Temps de lecture : 2 min
Ce qu’il faut retenir
- Menace : Le secteur santé reste une cible prioritaire, avec 764 incidents déclarés en 2025. La perception du risque a évolué, ce n’est plus un sujet purement technique.
- Préparation : Seuls 15% des établissements rapportent un incident depuis 2022. Parmi eux, les deux tiers estiment avoir été bien préparés, mais des lacunes budgétaires persistent.
- Priorités : En cas de crise, la continuité des soins et le coût financier arrivent en tête des préoccupations des décideurs, avant la réputation ou les risques juridiques.
Cybersécurité dans la santé : le bilan 2025 sans filtre
Sur le terrain, les chiffres parlent d’eux-mêmes. En 2025, le secteur de la santé a déclaré 764 incidents cyber, une légère hausse par rapport aux 749 de l’année précédente. Ce qui compte vraiment, c’est que la menace reste à un palier élevé, confirmant que les établissements de soins sont des cibles de choix pour les groupes malveillants.
Pour comprendre comment cette menace est perçue et gérée en interne, une enquête récente a sondé les directeurs d’établissements. Passons au concret : l’objectif était de dresser un état des lieux réaliste et d’identifier les vrais leviers d’action, loin des discours théoriques.
La perception du risque par les décideurs : une évolution notable
Premier constat encourageant : la cybersécurité n’est plus cantonnée aux seuls services informatiques. Les deux tiers des directeurs ont eu une réunion dédiée avec leurs experts sécurité dans les trois mois précédant l’enquête. C’est un signe que le sujet monte dans l’agenda stratégique.
En pratique, cette prise de conscience se traduit par une implication plus forte :
- 87% des directeurs connaissent le plan de prévention cybersécurité de leur établissement.
- Une proportion similaire est impliquée dans les exercices de gestion de crise cyber.
- 72% interviennent directement dans l’élaboration du plan de prévention des risques.
Décortiquons ça : on est loin du temps où la sécurité était une boîte noire confiée aux techniciens. Les décideurs s’approprient le sujet, ce qui est une condition sine qua non pour une défense efficace.
Incidents et préparation : le fossé entre théorie et réalité
L’enquête révèle que 15% des établissements ont subi un incident cyber ayant entraîné des perturbations opérationnelles depuis 2022. Parmi ces victimes, une majorité (deux tiers) estiment avoir été « bien » ou « assez bien » préparées.
Sans langue de bois, cette statistique doit être nuancée. Être « préparé » à un incident ne signifie pas l’avoir évité. Elle souligne surtout l’importance cruciale des plans de réponse et de continuité d’activité (PCA/PRA). Lorsqu’une attaque survient, l’enjeu n’est plus de l’empêcher, mais de limiter la casse et de reprendre une activité normale au plus vite.
Les priorités en cas de crise : soins, coûts et ressources humaines
Interrogés sur leurs principales inquiétudes en cas de crise cyber, les directeurs placent en tête :
- La continuité des soins pour les patients.
- Le coût financier de l’attaque et de la recovery.
- Les conditions de travail du personnel impacté.
La sécurité des données des patients, la réputation ou les risques juridiques arrivent ensuite. Ce classement est logique et pragmatique. En situation de crise aiguë, l’urgence opérationnelle prime sur les considérations à plus long terme. Cela guide aussi les investissements : le renforcement du système d’information est perçu comme le levier d’action numéro un, devant la formation ou les audits.
Le frein majeur : le manque de budget et de ressources
Malgré cette prise de conscience, un obstacle de taille persiste. 42% des directeurs déclarent que les budgets et ressources alloués ne permettent pas d’élaborer un plan de prévention des risques cyber « au bon niveau ». C’est le point de friction principal entre la volonté d’agir et les contraintes du terrain, particulièrement marqué dans les TPE/PME du secteur.
En pratique, cela se traduit par des choix obligatoires et une sécurité parfois sous-dimensionnée. Pourtant, le coût d’une attaque réussie – comme les rançongiciels qui ont touché 8% des victimes sectorielles en 2025 – dépasse très souvent l’investissement préventif nécessaire. Une analyse coût/bénéfice rigoureuse est plus que jamais indispensable.
Conclusion : vers une cybersécurité pragmatique et opérationnelle
Le paysage de la cybersécurité dans la santé en 2026 montre une maturation certaine de la perception du risque. Les décideurs sont plus impliqués, le sujet est moins technique et plus stratégique. Cependant, la menace reste tangible et les moyens ne suivent pas toujours.
Ce qui compte vraiment maintenant, c’est de passer de la prise de conscience à l’action efficace. Cela implique de prioriser les investissements sur les leviers ayant le plus d’impact opérationnel (comme la résilience des SI) et d’inscrire la sécurité dans une logique de gestion continue des risques, et non de projet ponctuel. La route est encore longue, mais la direction est la bonne.
Ingénieur systèmes et architecte cloud pendant 8 ans chez un leader européen de l’hébergement, reconverti dans l’analyse tech et business. Passionné par l’intersection entre infrastructure IT, IA générative et transformation digitale des entreprises. J’aide les décideurs et les équipes techniques à naviguer dans l’écosystème tech sans bullshit marketing.