Depuis janvier 2024, plusieurs CHU et hôpitaux français ont vu leur système d'information paralysé pendant des semaines par un rançongiciel. Blocs déprogrammés, dossiers patients inaccessibles, laboratoire à l'arrêt, retour au stylo et au papier carbone. Ces épisodes ont transformé une question théorique en priorité de direction : votre établissement sait-il fonctionner sans son SI ? C'est désormais ce que mesure la certification. Un plan blanc cyberattaque n'est plus une option de confort, c'est un attendu du référentiel.
Le référentiel de certification des établissements de santé version 2027, applicable aux visites à partir de 2027, fait entrer explicitement les risques numériques dans la gestion des tensions et des situations sanitaires exceptionnelles. Deux volets du référentiel sont concernés — et il faut les distinguer avec précision, sous peine de mal préparer votre dossier.
Le sujet est neuf, peu couvert, et pourtant central. La cyberattaque ne relève plus seulement de la direction des systèmes d'information : elle devient un scénario de crise à part entière, au même titre qu'un afflux massif de victimes ou une panne électrique. Voici ce que 2027 change concrètement, et comment préparer vos équipes à tenir en mode dégradé.
Ce que disent exactement les critères HAS 2027 sur les risques numériques
Deux critères du référentiel V2027 traitent du numérique, et ils ne disent pas la même chose. Le critère 3.1-05 (impératif, tout l'établissement) demande que vos plans de gestion des tensions hospitalières et des situations sanitaires exceptionnelles intègrent les risques numériques, au titre de la gouvernance du dispositif. Un second critère, lui, est dédié à la maîtrise des risques de sécurité numérique eux-mêmes. Confondre les deux, c'est risquer de présenter aux experts-visiteurs un dossier incomplet.
Le critère 3.1-05 : intégrer la cyberattaque au plan blanc
Le critère 3.1-05 est un critère impératif qui structure toute la préparation aux situations sanitaires exceptionnelles. Il exige que la cellule de crise soit opérationnelle en 45 minutes, dotée d'outils et de procédures couvrant six fonctions : prise en charge médicale, organisation de crise, sûreté-sécurité, communication, suivi des victimes et accueil des familles, fonctions support.
La nouveauté de 2027 : ces plans doivent désormais intégrer les risques numériques. Autrement dit, votre dispositif de gestion de crise doit prévoir le cas où la menace n'est pas un accident de bus ou une canicule, mais l'indisponibilité de votre système d'information. La cyberattaque devient un scénario de déclenchement comme un autre — avec ses fiches réflexes, sa cellule de crise, son RETEX.
Rappelons le cadre : le « plan blanc » n'est plus un document autonome. Il constitue le niveau 2 du PGTHSSE (Plan de Gestion des Tensions Hospitalières et des Situations Sanitaires Exceptionnelles, articles L.3131-7 et R.3131-10 à R.3131-11 du Code de la santé publique), le niveau 1 étant le plan de mobilisation interne. Le terme « plan blanc » reste l'usage courant sur le terrain : c'est lui que vous employez dans vos procédures, mais c'est bien au sein du PGTHSSE qu'il s'inscrit.
La sécurité numérique : un critère distinct du plan blanc
Le référentiel V2027 comporte aussi un critère dédié à la maîtrise des risques de sécurité numérique à proprement parler : la protection du système d'information, la prévention des incidents, la capacité de l'établissement à sécuriser ses données et ses outils. C'est le volet qui dialogue avec la direction des systèmes d'information, le RSSI et les recommandations de l'ANSSI.
La distinction est simple à retenir :
- La sécurité numérique répond à la question « comment protégez-vous votre SI et prévenez-vous l'attaque ? » (sécurité informatique).
- Le 3.1-05 répond à la question « comment continuez-vous à soigner quand l'attaque a réussi ? » (continuité d'activité et gestion de crise).
