Le volet cyber du Plan Blanc (critère HAS 3.1-07)

Imaginez : lundi, 6h10. Les écrans du DPI affichent une demande de rançon. Le laboratoire ne rend plus de résultats, la PACS est inaccessible, les prescriptions repassent au papier. En quelques minutes, un établissement entier bascule en mode dégradé — et personne ne sait combien de temps cela va durer. Ce scénario n'a plus rien d'hypothétique : le secteur de la santé est l'une des cibles privilégiées des attaquants en France.

La réponse ne relève plus seulement de la direction des systèmes d'information. Une cyberattaque qui bloque la prise en charge des patients est une situation sanitaire exceptionnelle à part entière. Elle se gère comme telle : avec un Plan Blanc, une cellule de crise et des procédures dégradées éprouvées. C'est précisément ce que consacre le référentiel de certification HAS V2027, qui intègre désormais les risques numériques dans les plans de gestion des tensions et des SSE.

Le volet cyberattaque de votre Plan Blanc n'est pas un document de plus dans un classeur. C'est la capacité concrète de votre établissement à continuer de soigner quand tout l'outil numérique s'effondre. Cet article détaille ce que la HAS attend, la différence entre PCA et PRA, et comment tester le scénario cyber pour ne pas le découvrir le jour J.

Pourquoi la cyberattaque est devenue un scénario majeur du Plan Blanc

Les établissements de santé figurent parmi les cibles les plus attaquées en France, avec plusieurs centaines d'incidents de sécurité déclarés chaque année à l'Agence du numérique en santé. Les attaques par rançongiciel qui ont frappé le CHU de Rouen (2019), les hôpitaux de Dax et Villefranche-sur-Saône (2021), puis les centres hospitaliers de Corbeil-Essonnes et de Versailles (2022) ont montré une réalité brutale : une cyberattaque peut paralyser un hôpital pendant des semaines.

Ce qui fait de la cyberattaque un scénario de Plan Blanc, et non un simple incident technique, c'est son impact direct sur le soin :

Perte du dossier patient informatisé : plus d'antécédents, plus d'allergies, plus d'historique de traitement accessibles instantanément.
Blocage des plateaux techniques : imagerie, biologie médicale, pharmacie robotisée à l'arrêt.
Rupture des communications internes : messagerie, téléphonie sur IP, systèmes d'appel malade parfois hors service.
Déprogrammation contrainte et transferts de patients vers d'autres établissements, exactement comme lors d'un afflux massif de victimes.
Durée longue : là où une crise NRBC ou un afflux de blessés se compte en heures, une crise cyber se compte souvent en semaines de fonctionnement dégradé.

Cette dernière caractéristique change tout. Un Plan Blanc classique organise une montée en capacité de quelques jours. La crise cyber, elle, impose de tenir en mode dégradé sur la durée, sans les outils qui structurent le travail quotidien des équipes. C'est un test d'endurance organisationnelle autant qu'une réponse d'urgence.

Pour situer ce risque dans le cadre général du dispositif, notre guide complet sur le rôle et le déclenchement du Plan Blanc pose les fondamentaux à connaître avant d'aborder le volet cyber.

Ce qu'exige le référentiel HAS sur le volet cyber du Plan Blanc

Le référentiel de certification HAS V2027 impose que les plans de gestion des tensions hospitalières et des situations sanitaires exceptionnelles intègrent désormais explicitement les risques numériques. C'est l'une des évolutions les plus concrètes du critère impératif 3.1-05, qui s'applique à l'ensemble de l'établissement.

Concrètement, ce critère attend de votre établissement qu'il démontre :

une cellule de crise opérationnelle en 45 minutes, dotée des outils et procédures nécessaires ;
une couverture des 6 fonctions de crise : prise en charge médicale, organisation de crise, sûreté/sécurité, communication, suivi des victimes et accueil des familles, fonctions support ;
des exercices et activations réelles suivis d'un RETEX et d'un plan d'actions d'amélioration ;
des moyens matériels et humains mobilisables et suivis, y compris les capacités de biologie médicale.

L'ajout des risques numériques signifie que ces exigences doivent pouvoir se lire au prisme d'une cyberattaque. Une cellule de crise « opérationnelle en 45 minutes » suppose, en cas d'attaque, des moyens de communication de secours — car la messagerie et la téléphonie IP peuvent justement être les premières victimes.

Le PGTHSSE, cadre réglementaire du volet cyber

Rappelons que le « Plan Blanc » n'est plus un document autonome : c'est le niveau 2 du PGTHSSE, le Plan de Gestion des Tensions Hospitalières et des Situations Sanitaires Exceptionnelles (articles L.3131-7 et R.3131-10 à R.3131-11 du Code de la santé publique). Le niveau 1 correspond au plan de mobilisation interne. Le volet cyber s'inscrit dans cette architecture : il doit s'articuler avec le plan de mobilisation interne pour les incidents contenus, et déclencher le niveau Plan Blanc quand la continuité des soins est menacée.

