Le mode dégradé du plan blanc organise la continuité des soins quand le système d'information est indisponible : admissions, prescriptions, biologie, imagerie et communication passent sur des procédures papier préparées à l'avance. Le critère HAS 3.1-05 de la version 2027 inscrit ces risques numériques dans les plans de gestion des tensions hospitalières eux-mêmes.
Ce sujet est souvent abordé par l'angle informatique : sauvegardes, pare-feu, audits. Cet article prend l'autre bout, celui des soignants : comment admettre un patient sans logiciel d'admission, prescrire sans dossier informatisé, récupérer un résultat de biologie quand le serveur du laboratoire est chiffré. Pour le cadre général, voir notre guide plan blanc : définition, obligations et déclenchement. Pour le versant sécurité numérique et le critère 3.1-07, voir le volet cyber du plan blanc.
Ce que le critère 3.1-05 demande sur les risques numériques
Le critère 3.1-05, impératif dans la version 2025 et reconduit dans la version 2027, place les risques numériques au cœur des plans de crise. Son premier élément d'évaluation, côté gouvernance, est rédigé ainsi :
« Le ou les plan(s) de gestion des tensions hospitalières, dont les risques numériques, et des situations sanitaires exceptionnelles ont été élaborés avec la gouvernance, les instances et les professionnels. »
En 2025, les risques numériques figuraient dans l'identification des catégories de risques. En 2027, ils sont inscrits dans les plans. La différence est concrète : il ne suffit plus de citer la cyberattaque dans une cartographie, il faut que le plan dise comment l'établissement fonctionne quand elle survient.
Le même critère exige que des exercices démontrent une cellule de crise « opérationnelle dans les 45 minutes suivant l'alerte » et que les moyens, y compris « les capacités de diagnostic microbiologique et de réalisation des examens de biologie médicale », soient « disponibles et rapidement mobilisables ». Une panne informatique met précisément ces deux exigences à l'épreuve : la cellule doit se réunir sans messagerie, et le laboratoire doit rendre des résultats sans serveur. Le détail du critère est dans critère HAS 3.1-05 : prouver la maîtrise du plan blanc.
Deux critères, deux questions différentes
Le critère 3.1-05 et le critère 3.1-07 traitent tous deux du numérique, mais ils ne posent pas la même question. Les confondre, c'est risquer un dossier incomplet.
| Critère 3.1-05 (impératif) | Critère 3.1-07 (standard) | |
|---|---|---|
| Question | Comment continuez-vous à soigner quand l'attaque a réussi ? | Comment protégez-vous le système d'information et déclarez-vous l'incident ? |
| Terrain | Organisation des soins, cellule de crise, mode dégradé | Sécurité informatique, PCRA formalisé, audits, déclaration |
| Pilotes | Direction, direction des soins, référent SSE | DSI, RSSI, direction |
| Preuves | Plan incluant les risques numériques, fiches dégradées, exercice chronométré, RETEX | PCRA, audits Active Directory et exposition internet, procédure de déclaration |
Notre terrain est le premier. Nous ne nous substituons ni à l'ANSSI ni à votre RSSI sur la sécurité technique. Mais une fois le rançongiciel passé, la question devient soignante, et c'est là que se joue la préparation réelle.
Le scénario redouté : soigner sans système d'information
Une cyberattaque réussie, ou une panne majeure, place l'établissement en mode dégradé total : plus de dossier patient informatisé, plus de prescription connectée, plus de messagerie, parfois plus de téléphonie sur IP ni d'accès aux résultats. Le mode dégradé du plan blanc organise la continuité des soins dans ces conditions, pendant une durée qui peut aller de quelques heures à plusieurs semaines.
Les retours d'expérience publiés par les établissements touchés convergent : les équipes qui s'en sortent le mieux sont celles qui avaient préparé, imprimé et rangé au bon endroit leurs procédures papier. Voici les fonctions qui s'effondrent en premier.
Les admissions et l'identitovigilance
Sans logiciel, l'admission redevient manuelle. Il faut des bordereaux papier pré-imprimés, un circuit de numérotation provisoire des séjours, et surtout une règle d'identitovigilance dégradée pour éviter les erreurs d'identité quand le rapprochement automatique n'existe plus. Prévoyez un stock de bracelets à remplir à la main et une procédure de réconciliation des identités une fois le système rétabli.
Les prescriptions et l'administration des médicaments
La prescription connectée disparaît : retour à l'ordonnance papier, aux feuilles de traitement et aux pancartes de surveillance imprimées. Le risque d'erreur augmente : interactions non détectées par l'outil, prescriptions recopiées, transmissions fragilisées. Des fiches réflexes par service doivent cadrer la double vérification et la traçabilité manuelle.
