ANSSI, CERT Santé, ARS : Réforme cyber de l’État

Trois vols de données par jour en moyenne sur les sites de l’État. Face à ce constat, Matignon annonce une réforme du pilotage numérique de l’État. Pourtant, la cybersécurité des hôpitaux suit déjà sa propre feuille de route, avec 120 millions d’euros engagés via le programme CaRE. Pour les DSI hospitaliers, la question n’est donc plus de savoir si le paysage cyber va bouger. Il s’agit plutôt de savoir comment continuer à travailler pendant qu’il se transforme. En effet, savoir qui fait quoi conditionne directement la capacité à résister à une attaque.

Le 30 avril 2026, Sébastien Lecornu se rend à l’ANTS, qui vient de subir une fuite massive. Il y annonce un plan d’action pour la protection numérique de l’État, avec 200 millions d’euros et une nouvelle « autorité numérique de l’État ». Deux semaines plus tard, Vincent Strubel, directeur général de l’ANSSI, dément toutefois toute remise en cause des missions de l’agence lors de son audition devant la commission de la défense de l’Assemblée nationale. Par conséquent, une question reste ouverte pour le DSI qui prépare ses échéances CaRE et NIS 2 : qu’est-ce qui change vraiment pour lui ?

Paru initialement dans la rubrique Tribune & Actu de DSIH, le 16 juin 2026. Lire l’article d’origine sur dsih.fr.

Ce que la réforme de l’État change (ou pas) pour les hôpitaux

La réforme vise d’abord le pilotage numérique de l’État. Elle porte ainsi sur la standardisation des infrastructures interministérielles et la mutualisation des socles techniques. Concrètement, la DINUM et la DITP fusionnent pour former cette nouvelle autorité.

En revanche, l’ANSSI garde son rôle régalien, fixé par le décret du 7 juillet 2009. Elle conserve donc la doctrine, les qualifications et la supervision des opérateurs d’importance vitale. De même, elle continue d’opérer le CERT-FR et de gérer les crises cyber majeures.

Pour un DSI hospitalier, cette distinction compte. En effet, sa chaîne réglementaire relève d’une organisation propre au secteur de la santé. Elle comprend notamment la désignation OSE des CHU, NIS 2, le programme CaRE et la certification HAS. Or, rien de tout cela n’entre dans la fusion DINUM/DITP. Autrement dit, la réforme modifie le pilotage de l’État, mais pas la cybersécurité des hôpitaux au quotidien. Cela reste essentiel, car en pleine crise, la clarté de la chaîne fait la qualité de la réponse.

Comment s’organise la cybersécurité des hôpitaux en France

Quand un établissement de santé subit une attaque, trois niveaux interviennent. Chacun joue un rôle distinct, mais tous travaillent ensemble.

L’ANSSI, le régulateur national

D’abord, l’agence fixe les exigences, qualifie les solutions et supervise les opérateurs essentiels. Ensuite, le CERT-FR assure la veille et l’appui lors des incidents majeurs. Pour les CHU et les établissements support de GHT désignés OSE, déclarer un incident significatif est obligatoire. Dans ce cas, l’établissement peut solliciter directement l’ANSSI au 3218 ou via cert-fr@ssi.gouv.fr. Le CERT-FR détaille d’ailleurs les bons réflexes en cas d’intrusion. En février 2026, Vincent Strubel résumait la tendance d’une phrase : « Les hôpitaux réagissent mieux face aux cyberattaques. »

Le CERT Santé, la porte d’entrée du secteur

Le CERT Santé est né en 2021 du renommage de l’ancienne cellule ACSS. Il fait aussi partie de l’InterCERT-FR. L’Agence du numérique en santé (ANS) le porte sous une double tutelle. Ainsi, les ministères sociaux fixent sa stratégie, tandis que la direction de l’ANS gère son fonctionnement. Sa mission combine l’appui aux incidents, la cybersurveillance des accès Internet et VPN des établissements, ainsi que la sensibilisation.