Notre terrain à nous, c'est le second. Nous ne nous substituons ni à l'ANSSI ni à votre RSSI sur la sécurité technique. Mais une fois le rançongiciel passé, la question devient opérationnelle et soignante : comment admettre un patient sans logiciel d'admission ? Comment prescrire sans dossier informatisé ? Comment récupérer un résultat de biologie quand le serveur du laboratoire est chiffré ? C'est là que se joue la préparation réelle, et c'est là que votre plan blanc face à une cyberattaque doit être béton.
👉 Pour une vue d'ensemble des exigences 2027, consultez notre guide des critères urgence de la certification HAS V2027.
Le scénario redouté : fonctionner en mode dégradé sans système d'information
Une cyberattaque réussie met l'établissement en mode dégradé total : plus de dossier patient informatisé, plus de prescription connectée, plus de messagerie, parfois plus de téléphonie sur IP ni d'accès aux résultats d'imagerie et de biologie. Le plan blanc cyberattaque consiste à organiser la continuité des soins dans ces conditions, pendant une durée qui peut aller de quelques heures à plusieurs semaines.
Le retour d'expérience des établissements touchés est sans appel : les équipes qui s'en sortent le moins mal sont celles qui avaient préparé, imprimé et rangé au bon endroit leurs procédures papier. Les autres improvisent dans l'urgence, avec des pertes de chance pour les patients.
Voici les fonctions qui s'effondrent en premier et qu'il faut avoir anticipées.
Les admissions et l'identitovigilance
Sans logiciel, l'admission redevient manuelle. Il faut des bordereaux papier pré-imprimés, un circuit de numérotation des séjours, et surtout une règle d'identitovigilance dégradée pour éviter les erreurs d'identité quand le rapprochement automatique n'existe plus. Prévoyez un stock de bracelets patients remplis à la main et une procédure de réconciliation des données une fois le SI rétabli.
Les prescriptions et l'administration médicamenteuse
La prescription connectée disparaît. Retour à l'ordonnance papier, aux feuilles de traitement et aux pancartes de surveillance imprimées. Le risque médicamenteux explose en mode dégradé : interactions non détectées par l'outil, posologies recopiées, transmissions fragilisées. Des fiches réflexes par service doivent cadrer la double vérification et la traçabilité manuelle.
Le laboratoire et l'imagerie
Le laboratoire de biologie médicale perd souvent la connexion entre automates et serveur de résultats. Prévoyez un circuit de demande d'examen papier, un acheminement physique des prélèvements et un rendu de résultats par bordereau. Pour l'imagerie, c'est le PACS qui tombe : les comptes rendus doivent pouvoir circuler autrement, et l'accès aux antériorités est perdu. Le critère 3.1-05 insiste d'ailleurs sur les capacités de biologie médicale mobilisables et suivies : la cyberattaque est le scénario qui met cette exigence à l'épreuve.
La communication interne
Quand la messagerie et parfois la téléphonie tombent, comment la cellule de crise coordonne-t-elle l'établissement ? Il faut un plan de communication de secours : talkies-walkies, lignes téléphoniques analogiques identifiées, annuaire papier à jour, points de situation physiques à horaires fixes. C'est l'une des six fonctions de la cellule de crise — et sans elle, la coordination s'effondre.
👉 Pour structurer cette coordination, relisez notre article sur la composition et les rôles de la cellule de crise en établissement de santé.
Les fiches réflexes PCRA : une parade par activité, pas un tableau géant à remplir
La réponse opérationnelle au risque numérique repose sur des fiches réflexes par service, organisées selon la logique PCRA : Plan de Continuité et de Reprise d'Activité. Le principe : pour chaque activité critique et chaque scénario de perte, vous définissez une parade réutilisable — comment je continue, avec quels moyens dégradés, et comment je reprends quand le SI revient.
L'erreur classique consiste à vouloir tout prévoir dans un tableau géant, croisant chaque service avec chaque incident possible. Résultat : un document illisible que personne n'ouvre le jour J. La bonne méthode est inverse : une parade par activité et par scénario, courte, actionnable, affichable.
