Le 3 janvier 2025, la Cour des comptes a dévoilé un rapport inquiétant sur la cybersécurité des établissements de santé en France, dans lesquels un investissement financier devient urgent.
Le financement du programme « Cyberaccélération et résilience des établissements » (CaRE), lancé en 2023 par le gouvernement Borne, « n'est assuré que jusqu'à la fin de l'année 2024 », indique le rapport. Malgré une enveloppe de 750 millions d'euros sur cinq ans, seulement 223 millions d’euros ont été alloués. Pour la Cour des comptes, « Il est indispensable qu’il soit poursuivi jusqu’au terme du programme ».
Cet état d’alerte fait suite au nombre inquiétant de cyberattaques qui ont touché les hôpitaux. Entre 2022 et 2023, trente hôpitaux français ont été victimes de cyberattaques par rançongiciel, selon l’Agence nationale de la sécurité des systèmes d’information (Anssi). Bien que le nombre d'attaques semble avoir ralenti, 2024 a encore vu deux incidents majeurs, à l'hôpital d'Armentières en février et à celui de Cannes en avril. Selon l’Anssi, les hôpitaux représentaient 10 % des victimes de rançongiciels (chiffrage des données les rendant inutilisables).
Des budgets hospitaliers consacrés au numérique trop modestes
La complexité et l’interconnexion des systèmes d’information des hôpitaux nécessite une sécurisation renforcée, mais le « sous-investissement chronique » dans le numérique (seulement 1,7 % de leur budget d’exploitation) accroît leur vulnérabilité face aux cyberattaques. Pourtant, les impératifs de modernisation sont criants : « 23 % des équipements de réseaux ne peuvent plus être mis à jour ou réparés en cas de panne », souligne le rapport.
Lire aussi : Vous êtes victime de cybermalveillance ? Le 17cyber.gouv.fr est fait pour vous !
Face aux cyberattaques, des coûts significatifs
Un hôpital attaqué par rançongiciel peut alors subir des pertes estimées jusqu’à 30 millions d’euros, incluant les coûts de gestion de crise et de perte d’exploitation. Par ailleurs, des délais de plusieurs mois sont parfois nécessaires pour restaurer les systèmes compromis.
Une partie des fonds du plan Care devrait donc viser la modernisation des équipements obsolètes et la sensibilisation des équipes, avec des formations numériques dès la rentrée 2025 pour améliorer la résilience.
Lire aussi : Cyberattaques par ransomwares : l'administration publique résiste en 2024