Les chiffres montrent une vraie dynamique. Selon l’observatoire des signalements d’incidents de l’ANS, les établissements ont déclaré 749 incidents en 2024, contre 581 en 2023. Environ la moitié avait une origine malveillante. Par ailleurs, les infostealers et le vol d’identifiants progressent nettement.

Cependant, une autre donnée rassure. La part des signalements qui débouchent sur une demande d’appui formelle baisse, autour de 22 % en 2024. Les établissements gagnent donc en autonomie. Le CERT Santé assure une permanence 24 h/24 et 7 j/7 au 09 72 43 91 25. Enfin, il coopère avec l’ANSSI pour les établissements OSE et redirige vers le CERT-FR en cas de saturation.

Les ARS et les GRADeS, le relais en région

Les 18 Agences régionales de santé appliquent la politique du ministère. Elles instruisent aussi les candidatures CaRE et organisent la réponse aux incidents sur leur territoire. À leurs côtés, les GRADeS (Groupements régionaux d’appui au développement de l’e-santé) jouent le rôle de bras technique. Ils prennent le plus souvent la forme d’un GCS ou d’un GIP. De plus, ils hébergent les Centres de ressources régionaux cybersécurité (CRRC), créés grâce à l’axe 2 du programme CaRE.

Le Fonds d’intervention régional finance l’essentiel de ces actions. En 2024, il a ainsi consacré 26 millions d’euros aux actions cyber régionales. C’est donc à ce niveau que la doctrine nationale devient une pratique de terrain.

Programme CaRE : quels résultats pour la cybersécurité des hôpitaux ?

Le programme CaRE démarre fin 2023. En février 2026, il a déjà engagé 120 millions d’euros, sur une enveloppe totale de 750 millions d’ici 2027. L’ANS publie d’ailleurs le calendrier de ses différents domaines.

Le domaine 1 se clôture en juin 2025. À cette date, plus de 1 000 candidats déclarent avoir atteint les objectifs. Ensuite, le domaine 2, consacré à la continuité d’activité, démarre en juillet 2025. Il rassemble 1 167 candidats pour 42,7 millions d’euros engagés. En outre, les hôpitaux français ont mené plus de 1 800 exercices de crise cyber en deux ans.

Le résultat est clair. D’après le Panorama de la cybermenace 2024 de l’ANSSI, la part des hôpitaux parmi les cibles de rançongiciels passe de 11 % en 2023 à 4 % en 2024. La cybersécurité des hôpitaux progresse donc de façon mesurable, même si ces efforts restent à consolider.

[IMAGE 2] Texte alternatif : programme CaRE et cybersécurité des hôpitaux, chiffres clés 2023-2026 Légende : Les chiffres clés du programme CaRE. Visuel : réalisé sur Canva par Solène Vriet. Image de fond via Licence de contenu gratuite Canva.

Cyberattaque à l’hôpital : qui appeler ?

À 3 heures du matin, il faut savoir vers qui se tourner. Voici donc la carte des interlocuteurs, du national au local.

Les quatre premiers niveaux interviennent dans la gestion de la crise elle-même. En parallèle, la notification à la CNIL devient obligatoire dès qu’une violation de données personnelles est avérée. Pour aller plus loin, consultez notre article sur [lien interne à insérer : article du site sur NIS 2 ou la gestion de crise cyber].

L’avis de l’APSSIS sur la gestion de crise

L’Association pour la promotion de la sécurité des systèmes d’information de santé (APSSIS) rassemble les RSSI et référents SSI du secteur. Vincent Trély l’a fondée. Certes, elle n’a aucun pouvoir d’autorité. Toutefois, elle joue un rôle clé, car elle traduit les exigences de l’ANSSI dans la réalité hospitalière. Elle forme aussi la filière et publie des guides pratiques. Son congrès national se tient chaque année au Mans. D’ailleurs, la 14ᵉ édition du CNSSIS aura lieu les 23, 24 et 25 juin 2026.