Ce qu'une fiche réflexe cyber doit contenir
- ✅ L'activité concernée (admissions, prescription, laboratoire, pharmacie, bloc…).
- ✅ Le scénario : « SI indisponible » et sa déclinaison si besoin (perte du DPI seul, perte totale réseau).
- ✅ La procédure dégradée en quelques étapes numérotées, sans jargon.
- ✅ Le matériel de secours nécessaire et son emplacement (formulaires papier, bracelets, annuaire, radios).
- ✅ La règle de traçabilité manuelle pendant l'épisode.
- ✅ La procédure de réconciliation des données à la reprise du SI.
Où ranger et comment maintenir ces fiches
Une fiche réflexe stockée uniquement sur le réseau est inutile le jour où le réseau tombe — c'est le paradoxe à éviter absolument. Les fiches doivent exister en version papier, dans des classeurs identifiés à des emplacements connus de chaque service, et être mises à jour à chaque révision du plan. Les experts-visiteurs regardent précisément cela : la date de mise à jour et la cohérence entre le plan et la réalité des services.
Les fiches PCRA par service font partie des éléments que vous pouvez construire et maintenir dans notre outil de création de plan blanc en ligne, conçu pour générer un plan blanc opérationnel — cyberattaque comprise — sans repartir d'une page blanche.
L'exercice cyber : pourquoi et comment le jouer
Un plan blanc cyberattaque qui n'a jamais été exercé échouera au premier déclenchement réel. Le référentiel 2027 l'exige d'ailleurs : les exercices et les activations réelles doivent être suivis d'un RETEX et d'actions d'amélioration (critère 3.1-05). L'exercice SSE sur scénario cyber devient donc une pièce attendue de votre dossier de certification.
La bonne nouvelle : le scénario cyber se prête particulièrement bien à l'exercice sur table, format léger, peu coûteux, qui mobilise la cellule de crise et les cadres sans perturber les soins. Vous pouvez aussi monter un exercice grandeur nature limité à un service pilote (les admissions, par exemple) pour tester concrètement le passage au papier.
Comment construire un exercice Plan Blanc sur scénario cyber
- Poser le scénario : « À 7h30, le DPI et la messagerie sont inaccessibles, un message de rançon s'affiche. La DSI confirme un chiffrement, aucune date de rétablissement. »
- Déclencher pour de vrai la montée de la cellule de crise et chronométrer l'objectif des 45 minutes.
- Injecter des événements au fil de l'eau : une ambulance qui se présente, un résultat de biologie urgent attendu, un journaliste qui appelle.
- Observer si les fiches réflexes sont trouvées, lues, appliquées.
- Débriefer à chaud puis formaliser un RETEX écrit.
- Tracer l'exercice au registre et décliner un plan d'actions daté avec responsables.
Tracer et exploiter le RETEX
La valeur d'un exercice n'est pas dans sa réalisation, mais dans ce qu'on en tire. Chaque exercice cyber doit produire un compte rendu, une liste d'écarts et un plan d'amélioration suivi dans le temps. C'est exactement ce que contrôlent l'ARS et les experts-visiteurs : les comptes-rendus d'exercices et leur exploitation. Pour la méthode, appuyez-vous sur notre guide du RETEX en gestion de crise et du plan d'actions opérationnel, et sur notre panorama des formats, scénarios et RETEX d'exercice SSE.
Nos formateurs — militaires, urgentistes et soignants du SAMU en activité — conçoivent et animent ces exercices Plan Blanc avec vos équipes. Comme toutes nos interventions, elles sont finançables OPCO Santé et ANFH.
Checklist : préparer votre plan blanc face à une cyberattaque
Voici de quoi agir dès cette semaine. Chaque ligne est une action concrète à confier à un responsable identifié.
