Le volet cyber du plan blanc est exigé par le critère HAS 3.1-07 « Les risques de sécurité numérique sont maîtrisés », standard dans la version 2027 du référentiel. Il demande un volet cybersécurité intégré au plan blanc, un plan de continuité et de reprise d'activité formalisé, la déclaration sans délai des incidents graves et des équipes formées aux bons réflexes.
Ce critère est piloté avec la direction des systèmes d'information et le responsable de la sécurité des systèmes d'information (RSSI), mais il engage aussi la direction et la cellule de crise. Pour situer ce volet dans l'ensemble du dispositif, commencez par notre guide plan blanc : définition, obligations et déclenchement. Le versant soignant, c'est-à-dire continuer à soigner sans système d'information au titre du critère 3.1-05, est traité dans un article dédié : plan blanc en mode dégradé et risques numériques.
Pourquoi la cyberattaque est-elle un scénario de plan blanc ?
Une cyberattaque devient un scénario de plan blanc dès qu'elle bloque la prise en charge des patients : elle impose alors une organisation de crise, une déprogrammation et parfois des transferts, comme un afflux de victimes. En 2025, l'observatoire du CERT Santé a recensé 28 attaques par rançongiciel dans les établissements sanitaires et médico-sociaux, surtout dans le médico-social, avec des modes dégradés parfois longs de plusieurs semaines.
Les attaques par rançongiciel qui ont frappé le CHU de Rouen en 2019, les centres hospitaliers de Dax et de Villefranche-sur-Saône en 2021, puis ceux de Corbeil-Essonnes et de Versailles en 2022 l'ont montré : un hôpital peut fonctionner en mode dégradé pendant des semaines. Ce qui fait de la cyberattaque un scénario de crise, et non un simple incident technique, c'est son impact direct sur le soin :
- perte du dossier patient informatisé : antécédents, allergies et traitements ne sont plus accessibles instantanément ;
- blocage des plateaux techniques : imagerie, biologie, pharmacie automatisée ;
- rupture des communications internes : messagerie, téléphonie sur IP, parfois appels malades ;
- déprogrammation contrainte et transferts vers d'autres établissements ;
- durée longue : là où un afflux de blessés se compte en heures, une crise cyber se compte souvent en semaines.
Cette dernière caractéristique change la préparation. Un plan blanc classique organise une montée en capacité de quelques jours. La crise cyber impose de tenir en mode dégradé sur la durée, sans les outils qui structurent le travail quotidien.
Ce que dit le critère 3.1-07 en version 2027
Le critère 3.1-07 s'applique à tout l'établissement, il est classé standard et il est évalué en audit système. Son énoncé, dans le référentiel HAS version 2027 (page 112), est le suivant :
« […] l'établissement évalue régulièrement la sécurité de ses systèmes et s'entraîne à faire face aux cyberattaques. Les professionnels sont formés à reconnaître les signes d'une attaque et à adopter les bons réflexes, afin de réagir rapidement et de limiter les conséquences pour les patients et les équipes. En cas d'incident, des dispositifs sont prévus pour maintenir l'activité essentielle : un volet cybersécurité intégré dans le Plan blanc, des plans de continuité et de reprise adaptés aux activités les plus critiques, et une déclaration rapide des incidents aux autorités compétentes. »
Les éléments d'évaluation précisent les preuves attendues. Côté gouvernance :
- « L'établissement dispose d'un plan de continuité et de reprise d'activité formalisé. »
- « L'établissement a mis en œuvre le plan d'actions correctives issu des audits Active Directory et exposition internet. »
- Les incidents significatifs ou graves sont « déclarés sans délai auprès de l'Agence du numérique en santé », et les mesures d'urgence proposées par l'ANSSI sont mises en œuvre. À défaut d'incident, l'établissement dispose d'une procédure pour qualifier et déclarer ce qui relève d'un incident significatif ou grave.
