Face à la recrudescence des cyberattaques visant les établissements de santé, le ministère du Travail, de la Santé, des Solidarités et des Familles a publié une instruction.
Entrée en vigueur dès sa publication, l’instruction N° DNS/2025/12 du 22 janvier 2025 impose la mise en place de 7 actions urgentes et prioritaires pour renforcer la sécurité des systèmes d’information.
Ces mesures visent à renforcer la résilience des établissements sanitaires face aux menaces informatiques croissantes. Décryptage dans cet article.
⦿ Cet article pourrait également vous intéresser
Cybersécurité : calendrier des obligations pour les établissements de santé et les ESMS
Cybersécurité dans le secteur de la santé : un contexte de menace persistante
Les incidents cyber de 2022 ont mis en évidence la vulnérabilité des infrastructures informatiques des hôpitaux et autres établissements de santé. En réponse, le programme CaRE (Cybersécurité Accélération et Résilience des Établissements) a été conçu sous l’égide de la Délégation au Numérique en Santé (DNS).
Ce programme s’intègre dans la Feuille de route du numérique en santé 2023-2027 et vise à conformer les établissements aux directives européennes NIS 1 et NIS 2.
Sécurisation accrue des systèmes d'information de santé : rappel du cadre légal et réglementaire
La cybersécurité dans le secteur de la santé repose sur plusieurs textes de référence, notamment :
- Loi n°2016-41 du 26 janvier 2016 de modernisation de notre système de santé, qui introduit des exigences en matière de protection des données de santé.
- Arrêté du 28 mars 2022 portant approbation du référentiel relatif à l'identification électronique des acteurs des secteurs sanitaire, médico-social et social, personnes physiques et morales, et à l'identification électronique des usagers des services numériques en santé (référentiel sur la Politique Générale de Sécurité des Systèmes d’Information de Santé -PGSSI-S)
- INSTRUCTION N° DGOS/PF/MSIOS/2012/347 du 25 septembre 2012 relative au renseignement de l’observatoire des systèmes d’information de santé
- INSTRUCTION N° SHFDS/FSSI/2023/15 du 30 janvier 2023 relative à l’obligation de réaliser des exercices de crise cyber dans les établissements de santé et à leur financement
- NOTE D’INFORMATION N° DGOS/PF2/2019/207 du 26 septembre 2019 relative à la définition et au suivi des ressources et des charges des systèmes d’information hospitaliers
- NOTE D’INFORMATION N° DGOS/PF5/2022/268 du 14 décembre 2022 relative à la mise en place de l’Observatoire permanent de la sécurité des systèmes d’information des établissements de santé (OPSSIES) et du référentiel des mesures de sécurité prioritaires
- Feuille de route du numérique en santé 2023-2027
- Programme CaRE - Le plan d’action pour protéger nos établissements face à la menace cyber - Décembre 2023
- Les mesures prioritaires de sécurité des systèmes d’information - Référentiel à destination des établissements de santé - DGOS - Octobre 2022.
7 actions prioritaires à mettre en place par les établissements sanitaires
L’instruction N° DNS/2025/12 impose aux établissements sanitaires la réalisation de sept actions majeures, incluant des audits, des exercices de crise et une meilleure gestion des identifications.
1 - Exercices de crise cybersécurité annuels
Tous les établissements doivent organiser au moins un exercice de crise par an, impliquant les décideurs (DG, DSI, PCME, etc.) et réalisant un retour d’expérience.
2 - Auto-évaluation de la maturité cyber
Chaque structure doit mesurer son niveau de conformité et enregistrer les résultats sur la plateforme nationale de suivi.
