Exercice de crise terrain : tester votre PCA en santé

En 2023, près de 10 % des victimes de rançongiciel en France étaient des établissements de santé. Un plan de continuité qui n’a jamais quitté son classeur reste une hypothèse. Tester votre PCA par un exercice de crise terrain révèle ce qu’un document ne montre jamais : les réflexes réels des équipes quand le dossier patient tombe et que le laboratoire repasse au papier. C’est l’objet de notre accompagnement à l’exercice de crise terrain.

D’après le Panorama de la cybermenace 2025 de l’ANSSI, la santé représente 10 % des incidents traités, ce qui en fait l’un des secteurs les plus visés du pays. Pour un directeur, un DAF ou un RSSI, la question n’est plus de savoir si l’incident surviendra, mais si l’organisation saura faire face au choc et gérer la crise sans perdre le fil. Un exercice terrain apporte cette réponse, sans attendre l’attaque réelle.

S’entraîner pour être prêt : pourquoi l’exercice terrain change la donne

Un plan de continuité d’activité décrit qui fait quoi quand le système d’information tombe. Sur le papier, tout paraît cohérent. Le terrain dit autre chose. Un numéro d’astreinte qui ne répond plus, une procédure de bascule écrite pour une version logicielle abandonnée, un classeur rouge introuvable à 3 h du matin sur le poste de commandement : ces écarts n’apparaissent qu’en situation réelle.

Organiser un exercice de crise terrain pour tester le fonctionnement de votre PCA, c’est mettre l’organisation sous tension. Vous coupez un service, vous observez la réaction des équipes, vous mesurez le temps de reprise. L’enjeu dépasse la technique. L’observatoire des signalements 2025 de l’ANS relève que 288 incidents, soit 38 % des signalements reçus, ont contraint des établissements à passer en mode dégradé ou à interrompre la prise en charge des patients. Un plan testé raccourcit la durée de ce mode dégradé et renforce la capacité de l’établissement à assurer la continuité des soins.

Pour un DAF, l’argument est budgétaire autant qu’opérationnel. Chaque heure d’arrêt non maîtrisé se paie en déprogrammations, en recodification manuelle d’activité et en heures supplémentaires. L’exercice terrain transforme une dépense de conformité en preuve de résilience.

Exercice sur table ou exercice terrain : ne pas confondre

Il existe plusieurs niveaux de mise à l’épreuve, complémentaires plutôt que concurrents. L’étude documentaire vérifie que les procédures, contacts et rôles sont à jour. L’exercice sur table, ou table-top, réunit la cellule de crise autour d’un scénario joué à l’oral, sans toucher aux systèmes. Il sert surtout à entraîner la prise de décision et à identifier les points faibles du dispositif avant de passer à un exercice plus exigeant.

L’exercice terrain va plus loin : bascule vers un site de secours, coupure volontaire d’un service, test réel des dispositifs de sauvegarde. C’est le seul moyen de vérifier que vos objectifs de reprise (RTO) et de perte de données admissible (RPO) tiennent en conditions réelles. Il exige une préparation sérieuse pour ne pas dégrader l’activité de soins — un principe qui rejoint, à une autre échelle, celui d’un plan communal de sauvegarde testé par une mairie face à une inondation : sur le papier, la procédure existe ; sur le terrain, elle révèle ses failles.

Cette distinction recoupe celle entre PCA et PRA. Le PCA maintient les fonctions métier critiques ; le PRA restaure l’infrastructure informatique. Nous détaillons cette articulation dans notre approche du plan de continuité d’activité (PCA) et du plan de reprise (PRA). Sur le terrain, les deux se testent ensemble : sans PRA fonctionnel, le PCA n’a rien pour redémarrer.

Préparer un scénario crédible et dimensionné

Un bon scénario raconte une histoire avec un début, une montée en tension et une fin. Il s’appuie sur un risque réaliste pour votre établissement : ransomware chiffrant le dossier patient informatisé, indisponibilité du prestataire d’hébergement, perte du réseau sur un site du GHT. Inspirez-vous d’incidents réels du secteur et d’études de cas documentées ; elles rendent l’événement simulé plus crédible aux yeux des équipes.

Le dimensionnement compte autant que le thème. Les participants doivent être sollicités régulièrement, sans être noyés sous les injections. Prévoyez du temps pour les actions complexes, comme la bascule d’un service d’imagerie ou l’organisation d’un tour infirmier sur papier. Gardez le scénario confidentiel jusqu’au jour J, sinon les réactions perdent toute valeur d’évaluation.

Ajoutez des sous-événements réalistes : appel d’un journaliste, question de l’ARS, demande de rançon, patient à réorienter. Ces éléments testent la coordination entre l’informatique, le soin, la direction, la communication et le juridique. Une cyberattaque devient vite une crise de soins avant d’être une crise technique — et mobilise des acteurs qui ne se croisent pas au quotidien.

Répartir les rôles : cellule, animation, observateurs

Un exercice terrain repose sur trois fonctions distinctes. Les joueurs forment la cellule de crise : direction, DSI, RSSI, cadres de soins, communication. Ils gèrent la situation de la même manière que si elle était réelle, jusqu’à activer leur centre opérationnel et mobiliser les moyens humains et techniques prévus au plan. Les animateurs injectent les événements par téléphone ou messagerie et adaptent le rythme aux réactions.

Un directeur d’exercice coordonne l’ensemble, rappelle le contexte au démarrage et garantit la cohérence du scénario. Les observateurs remplissent une grille d’évaluation alignée sur les objectifs fixés. Ils restent transparents, n’influencent pas le jeu et nourrissent le retour d’expérience. Limitez leur nombre pour ne pas perturber la cellule.