Côté professionnels :
- « Les équipes connaissent les conduites à tenir en cas d'incident ou d'attaque (contact du service en charge de la sécurité informatique, modes dégradés...). »
- « Les équipes connaissent les règles de sécurité et d'hygiène informatique (identification des mails frauduleux...). »
- « Les équipes sont formées à l'utilisation des logiciels métier et peuvent être accompagnées par un interlocuteur compétent pour la prise en main des outils. »
Ce qui change par rapport à la version 2025
Le critère 3.1-07 existait déjà dans la version 2025, avec le même libellé et le même niveau standard. La version 2027 le resserre sur trois points.
| Point | Version 2025 | Version 2027 |
|---|---|---|
| Lien avec le plan blanc | « le plan blanc comporte un volet sur les risques numériques » | « un volet cybersécurité intégré dans le Plan blanc » |
| PCA et PRA | Déployés « dans ses secteurs les plus à risques » | « L'établissement dispose d'un plan de continuité et de reprise d'activité formalisé » |
| Formation | Plan pluriannuel à la sécurité et l'hygiène informatique, référents sécurité SI | Équipes qui connaissent les règles d'hygiène informatique et formées aux logiciels métier |
| Audits Active Directory et exposition internet | Plan d'actions correctives mis en œuvre | Inchangé |
| Déclaration des incidents | Sans délai à l'Agence du numérique en santé | Inchangé |
Critère 3.1-07 ou critère 3.1-05 : qui porte quoi ?
Les deux critères se répondent sans se confondre : le 3.1-07 porte la sécurité numérique et le volet cyber, le 3.1-05 porte la gestion de crise, dont l'intégration des risques numériques aux plans de gestion des tensions.
| Critère 3.1-07 | Critère 3.1-05 | |
|---|---|---|
| Intitulé | Les risques de sécurité numérique sont maîtrisés | La gestion des situations sanitaires exceptionnelles est maîtrisée |
| Niveau | Standard | Impératif |
| Question posée | Comment prévenez-vous, détectez-vous et déclarez-vous l'attaque ? | Comment continuez-vous à soigner quand elle a réussi ? |
| Pilotes | DSI, RSSI, direction | Direction, cellule de crise, référent SSE |
| Preuves clés | PCRA formalisé, audits AD et exposition internet, procédure de déclaration, formation à l'hygiène informatique | Plans incluant les risques numériques, exercice chronométré, RETEX et actions |
Dans votre dossier, présentez les deux séparément, puis montrez le pont : le scénario cyber de votre plan blanc, joué en exercice, avec la DSI et la cellule de crise autour de la même table. Le détail du 3.1-05 est dans critère HAS 3.1-05 : prouver la maîtrise du plan blanc.
PCA et PRA : les deux piliers du volet cyber
Le volet cyber repose sur deux dispositifs complémentaires : le plan de continuité d'activité organise le fonctionnement pendant la crise, le plan de reprise d'activité organise le retour à la normale. Réunis, ils forment le PCRA que le critère 3.1-07 demande de formaliser.
Le PCA : soigner sans le numérique
Le plan de continuité d'activité définit comment l'établissement continue de prendre en charge les patients quand les systèmes d'information sont indisponibles. Il prévoit :
- des procédures papier prêtes à l'emploi : prescriptions, transmissions, feuilles de surveillance, bons d'examen, circuit du médicament ;
- un accès hors ligne aux données vitales : traitements en cours, allergies, protocoles de service ;
- des moyens de communication de secours : téléphones dédiés, radios, listes de rappel imprimées ;
- des règles de priorisation : activités maintenues, déprogrammées, patients à transférer ;
- l'identification des services critiques : réanimation, bloc, urgences, dialyse, néonatologie.
La construction service par service est détaillée dans notre guide du PCRA en établissement de santé.