- ✅ Vérifier que votre PGTHSSE / plan blanc mentionne explicitement le scénario de cyberattaque et le mode dégradé sans SI (exigence 3.1-05).
- ✅ Distinguer dans votre dossier de certification ce qui relève du 3.1-05 (continuité d'activité) et du critère dédié à la sécurité numérique.
- ✅ Rédiger ou mettre à jour une fiche réflexe PCRA pour chaque activité critique : admissions, prescription, pharmacie, laboratoire, imagerie, communication.
- ✅ Imprimer ces fiches et les ranger en version papier à un emplacement connu de chaque service.
- ✅ Constituer un stock de secours : bordereaux d'admission, bracelets patients, ordonnances et feuilles de traitement papier, annuaire physique à jour.
- ✅ Définir le plan de communication de secours (radios, lignes analogiques, points de situation physiques).
- ✅ Vérifier que la cellule de crise sait monter en 45 minutes sur un scénario cyber.
- ✅ Programmer un exercice Plan Blanc sur scénario cyberattaque dans les 12 prochains mois.
- ✅ Tracer l'exercice au registre, produire un RETEX et un plan d'actions daté.
- ⚠️ Ne pas oublier la procédure de réconciliation des données à la reprise du système d'information.
👉 Pour situer votre niveau de préparation en cinq minutes : faites l'autodiagnostic gratuit de votre préparation aux urgences et SSE.
À retenir
- Le référentiel HAS V2027 fait entrer les risques numériques dans la gestion des tensions et des SSE : votre plan blanc doit prévoir le fonctionnement en mode dégradé sans SI.
- Deux critères, à ne pas confondre : le 3.1-05 (impératif) intègre les risques numériques aux plans au titre de la gouvernance ; un critère distinct couvre la sécurité numérique elle-même.
- Notre terrain est la continuité d'activité et la gestion de crise, pas la sécurité informatique technique : comment continuer à soigner quand l'attaque a réussi.
- La réponse opérationnelle repose sur des fiches réflexes PCRA par service, courtes, papier, maintenues à jour — pas sur un tableau géant inexploitable.
- Un plan blanc cyberattaque ne vaut que s'il est exercé : jouez un exercice sur table ou grandeur nature, tracez-le au registre et exploitez le RETEX.
La cyberattaque n'est plus un risque abstrait : c'est un scénario de déclenchement du plan blanc, au même titre qu'un afflux de victimes. Les établissements qui tiendront le jour J sont ceux qui auront préparé leurs parades, imprimé leurs fiches et entraîné leurs équipes. 👉 Pour faire le point sur votre dispositif face au numérique, faites l'autodiagnostic gratuit (5 min).
Questions fréquentes
Une cyberattaque déclenche-t-elle le plan blanc ?
Oui, une cyberattaque paralysant le système d'information peut justifier le déclenchement du plan blanc, car elle crée une situation sanitaire exceptionnelle affectant la continuité des soins. Le référentiel HAS V2027 (critère 3.1-05) demande d'ailleurs que les plans intègrent les risques numériques. La décision revient au directeur ou à son représentant, selon vos critères de déclenchement.
Qu'est-ce qu'un PCRA en établissement de santé ?
Le PCRA (Plan de Continuité et de Reprise d'Activité) organise la poursuite des activités critiques quand un moyen essentiel disparaît, par exemple le système d'information lors d'une cyberattaque. Il se décline en fiches réflexes par service : une parade par activité et par scénario, décrivant comment fonctionner en mode dégradé puis reprendre normalement une fois le SI rétabli.
Quelle différence entre sécurité informatique et plan blanc pour la certification HAS ?
La sécurité informatique vise à protéger le système d'information et à prévenir l'attaque : c'est le volet du référentiel dédié à la sécurité numérique, piloté avec le RSSI et l'ANSSI. Le plan blanc, lui, relève du critère 3.1-05 : il organise la continuité des soins quand l'attaque a réussi. Les deux sont complémentaires et doivent figurer séparément dans votre dossier.