En 2025, un peu plus de 760 incidents de sécurité ont été déclarés au CERT Santé, un niveau désormais installé dans le quotidien des hôpitaux français. Tester ses réflexes avant l’attaque, et non pendant, change tout pour la continuité des soins. C’est précisément le rôle d’un exercice de gestion de crise cyber, et l’objet de notre accompagnement à l’exercice de crise cyber en santé.
Selon le portail du CERT Santé, ce volume reste quasi stable par rapport à 2024, mais le nombre d’incidents majeurs recule, signe que les établissements se préparent mieux. Un DSI, un RSSI ou un directeur ne pilote pas une crise en improvisant. Il la pilote avec une méthode répétée, des rôles clairs et un scénario connu.
Un exercice devenu obligatoire pour les établissements de santé
En France, l’exercice de crise cyber pour établissements de santé répond à une obligation réglementaire précise, pas à une simple recommandation. L’idée de départ est simple : une cyberattaque paralyse le système d’information, et l’établissement doit continuer à soigner en mode dégradé. L’exercice sert à vérifier que cette bascule fonctionne, avant qu’un rançongiciel ne l’impose dans la douleur.
Le risque n’a rien de théorique. Le Quotidien du Médecin rapportait que 422 établissements sanitaires et médico-sociaux avaient déclaré au moins un incident en 2023. Derrière ces chiffres, il y a des blocs opératoires reportés, des dossiers patients inaccessibles et des équipes qui repassent au papier du jour au lendemain.
Ce que la réglementation impose depuis 2023
L’instruction n° SHFDS/FSSI/2023/15 du 30 janvier 2023 rend la réalisation d’un exercice annuel obligatoire pour les établissements de santé. Concrètement, chaque structure doit organiser au moins un exercice par an et produire un retour d’expérience exploitable.
Cet exercice ne concerne pas que la DSI. Il implique la direction générale et les directions métiers, car la vraie question n’est pas technique mais organisationnelle : comment maintenir la prise en charge des patients quand le numérique tombe. Ces obligations s’inscrivent dans le programme CaRE (Cybersécurité, accélération et résilience des établissements), déployé sur la période 2023-2027. Sur la même période, les établissements doivent progressivement consacrer une part définie de leur budget au numérique et à la cybersécurité.
Pour cadrer ces exigences, il est utile de relier l’exercice à votre politique de sécurité. Nous détaillons ce lien dans notre page sur les obligations PSSI pour les établissements de santé.
Les kits ANS et les niveaux de maturité
L’Agence du Numérique en Santé met à disposition des kits d’exercice de crise prêts à l’emploi. Vous choisissez le niveau selon la maturité de votre établissement, mesurée via une grille d’auto-évaluation.
- Kit débutant : premier exercice, découverte des réflexes de base et du rôle de chacun.
- Kit intermédiaire : scénario plus dense, coordination entre technique et métiers.
- Kit expert : crise longue, plusieurs cellules mobilisées, tests de communication et de décision sous pression.
Ces kits ont fait leurs preuves à grande échelle. L’Agence du Numérique en Santé indiquait que plus de 2 000 exercices avaient été réalisés sur la base de ce kit co-construit. L’outil est solide, mais autoporté il montre vite ses limites : un scénario générique mobilise mal les équipes, et le retour d’expérience reste superficiel sans regard extérieur.
Comment se déroule un exercice de crise cyber
Un exercice utile ne se résume pas à une réunion d’une heure. Il suit un chronogramme, injecte des événements au fil de l’eau et observe les réactions réelles des participants. Les exercices les plus aboutis mobilisent deux cellules de crise, une au siège et une dans l’établissement, pour tester à la fois la stratégie, la communication et la gestion technique.
Le point le plus révélateur est souvent la qualification de l’incident : combien de temps pour comprendre ce qui se passe, qui décide d’isoler le réseau, qui prévient l’ARS et le CERT Santé. Ces frictions se voient uniquement en conditions réalistes. Nos exercices de crise terrain reproduisent ces contraintes au plus près de votre organisation.
Critère | Kits ANS en autonomie | Prestataire référencé | Notre accompagnement |
Scénario contextualisé | Générique | Adapté | Adapté au SI et aux métiers |
Hébergement HDS | Non | Variable | Oui, certifié HDS |
Services managés SOC/NOC | Non | Variable | Oui |
Tests d’intrusion | Non | Variable | Oui, tests éthiques |
Lien PCA/PRA | Partiel | Variable | Intégré |
Certification ISO 27001 | Non | Variable | Oui |
Articuler l’exercice avec le PCA et le PRA
Un exercice sans plan de continuité derrière ne sert pas à grand-chose. L’exercice révèle les trous, le PCA et le PRA les comblent. Depuis 2023, le plan de gestion de crise des établissements intègre d’ailleurs un volet spécifique aux incidents cyber.