Le PRA : restaurer sans se réinfecter
Le plan de reprise d'activité organise la restauration sécurisée des systèmes après l'attaque. Il relève surtout de la DSI, mais il conditionne la durée de la crise, donc l'organisation soignante :
- des sauvegardes déconnectées et testées, à l'abri du chiffrement ;
- un ordre de redémarrage priorisé des applications critiques ;
- des délais cibles par application : durée maximale d'interruption acceptable et perte de données maximale acceptable ;
- une procédure de remédiation qui garantit qu'on ne remet pas en service un système encore compromis ;
- une décision de reprise partagée : qui, hors DSI, valide le retour au soin sur un système rétabli.
Une sauvegarde qui n'a jamais été restaurée pour de vrai reste une hypothèse. La capacité de reprise ne se mesure qu'en la testant.
Déclarer l'incident : qui, quand, comment
Le critère 3.1-07 demande que les incidents significatifs ou graves soient déclarés sans délai à l'Agence du numérique en santé, et qu'une procédure permette de les qualifier. L'obligation de signalement est posée par l'article L.1111-8-2 du Code de la santé publique, précisée par le décret n° 2022-715 du 27 avril 2022. La déclaration se fait sur le portail de signalement des événements sanitaires indésirables ; elle est prise en charge par le CERT Santé de l'Agence du numérique en santé, qui appuie l'établissement dans la réponse à l'incident, et l'ARS en est informée.
Votre volet cyber doit donc nommer :
- qui qualifie l'incident (RSSI, DSI, direction) et sur quels critères ;
- qui déclare, à toute heure, avec un suppléant ;
- qui informe l'ARS et à quel moment ;
- qui applique les mesures d'urgence recommandées et en garde la trace.
Construire le volet cyber : la checklist
Cette checklist reprend les éléments d'évaluation du critère 3.1-07 et les points d'articulation avec la cellule de crise. Elle se remplit à deux, DSI et référent SSE.
Gouvernance et déclenchement
- ✅ Un critère de bascule clair : à partir de quelle indisponibilité passe-t-on du plan de mobilisation interne au plan blanc ?
- ✅ Une chaîne d'alerte jour et nuit : astreinte informatique, RSSI, direction de garde
- ✅ Une procédure de qualification et de déclaration des incidents à l'Agence du numérique en santé
Cellule de crise adaptée au cyber
- ✅ Une cellule décisionnelle qui intègre la DSI et le RSSI aux côtés de la direction et du médical
- ✅ Une cellule technique de remédiation, distincte de la cellule stratégique
- ✅ Des moyens de communication de secours testés, hors réseau de l'établissement
- ✅ Un local de crise utilisable sans dépendance au système attaqué
Continuité et reprise
- ✅ Un PCRA formalisé, avec des fiches par service imprimées
- ✅ Des sauvegardes déconnectées et une restauration testée
- ✅ Un ordre de redémarrage priorisé et des délais cibles documentés
- ✅ Le plan d'actions correctives des audits Active Directory et exposition internet suivi et soldé
Professionnels
- ✅ Une sensibilisation à l'hygiène informatique, dont l'identification des mails frauduleux
- ✅ Des conduites à tenir connues : qui appeler, comment basculer en mode dégradé
- ✅ Un interlocuteur identifié pour la prise en main des logiciels métier
Le piège le plus fréquent : rédiger ces procédures et les archiver sur le serveur qui sera chiffré. Toute la documentation de crise doit exister en version papier et hors ligne.
Les dispositifs nationaux qui vous aident
Deux dispositifs nationaux outillent les établissements sur la sécurité numérique. Le programme CaRE (Cybersécurité, accélération et résilience des établissements), porté par le ministère et l'Agence du numérique en santé, finance et accompagne la montée en maturité, y compris sur la continuité d'activité. L'ANSSI, agence nationale de la sécurité des systèmes d'information, publie des guides sur la gestion de crise cyber et formule les mesures d'urgence que le critère 3.1-07 demande d'appliquer.
