Exercice de crise cyber pour établissements de santé et médico-sociaux

764 incidents de cybersécurité ont été déclarés au CERT Santé en 2025. 288 d’entre eux ont forcé un établissement à basculer en mode dégradé ou à interrompre la prise en charge de patients. En 2024, 78 % des établissements sanitaires avaient planifié ou réalisé un exercice de crise cyber, et 100 % des régions avaient fait de même. Plus de 2 250 exercices ont été réalisés en 2023 et 2024, couvrant 80 % des établissements de santé.

gplexpert accompagne les établissements de santé et les ESMS dans la réalisation de leur exercice de crise cyber, avec un scénario construit autour de votre contexte, de vos risques et de votre niveau de maturité.

NOTRE EXPERTISE

Nous construisons des scénarios adaptés à votre contexte, en s'appuyant si besoin sur les kits et chronogrammes de l'ANS.
Nous animons l'exercice avec des consultants qui interviennent aussi sur de vraies gestions de crise.
Nous réunissons dans une même séance la direction, la DSI et les équipes métiers pour tester la coordination réelle au sein de l'établissement.
Nous intégrons les objectifs du programme CaRE et les exigences de sécurité des systèmes d'information dans le déroulé de l'exercice.
Nous remettons un plan d'action daté et priorisé, pas une liste de constats génériques.
Nous revenons vérifier la mise en place des correctifs avant le prochain exercice.

VOS BÉNÉFICES

Vous testez votre gestion de crise en conditions réelles, avant qu'une vraie attaque ne le fasse à votre place.
Vous renforcez la coordination entre direction, DSI et équipes métiers au sein de votre structure.
Vous répondez à l'obligation annuelle du programme CaRE sans attendre le dernier trimestre.
Vous disposez d'un plan d'action concret à présenter à votre ARS ou à votre GRADeS.
Vous réduisez le temps de flottement qui, en situation réelle, pèse sur la continuité de l'activité.

Ce qui est inclus dans l'accompagnement

Un point de cadrage pour comprendre votre organisation, votre activité et vos systèmes existants.
Un scénario d’exercice sur mesure oui qui peut s’appuyer sur les kits de l’ANS et leurs chronogrammes v2, adaptés aux établissements de santé (MCO, hors MCO) comme aux ESMS.
Une animation en conditions réelles, avec la direction, la DSI et les équipes métiers réunies au sein d’une même cellule de crise.
Un débriefing à chaud pour partager les observations avec l’ensemble des acteurs mobilisés.
Un rapport écrit avec un plan d’action concret, priorisé et daté.
Un accompagnement dans la mise en place des correctifs, jusqu’au prochain exercice.

Déroulé de la réalisation

Cadrage : on définit le périmètre, les objectifs et le niveau de difficulté du scénario.
Construction du scénario : on l’adapte à votre activité et à votre contexte, sur la base des chronogrammes disponibles ou d’un scénario propre à votre établissement.
Exercice : demi-journée ou journée complète, animée par nos consultants, avec des stimuli pour reproduire la pression d’une vraie crise.
Débriefing : retour à chaud sur ce qui a fonctionné et ce qui a coincé dans la gestion opérationnelle.
Plan d’action : remise du rapport et des mesures à mettre en place pour améliorer votre résilience.

Un cadre devenu obligatoire

Depuis l’instruction de janvier 2023 et reprise par l’instruction de janvier 2025, la réalisation d’un exercice de crise cyber est obligatoire chaque année pour les établissements de santé, et l’extension aux ESMS est en cours de déploiement. Le programme CaRE structure cette démarche à l’échelle nationale et régionale : au niveau national, l’ANSSI, l’ANS et la DGOS pilotent le cadre, au niveau régional, les ARS et les GRADeS accompagnent les structures via les centres régionaux de ressources cybersécurité. Ce cadre s’articule avec les exigences de sécurité des systèmes d’information, de gouvernance et de protection des données déjà en place dans le secteur.

L’agence du numérique en santé met à disposition des kits d’exercice de crise permettant à toute structure de découvrir la gestion de crise cyber en conditions réelles, gratuitement et en autonomie. Notre accompagnement vient en complément : on prend en charge la construction du scénario, l’animation le jour J et le suivi du plan d’action, pour les établissements qui veulent un exercice mené par une équipe dédiée plutôt qu’en autonomie.

FAQ

Quelle est la différence entre votre accompagnement et les kits de l'ANS ?

Les kits de l’ANS sont des ressources gratuites que vous pouvez utiliser seul. Notre accompagnement prend en charge la construction du scénario, l’animation le jour J et le suivi du plan d’action, pour les établissements qui préfèrent une équipe dédiée.

L'exercice concerne-t-il aussi les ESMS ?

Oui. Les chronogrammes v2 couvrent les établissements de santé (MCO, hors MCO) comme les établissements et services médico-sociaux, et on adapte le scénario à ce contexte.

Faut-il des compétences techniques pour participer ?

Non. L’exercice cible la prise de décision et la coordination opérationnelle. La direction et les équipes métiers y participent au même titre que la DSI.