« Il me semble que les chaînes opérationnelles sont maintenant bien stabilisées. En situation de crise, plusieurs processus sont lancés en parallèle : la déclaration de l’incident auprès du CERT Santé, qui déclenche une alerte à l’ARS ; la déclaration à l’ANSSI dès que l’établissement est entité essentielle au sens de NIS 2 ; et, si l’incident inclut une atteinte aux données personnelles, une déclaration à la CNIL. Ce processus est clair, même s’il est lourd et que l’interopérabilité des plates-formes de déclaration est souhaitée. Les guides de gestion de crise produits par l’ANS et l’ANSSI, et plus de 1 800 exercices de crise cyber au sein des hôpitaux depuis deux ans, ont permis d’installer une routine. Le rôle du RSSI ? Facile : piloter la cellule opérationnelle et rendre compte à la cellule stratégique. »

Vincent Trély, fondateur de l’APSSIS

Trois chantiers à venir pour les DSI hospitaliers

Le dispositif fonctionne. Néanmoins, la réforme ne règle pas tout. Ainsi, trois échéances attendent les DSI dans les 12 à 18 prochains mois.

Juin 2026 : les bilans d’impact sur l’activité

Le programme CaRE impose d’abord aux établissements des Bilans d’impact sur l’activité (BIA). Ils concernent tous les services critiques, comme les urgences, la chirurgie, la pharmacie, l’imagerie ou le laboratoire. L’échéance tombe fin juin 2026. Ensuite, l’obligation s’étendra aux autres services fin juin 2027. Par ailleurs, chaque établissement devait désigner son référent PCRA dès le premier semestre 2025. Pour les retardataires, le délai est donc très court.

Télémaintenance : le risque des accès fournisseurs

En 2026, le domaine 3 du programme CaRE s’ouvre à son tour. Il cible la sécurisation des accès à distance, qu’il s’agisse de la télémaintenance des fournisseurs ou des connexions du personnel. Or, ce chantier est sensible. En effet, les accès laissés ouverts par les éditeurs et intégrateurs restent l’une des principales portes d’entrée des attaquants. De plus, le partage des responsabilités entre établissement, intégrateur et éditeur reste juridiquement flou.

NIS 2 : un périmètre élargi aux GHT

Enfin, la transposition de NIS 2 en France élargit nettement le nombre d’entités soumises à des obligations cyber. Elle touche notamment les GHT, les fournisseurs critiques, les prestataires de services managés et les hébergeurs. Cependant, les GHT n’ont pas de personnalité morale propre. Ils devront donc concilier la mutualisation de leur SI avec une supervision cyber commune. La Cour des comptes souligne d’ailleurs ce défi de gouvernance dans son rapport de janvier 2025 sur la sécurité informatique des établissements de santé.

Conclusion : la clarté des rôles, première protection de l’hôpital

Dans un paysage qui bouge, la première protection consiste à savoir qui appeler à trois heures du matin. Les annonces d’avril et mai 2026 l’ont d’ailleurs rappelé. Ainsi, la clarté des rôles n’est pas un sujet secondaire pour la cybersécurité des hôpitaux. Au contraire, elle compte autant que les sauvegardes immuables ou la double authentification.

Chaque acteur de la chaîne santé a sa place. L’enjeu n’est donc pas de les fusionner. Il faut plutôt clarifier leurs échanges, documenter les parcours de crise et mieux outiller les RSSI. Le CNSSIS de juin, les Rencontres ANS et les Agora CaRE en région offrent justement l’occasion d’avancer ensemble. Enfin, le 2 août 2026, l’AI Act entrera dans une nouvelle phase d’application et ajoutera ses propres exigences. Le dispositif tient bon, à condition de bien comprendre comment ses pièces s’emboîtes.

Retrouvez tous nos articles de la catégorie Conformité & Sécurité : données de santé, interopérabilité, cybersécurité, RGPD, MDR, ainsi que l’impact des nouvelles réglementations comme l’IA Act et l’EHDS.