S'entraîner : l'exercice de crise cyber
Le critère 3.1-07 indique que l'établissement « s'entraîne à faire face aux cyberattaques ». Trois niveaux d'exercice se complètent :
- L'exercice sur table : la cellule de crise déroule un scénario cyber par injections successives (« la messagerie tombe », « la presse appelle », « la réanimation signale un patient instable sans accès au dossier »). Il teste la décision et la coordination.
- La bascule papier d'un service : un service passe réellement en procédures dégradées pendant quelques heures. On mesure ce qui bloque : formulaires, feuilles de surveillance, circulation des prescriptions.
- La restauration technique : la DSI restaure une sauvegarde dans un environnement isolé pour vérifier les délais cibles du PRA.
En exercice cyber, nous voyons revenir les mêmes failles : le personnel de nuit ne sait pas où trouver les procédures dégradées, les listes de rappel sont stockées sur le réseau inaccessible, la cellule ne peut plus communiquer si la téléphonie sur IP est coupée, et personne n'a défini qui valide la reprise du soin. Chaque faille trouvée à froid est une faille de moins le jour de l'attaque, à condition d'en faire des actions : voir la méthode RETEX pour un plan d'actions opérationnel.
Un scénario cyber s'intègre bien dans un exercice plan blanc plus large, animé par Alexandre Niggel et des professionnels de la gestion de crise sanitaire, finançable par l'OPCO Santé et l'ANFH. Pour la communication, voir la communication de crise en établissement de santé. Côté document, Plan Blanc Pro, édité par Learning Experience, intègre un module PCRA par service et par scénario, dont la perte du système d'information.
À retenir
- Le critère 3.1-07 (standard, tout l'établissement) demande un volet cybersécurité intégré dans le plan blanc.
- Il exige un PCRA formalisé, le suivi des audits Active Directory et exposition internet et la déclaration sans délai des incidents graves à l'Agence du numérique en santé.
- Les équipes doivent connaître les conduites à tenir, l'hygiène informatique et les logiciels métier.
- Le 3.1-07 porte la sécurité numérique, le 3.1-05 la continuité des soins et la gestion de crise : présentez les deux, reliés par un exercice commun.
- Toute la documentation de crise doit exister sur papier et hors ligne.
Textes de référence
- Référentiel de certification HAS, version 2027 : critère 3.1-07 (page 112) et critère 3.1-05 (page 110).
- Page HAS du manuel et du référentiel de certification.
- Article R.3131-10 du Code de la santé publique : les modalités de continuité de l'activité dans le plan de l'établissement.
Questions fréquentes
Une cyberattaque déclenche-t-elle le plan blanc ?
Oui, dès qu'elle compromet la continuité des soins ou impose une déprogrammation et des transferts. La décision revient au directeur, à son initiative en informant l'ARS ou à la demande de l'ARS (article R.3131-11 du CSP). Le critère 3.1-07 demande d'ailleurs un volet cybersécurité intégré dans le plan blanc, pour que ce déclenchement soit préparé.
Que demande le critère HAS 3.1-07 ?
Un plan de continuité et de reprise d'activité formalisé, la mise en œuvre des actions correctives issues des audits Active Directory et exposition internet, la déclaration sans délai des incidents graves à l'Agence du numérique en santé, et des équipes qui connaissent les conduites à tenir, l'hygiène informatique et leurs logiciels métier.
Quelle différence entre PCA et PRA ?
Le plan de continuité d'activité organise la prise en charge des patients pendant la crise, en mode dégradé : procédures papier, données hors ligne, communications de secours. Le plan de reprise d'activité organise la restauration sécurisée des systèmes après l'attaque, à partir de sauvegardes déconnectées et testées, avec un ordre de redémarrage priorisé.
Le critère 3.1-07 est-il impératif ?
Non. Dans la version 2027 du référentiel, le critère 3.1-07 est classé standard, alors que le critère 3.1-05 sur les situations sanitaires exceptionnelles est impératif. Les risques numériques comptent pourtant dans les deux : le 3.1-05 demande qu'ils soient intégrés aux plans de gestion des tensions hospitalières et des situations sanitaires exceptionnelles.