Le laboratoire et l'imagerie
Le laboratoire perd souvent la connexion entre automates et serveur de résultats. Prévoyez un bon de demande papier, un acheminement physique des prélèvements et un rendu des résultats par bordereau ou par téléphone avec relecture. Pour l'imagerie, c'est le système d'archivage des images qui tombe : les comptes rendus doivent circuler autrement, et l'accès aux examens antérieurs est perdu.
La pharmacie et la logistique
Les commandes, la gestion des stocks et la dispensation informatisée s'arrêtent. Le plan doit prévoir une liste papier des stocks critiques, un circuit de commande d'urgence par téléphone avec les fournisseurs et une règle de dispensation nominative manuelle pour les services prioritaires.
La communication interne
Quand la messagerie et parfois la téléphonie tombent, la cellule de crise doit coordonner l'établissement autrement : radios, lignes analogiques identifiées, annuaire papier à jour, points de situation physiques à heures fixes, coursiers entre bâtiments. La communication est l'une des six fonctions de la cellule de crise ; sans elle, la coordination s'effondre. Voir la composition et les rôles de la cellule de crise.
Quel niveau déclencher : mobilisation interne ou plan blanc ?
Une panne informatique ne déclenche pas automatiquement le plan blanc : tout dépend de son étendue et de sa durée. Votre plan doit fixer des seuils, par exemple :
- incident limité (une application, quelques heures) : procédure dégradée du service concerné, information de la direction de garde ;
- indisponibilité large mais contenue (dossier patient indisponible, durée inconnue) : plan de mobilisation interne, cellule restreinte, renforts administratifs pour la saisie papier ;
- paralysie du système d'information avec impact sur les urgences, les blocs ou la biologie : plan blanc, cellule de crise complète, déprogrammation et éventuels transferts, information de l'ARS.
La décision appartient au directeur, à son initiative en informant sans délai l'ARS ou à la demande de l'ARS (article R.3131-11 du CSP). Voir qui déclenche le plan blanc et le plan de mobilisation interne.
Les fiches réflexes par service : une parade par activité
La réponse opérationnelle au risque numérique repose sur des fiches réflexes par service, organisées selon la logique du plan de continuité et de reprise d'activité (PCRA) : pour chaque activité critique et chaque palier de dégradation, une parade courte et réutilisable.
L'erreur classique consiste à vouloir tout prévoir dans un tableau géant qui croise chaque service avec chaque incident possible. Résultat : un document illisible que personne n'ouvre le jour J. La bonne méthode est inverse : une parade par activité, courte, actionnable, affichable. La méthode complète est dans notre guide du PCRA en établissement de santé.
Ce qu'une fiche réflexe doit contenir
- ✅ L'activité concernée : admissions, prescription, laboratoire, pharmacie, bloc.
- ✅ Le palier : système totalement indisponible, retour partiel, reprise.
- ✅ La procédure dégradée en quelques étapes numérotées, sans jargon.
- ✅ Le matériel de secours et son emplacement : formulaires, bracelets, annuaire, radios.
- ✅ La règle de traçabilité manuelle pendant l'épisode.
- ✅ La procédure de réconciliation des données à la reprise.
Où ranger les fiches
Une fiche stockée uniquement sur le réseau est inutile le jour où le réseau tombe. Les fiches doivent exister sur papier, dans un classeur identifié à un emplacement connu de chaque service, et être mises à jour à chaque révision du plan. Les experts-visiteurs regardent la date de mise à jour et la cohérence entre le plan et la réalité des services.
La reprise : l'étape la plus risquée
La reprise après une panne longue est souvent plus risquée que la panne elle-même : il faut ressaisir des jours de données papier, réconcilier les identités, vérifier les prescriptions en cours et les résultats rendus pendant l'épisode. Votre plan doit dire :
- qui décide du retour au fonctionnement normal, service par service ;
- dans quel ordre on ressaisit (traitements en cours, allergies, résultats critiques d'abord) ;
- qui vérifie la concordance entre le papier et le système rétabli ;
- comment on archive les supports papier de l'épisode.
L'exercice en mode dégradé
Un mode dégradé jamais exercé échoue au premier déclenchement réel. Le scénario informatique se prête bien à l'exercice sur table, léger et sans perturbation des soins, et à une bascule papier réelle limitée à un service pilote, par exemple les admissions.
Construire l'exercice en six étapes
- Poser le scénario : « À 7 h 30, le dossier patient et la messagerie sont inaccessibles, un message de rançon s'affiche. L'informatique confirme un chiffrement, sans date de rétablissement. »
- Déclencher pour de vrai la montée de la cellule de crise et chronométrer l'objectif des 45 minutes, sans messagerie.