En parallèle du cadre HAS, deux dispositifs nationaux structurent la réponse cyber du secteur :

Le programme CaRE (Cybersécurité, accélération et résilience des établissements), lancé par le ministère de la Santé et l'Agence du numérique en santé, qui finance et outille la montée en maturité des établissements.
Les guides et référentiels de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), notamment sur la gestion de crise cyber et la continuité d'activité.

👉 Pour une vue d'ensemble des évolutions de la certification, consultez notre article sur ce qui change avec le référentiel HAS V2027.

PCA et PRA : les deux piliers de la continuité en cas de cyberattaque

Le volet cyber du Plan Blanc repose sur deux dispositifs complémentaires : le Plan de Continuité d'Activité (PCA) et le Plan de Reprise d'Activité (PRA). Le premier organise le fonctionnement pendant la crise ; le second organise le retour à la normale. Les confondre, c'est se retrouver démuni sur l'un des deux temps de la crise.

Le PCA : soigner sans le numérique

Le Plan de Continuité d'Activité définit comment l'établissement continue de prendre en charge les patients quand les systèmes d'information sont indisponibles. Il est centré sur le mode dégradé et doit être immédiatement mobilisable.

Un PCA cyber solide prévoit :

des procédures papier prêtes à l'emploi : prescriptions, transmissions infirmières, feuilles de surveillance, bons d'examen, circuit du médicament ;
l'accès hors ligne aux données vitales : constantes récentes, traitements en cours, allergies, protocoles de service, souvent sous forme d'exports imprimés régulièrement ou stockés sur un poste isolé ;
des moyens de communication de secours : téléphones mobiles dédiés, talkies-walkies, listes de rappel imprimées, messagerie de crise hors du réseau attaqué ;
des règles de priorisation : quelles activités maintenir, lesquelles déprogrammer, quels patients transférer ;
l'identification des services critiques : réanimation, bloc, urgences, dialyse, néonatologie — ceux pour lesquels la moindre interruption engage le pronostic vital.

Le PRA : restaurer sans se réinfecter

Le Plan de Reprise d'Activité organise la restauration sécurisée des systèmes après l'attaque. Il relève davantage de la DSI et de la sécurité informatique, mais il conditionne directement la durée de la crise, donc l'organisation soignante.

Les points clés d'un PRA :

des sauvegardes déconnectées et testées (sauvegardes « froides » ou immuables), à l'abri du chiffrement de l'attaquant ;
un ordre de redémarrage priorisé des applications critiques ;
des délais cibles documentés : le RTO (durée maximale d'interruption acceptable) et le RPO (perte de données maximale acceptable) par application ;
une procédure de remédiation garantissant qu'on ne remet pas en service un système encore compromis.

Le point de vigilance majeur : une sauvegarde qui n'a jamais été restaurée pour de vrai n'est pas une sauvegarde, c'est une hypothèse. La capacité réelle de reprise ne se mesure qu'en la testant.

Construire le volet cyber de votre Plan Blanc : la checklist

Voici les éléments à réunir pour un volet cyber opérationnel, mobilisable par vos équipes dès demain matin.

Gouvernance et déclenchement

✅ Un critère de déclenchement clair : à partir de quel niveau d'indisponibilité bascule-t-on en Plan Blanc ?
✅ Une chaîne d'alerte identifiée jour et nuit (astreinte DSI, direction, RSSI).
✅ La déclaration obligatoire de l'incident à l'ARS et au dispositif de signalement des incidents de sécurité.

Cellule de crise adaptée au cyber

✅ Une cellule de crise décisionnelle intégrant le RSSI/DSI aux côtés de la direction et du médical.
✅ Une cellule technique dédiée à la remédiation, distincte de la cellule stratégique.
✅ Des moyens de communication de secours testés (car le réseau habituel peut être coupé).
✅ Un local de crise utilisable sans dépendance au système attaqué.

Continuité des soins (PCA)

✅ Des kits de fonctionnement dégradé par service, avec formulaires papier prêts.
✅ Un export régulier des données patients critiques accessible hors ligne.
✅ Des procédures de priorisation et de déprogrammation validées.
✅ Des conventions de transfert avec les établissements partenaires.

Reprise (PRA)

✅ Des sauvegardes déconnectées, immuables et testées.
✅ Un ordre de redémarrage priorisé avec RTO/RPO documentés.
✅ Une procédure de remédiation validée avec l'appui d'experts (ANSSI, prestataires référencés).

Communication de crise

✅ Des messages types pour les patients, les familles, les professionnels et la presse.
✅ Une coordination avec l'ARS sur la communication externe.

