, une officine ou un centre de soins ?

L’ANS a publié un mémento de sécurité informatique pour les professionnels en exercice libéral. Il rassemble des règles d’hygiène informatique qui ne demandent pas de connaissance technique approfondie et qui, appliquées de façon régulière, protègent contre la majorité des attaques courantes. Il s’accompagne d’une fiche réflexe en cas d’incident et de questionnaires à faire remplir par vos fournisseurs. Vous le trouverez sur la page de l’ANS.

Le guide de bonnes pratiques adapté aux médecins libéraux, élaboré par la Délégation au numérique en santé et l’ANS, résume l’essentiel en neuf points :

• protéger les données des patients ;
• utiliser la CPS ou l’e-CPS comme moyen de connexion sécurisé ;
• choisir des mots de passe solides ;
• encadrer l’envoi de données de patients par courriel ;
• mettre à jour le système et les logiciels ;
• se méfier des clés USB offertes ;
• sauvegarder les données ;
• séparer usages professionnels et personnels ;
• sécuriser le réseau wifi.

Ces règles d’hygiène valent bien au-delà des seuls médecins. Pour la tournée, le déplacement ou le téléphone personnel, notre guide pour sécuriser les données patients en tournée les décline au quotidien. Et si votre cabinet utilise des appareils connectés, lisez aussi les règles sur la cybersécurité des dispositifs médicaux.

Quelles aides les établissements peuvent-ils solliciter ?

Pour les établissements de santé et médico-sociaux, l’ANS pilote le programme CaRE (cybersécurité, accélération et résilience des établissements). Il comprend un catalogue d’offres cyber, des financements ponctuels par appels à financements et des financements annuels destinés à maintenir le « socle cyber ».

Le CERT Santé, service de réponse à incident de l’ANS, accompagne les structures confrontées à un incident majeur ayant contraint à un fonctionnement dégradé, joignable 24 heures sur 24 par téléphone. Il tient aussi le portail Cyberveille, qui publie des alertes sur les vulnérabilités critiques, des fiches réflexes et des actualités de sécurité. Le cadre de référence reste la PGSSI-S, la politique générale de sécurité des systèmes d’information de santé.

Que change la directive européenne NIS 2 pour la cybersécurité santé ?

La directive NIS 2 élargit les secteurs et les entités soumis à des obligations de cybersécurité en Europe, dont le secteur de la santé. Sa transposition française n’est pas achevée : le texte qui doit la porter, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, est toujours présenté comme un projet par l’ANSSI.

Depuis le 17 mars 2026, l’agence met à disposition un référentiel, le ReCyF, qui liste les mesures qu’elle recommande pour atteindre les objectifs de NIS 2. Non obligatoire par défaut, il permettra aux futures entités concernées de s’en prévaloir en cas de contrôle. Les établissements peuvent déjà s’en servir comme guide.

Questions fréquentes sur la cybersécurité en santé

Un cabinet libéral doit-il déclarer une cyberattaque au CERT Santé ?

L’obligation de signalement s’applique aux établissements de santé, hôpitaux des armées, centres de radiothérapie, laboratoires de biologie médicale et établissements médico-sociaux. Un cabinet n’y figure pas, mais reste soumis au RGPD : une violation de données à risque se notifie à la CNIL sous 72 heures.

Qui joindre en priorité en cas d’attaque ?

Un établissement appelle le CERT Santé. Un cabinet ou une officine peut passer par 17Cyber, l’assistance nationale, qui oriente vers un prestataire local au besoin. Dans tous les cas, prévenez la personne en charge de votre informatique.

Faut-il informer les patients après une fuite de données ?

Oui, quand la violation entraîne un risque élevé pour leurs droits et libertés, d’après la CNIL. Elle prévoit des exceptions, par exemple quand les données étaient chiffrées de façon à être incompréhensibles, ou quand le risque n’est plus susceptible de se matérialiser.

Où trouver une fiche réflexe à imprimer ?

Le mémento de l’ANS pour les professionnels libéraux en comprend une, ainsi que des questionnaires à faire remplir par vos fournisseurs. Le portail Cyberveille propose aussi des fiches pour qualifier et limiter certains incidents, comme un hameçonnage ou un chiffrement en cours.