Selon le CERT-FR, ce plan organise la constitution des cellules de crise et les modalités de passage en fonctionnement dégradé, comme le délestage de patients ou le report d’opérations non urgentes. Son application, même partielle, fait gagner un temps précieux dans les premières heures. C’est pourquoi nous couplons systématiquement l’exercice à notre dispositif de PRA et PCA, testé et documenté.
Financement et accompagnement dans le cadre de CaRE
Le coût n’est pas un frein bloquant. Les ARS ont mis en place des financements dédiés, avec des allocations forfaitaires par exercice couvrant tout ou partie de l’accompagnement par un prestataire référencé. Les montants varient selon le niveau de l’exercice, généralement entre 4 000 et 5 000 euros.
La démarche passe par une auto-évaluation de maturité, une commande auprès d’une centrale d’achat ou d’un prestataire, la mise à jour de l’observatoire OPSSIES et un dépôt de candidature. Les établissements médico-sociaux entrent progressivement dans le dispositif via le programme CaRE et les centres régionaux de ressources cyber. Pour un DAF, l’équation est claire : quelques milliers d’euros de préparation face à des semaines de reconstruction d’un système d’information compromis.
Les erreurs qui vident l’exercice de son sens
Trois pièges reviennent souvent. D’abord, cantonner l’exercice à la DSI : sans les directions métiers et la direction générale, la cellule décisionnelle reste fictive. Ensuite, jouer un scénario trop confortable, où tout le monde connaît la fin. Enfin, négliger le retour d’expérience, qui est pourtant le seul livrable réellement utile.
Un bon exercice laisse un plan d’action daté et des responsables identifiés. Il ne cherche pas à rassurer, il cherche à révéler ce qui casse. Répété chaque année, il transforme progressivement une organisation qui subit en une organisation qui encaisse et se relève.
Conclusion
Depuis 2023, l’exercice de crise cyber en santé est une obligation annuelle, et les chiffres du CERT Santé confirment sa pertinence : en 2025, 764 incidents ont été déclarés, mais seuls 2 incidents majeurs ont été recensés, contre 3 en 2024. La préparation paie. L’essentiel n’est pas de cocher une case réglementaire, mais de vérifier, en conditions réalistes, que vos équipes savent maintenir la continuité des soins quand le numérique lâche. Un exercice bien conçu, relié à un PCA testé et à un scénario adapté à votre établissement, vaut mieux qu’une procédure jamais éprouvée. En combinant hébergement HDS certifié, supervision et méthode de crise, nous vous aidons à passer d’une conformité de façade à une résilience réelle. Pour structurer votre démarche, découvrez notre accompagnement PSSI et cybersécurité en santé.
FAQ – Exercice de crise cyber
À quelle fréquence faut-il réaliser un exercice de crise cyber ?
Au moins une fois par an pour les établissements de santé, depuis l’instruction du 30 janvier 2023. Certaines structures visent un rythme annuel ou bisannuel selon leur niveau de maturité et leurs obligations.
Qui doit participer à l'exercice ?
Pas seulement la DSI. La direction générale, les directions métiers et le RSSI doivent être mobilisés, car l’enjeu est de maintenir la prise en charge des patients en mode dégradé, pas uniquement de restaurer des serveurs.
Peut-on se faire accompagner pour organiser l'exercice ?
Oui. Les kits de l’ANS permettent de démarrer seul, mais un prestataire spécialisé contextualise le scénario et fiabilise le retour d’expérience. Notre équipe conçoit des exercices adaptés à votre système d’information et à vos contraintes de continuité.
Vous pourriez également être intéressé par les articles suivants :
La directive NIS2 impose de vérifier l’efficacité réelle de vos défenses. Le test d’intrusion est le moyen le plus direct de le prouver. Amendes jusqu’à 10 millions d’euros.
Dans un contexte où les cyberattaques ciblent fortement le secteur de la santé, la sécurité des systèmes informatiques est devenue un enjeu critique. Entre applications métiers, services web, infrastructures réseau et données patients, les établissements doivent aujourd’hui renforcer leur niveau de protection face à des menaces toujours plus sophistiquées.
Le Plan de Reprise d’Activité (PRA) est devenu un élément central de la cybersécurité des établissements de santé. Face à la multiplication des cyberattaques, des ransomwares et des pannes majeures, disposer d’un PRA opérationnel est indispensable pour garantir la continuité des soins, la disponibilité des données patients et la conformité réglementaire.