Le personnel non technique — agents d’accueil, agents administratifs, aides-soignants — doit lui aussi savoir réagir sans attendre de consignes détaillées de la DSI : c’est souvent lui qui, en première ligne, gère le passage au papier. Ce fonctionnement en vase clos évite d’impliquer par erreur les vrais services d’urgence ou de créer une panique. Il permet aussi de faire jouer un premier exercice avec les seuls responsables de cellule, puis d’élargir progressivement aux équipes terrain lors des sessions suivantes.

Dérouler l’exercice le jour J

Le jour de l’exercice, le directeur d’exercice ouvre la séance en rappelant la convention : ce qui est joué, ce qui est simulé, les règles de sécurité. Puis le scénario démarre. Les animateurs déclenchent la première injection, par exemple la détection d’un chiffrement en cours sur les serveurs.

La cellule doit alors qualifier l’incident, isoler ce qui doit l’être, décider du passage en mode dégradé et organiser la continuité des soins. C’est le moment où l’on vérifie des points très concrets : les sauvegardes se restaurent-elles vraiment, le classeur des procédures papier est-il accessible, la chaîne d’alerte fonctionne-t-elle sans messagerie, les postes de repli sont-ils opérationnels.

Documentez tout en temps réel : décisions, délais constatés, blocages. Les indicateurs à suivre restent simples : taux de participation, délais de réaction face aux objectifs RTO et RPO, pourcentage de procédures respectées, nombre d’écarts identifiés. Ces mesures objectivent l’état général de préparation, bien mieux qu’une auto-évaluation.

Le RETEX : transformer l’exercice en plan d’action

L’exercice ne s’arrête pas quand les téléphones se posent. Le retour d’expérience en constitue la vraie valeur. Il se mène en deux temps. À chaud, juste après, un tour de table laisse chaque participant exprimer son ressenti, en commençant par les fonctions les moins hiérarchiques pour préserver l’objectivité des témoignages.

À froid, quelques semaines plus tard, l’analyse aboutit à un rapport écrit : objectifs initiaux, scénario, points forts, points à améliorer et surtout plan d’action daté et assigné. Sans ce plan, l’exercice ne sert à rien. L’enjeu financier justifie l’effort : selon un rapport de la Cour des comptes, une cyberattaque peut coûter jusqu’à 10 M€ de gestion de crise et 20 M€ de pertes de recettes pour un seul hôpital.

Un PCA reste un dispositif vivant. Recalibrez-le après chaque exercice et chaque incident, tous les six à douze mois, en fonction des risques actuels et de vos évolutions techniques (cloud, SaaS, télétravail). Analyser les écarts constatés lors du dernier exercice et partager les enseignements avec les partenaires du GHT devient alors une bonne pratique. Un plan figé redevient vite un plan mort.

Cadre réglementaire : CaRE et obligation d’exercices

En France, tester son dispositif de gestion de crise n’est plus optionnel pour un établissement de santé, public comme privé. L’instruction du 30 janvier 2023 impose la réalisation d’exercices de gestion de crise, et le programme CaRE, doté de 750 M€ sur la période 2023-2027, en fait un attendu structurant. Le retour d’expérience doit être intégré au Plan d’Amélioration de la Qualité de l’établissement.

Au niveau national, l’échelle des enjeux se mesure aussi collectivement. En septembre 2025, l’ANSSI a organisé l’exercice massifié REMPAR 25, un test de résilience face à un scénario de blackout numérique de grande ampleur. La logique est la même à l’échelle d’un GHT : on ne découvre pas ses failles le jour de l’attaque, et chaque simulation est l’occasion de renforcer la culture du risque des équipes, techniques comme non techniques.

Adosser l’exercice à une supervision continue renforce sa portée. Nos exercices de crise cyber s’appuient sur des scénarios ciblant spécifiquement le système d’information de santé, avec le regard d’équipes qui hébergent et exploitent ces environnements au quotidien.

Se faire accompagner ou piloter en interne

Un premier exercice peut se mener en interne, surtout au format sur table. Dès que vous touchez aux systèmes réels, l’accompagnement d’un prestataire limite le risque d’incident involontaire et apporte un regard extérieur sur vos angles morts. Un tiers observe sans complaisance ce que les équipes internes finissent par ne plus voir.

Le critère de choix tient à l’expertise sectorielle. Un prestataire qui connaît les contraintes HDS, les processus de soins et les référentiels de la santé conçoit des scénarios plus pertinents qu’un généraliste. La supervision SOC et NOC, les sauvegardes durcies et les tests de restauration s’intègrent alors directement dans la stratégie d’exercice, au lieu d’être testés séparément.

Conclusion

Un plan de continuité ne vaut que par sa confrontation au réel. Organiser un exercice de crise terrain pour tester votre PCA vous donne une mesure honnête de votre résilience : temps de reprise réels, procédures qui tiennent, réflexes des équipes. Face à un coût d’attaque pouvant atteindre 30 M€ pour un établissement, le retour sur investissement d’un exercice bien mené est évident. Retenez l’essentiel : sans RETEX ni plan d’action daté, l’exercice n’est qu’une répétition sans lendemain.

Nous accompagnons les établissements de santé sur toute la chaîne, de l’hébergement HDS à la supervision continue, pour que la continuité des soins reste tenable même en mode dégradé. Pour préparer votre prochain test, consultez notre plaquette des services d’infogérance managés, la page dédiée à l’exercice de crise cyber, ou parcourez le plan du site pour accéder à l’ensemble de nos ressources.