- Injecter des événements : une ambulance qui se présente, un résultat de biologie urgent attendu, un journaliste qui appelle.
- Observer si les fiches sont trouvées, lues et appliquées.
- Débriefer à chaud, puis formaliser un retour d'expérience écrit.
- Tracer l'exercice au registre et décliner un plan d'actions daté, avec des responsables.
La méthode générale est dans le guide de l'exercice plan blanc, et le retour d'expérience dans la méthode RETEX pour un plan d'actions opérationnel. Nos exercices plan blanc, animés par Alexandre Niggel et des professionnels de la gestion de crise sanitaire, peuvent porter sur ce scénario ; ils sont finançables par l'OPCO Santé et l'ANFH.
Checklist : votre plan blanc tient-il sans informatique ?
Chaque ligne est une action à confier à un responsable identifié.
- ✅ Le plan de gestion des tensions et le plan blanc traitent explicitement le scénario de perte du système d'information.
- ✅ Des seuils de bascule (procédure locale, mobilisation interne, plan blanc) sont écrits.
- ✅ Une fiche réflexe existe pour chaque activité critique : admissions, prescription, pharmacie, laboratoire, imagerie, communication.
- ✅ Les fiches sont imprimées et rangées à un emplacement connu de chaque service.
- ✅ Un stock de secours est constitué : bordereaux d'admission, bracelets, ordonnances et feuilles de traitement, annuaire papier.
- ✅ Le plan de communication de secours est défini : radios, lignes analogiques, points de situation physiques.
- ✅ La cellule de crise a été chronométrée sur un scénario sans messagerie.
- ✅ La reprise est organisée : ordre de ressaisie, vérifications, archivage.
- ✅ Un exercice en mode dégradé est programmé dans les douze prochains mois, avec RETEX et plan d'actions.
Pour situer votre niveau de préparation, faites l'autodiagnostic gratuit. Côté document, Plan Blanc Pro, édité par Learning Experience, propose un module PCRA qui produit une fiche imprimable par service et par scénario, dont la perte du système d'information.
À retenir
- Le critère 3.1-05 de la version 2027 inscrit les risques numériques dans les plans de gestion des tensions et des SSE.
- Le mode dégradé organise la continuité des soins sans système d'information : admissions, prescriptions, biologie, imagerie, pharmacie, communication.
- Le 3.1-05 répond à « comment continuer à soigner », le 3.1-07 à « comment protéger et déclarer ».
- La réponse repose sur des fiches réflexes par service, courtes, papier, à jour.
- La reprise se prépare autant que la panne, et le tout s'exerce.
Textes de référence
- Référentiel de certification HAS, version 2027 : critères 3.1-05 (page 110) et 3.1-07 (page 112).
- Article R.3131-10 du Code de la santé publique : les modalités de continuité de l'activité dans le plan de l'établissement.
- Article R.3131-11 : la mise en œuvre du plan par le directeur.
Questions fréquentes
Une panne informatique justifie-t-elle le plan blanc ?
Pas toujours. Une panne courte et limitée relève de la procédure dégradée du service, une indisponibilité large du plan de mobilisation interne. Le plan blanc se justifie quand la paralysie du système d'information menace la continuité des soins, impose une déprogrammation ou des transferts. Ces seuils doivent être écrits à l'avance dans votre plan.
Que demande le critère 3.1-05 sur les risques numériques ?
Dans la version 2027, le premier élément d'évaluation demande que les plans de gestion des tensions hospitalières, « dont les risques numériques », et des situations sanitaires exceptionnelles soient élaborés avec la gouvernance, les instances et les professionnels. Le plan doit donc décrire le fonctionnement sans système d'information, pas seulement citer le risque.
Qu'est-ce qu'un mode dégradé en établissement de santé ?
C'est l'organisation qui permet de continuer les soins quand une ressource essentielle manque, le plus souvent le système d'information. Elle repose sur des procédures papier préparées, un matériel de secours rangé dans chaque service, des moyens de communication alternatifs et une procédure de reprise pour ressaisir et vérifier les données une fois le système rétabli.
Comment exercer le mode dégradé sans perturber les soins ?
Commencez par un exercice sur table avec la cellule de crise, sans toucher aux outils réels. Passez ensuite à une bascule papier limitée à un service pilote, pendant quelques heures, avec un directeur d'exercice capable de tout arrêter. Chronométrez la cellule, observez l'usage des fiches et tirez un retour d'expérience écrit.