⚠️ Le piège le plus fréquent : rédiger ces procédures et les archiver sur… le serveur qui sera chiffré. Toute la documentation de crise doit exister en version papier et hors ligne.

Si votre communication de crise n'est pas encore formalisée, notre article dédié à la communication de crise en établissement de santé détaille les messages et circuits à prévoir.

Créez votre Plan Blanc en 2 jours avec Plan Blanc Pro, volet cyber inclus

Tester le scénario cyber : l'exercice qui change tout

Un Plan Blanc cyber ne vaut que s'il a été exercé. Le référentiel HAS V2027 l'exige d'ailleurs : les plans doivent faire l'objet d'exercices suivis d'un RETEX et d'actions d'amélioration. Un plan jamais testé échouera au premier déclenchement réel — et la crise cyber, par sa durée et sa complexité, est particulièrement impitoyable avec l'improvisation.

Trois niveaux d'exercice complémentaires

L'exercice sur table (tabletop) : la cellule de crise déroule un scénario cyber à partir d'injections successives (« la messagerie tombe », « la presse appelle », « la réanimation signale un patient instable sans accès au DPI »). Peu coûteux, il teste la prise de décision et la coordination.
L'exercice terrain partiel : un service bascule réellement en procédures papier pendant quelques heures. On mesure ce qui bloque concrètement : où sont les formulaires, qui sait remplir une feuille de surveillance manuelle, comment circulent les prescriptions.
La restauration technique testée : la DSI restaure effectivement une sauvegarde dans un environnement isolé pour vérifier RTO et RPO. C'est le seul moyen de savoir si le PRA tient.

Ce qu'un exercice cyber révèle presque toujours

Le personnel de nuit ne sait pas où trouver les procédures dégradées.
Les listes de rappel téléphonique sont périmées ou stockées sur le réseau inaccessible.
Les jeunes soignants n'ont jamais travaillé sans DPI et sous-estiment le temps que cela prend.
La cellule de crise n'a pas de moyen de communiquer si la téléphonie IP est coupée.
Personne n'a défini qui, hors DSI, valide la reprise du soin sur un système « rétabli ».

Ces constats n'ont rien de honteux : ils sont exactement ce que l'exercice sert à produire. Chaque faille identifiée à froid est une faille de moins le jour de l'attaque. Encore faut-il les transformer en actions concrètes, ce que notre méthode de RETEX pour un plan d'actions opérationnel permet de structurer.

Un scénario cyber s'intègre parfaitement dans une démarche d'exercice Plan Blanc plus large. Nos formateurs — militaires, urgentistes et soignants du SAMU en activité — construisent des scénarios réalistes et animent le débriefing qui en fait un véritable levier d'amélioration.

Organiser un exercice Plan Blanc avec nos experts — nos formations sont finançables via l'OPCO Santé et l'ANFH.

À retenir

Une cyberattaque qui bloque la prise en charge des patients est une situation sanitaire exceptionnelle : elle se gère avec le Plan Blanc, la cellule de crise et des procédures dégradées, pas seulement avec la DSI.
Le référentiel HAS V2027 intègre désormais les risques numériques dans les plans de gestion des tensions et SSE (critère impératif 3.1-05), avec l'exigence d'une cellule de crise opérationnelle en 45 minutes couvrant les 6 fonctions.
Le volet cyber repose sur deux piliers : le PCA (soigner en mode dégradé, sur la durée) et le PRA (restaurer les systèmes sans se réinfecter, avec des sauvegardes déconnectées et testées).
Toute la documentation de crise doit exister en version papier et hors ligne — sinon elle disparaît avec le serveur chiffré.
Un plan cyber ne vaut que s'il est exercé : tabletop, bascule papier réelle et restauration technique testée, suivis d'un RETEX.

La crise cyber n'est plus une question de « si » mais de « quand ». Les établissements qui traversent le mieux ces épisodes sont ceux qui ont transformé leur volet cyber en réflexe collectif, pas en document dormant. C'est un travail d'équipe, à mener avant l'incident.

Questions fréquentes

Une cyberattaque déclenche-t-elle vraiment le Plan Blanc ?

Oui, dès lors qu'elle compromet la continuité des soins ou impose une déprogrammation et des transferts de patients. Une cyberattaque paralysant le système d'information est une situation sanitaire exceptionnelle, gérée via le Plan Blanc (niveau 2 du PGTHSSE), avec activation de la cellule de crise et déclaration à l'ARS.

Quelle différence entre PCA et PRA dans un Plan Blanc cyber ?

Le Plan de Continuité d'Activité (PCA) organise la prise en charge des patients pendant la crise, en mode dégradé (procédures papier, données hors ligne, communications de secours). Le Plan de Reprise d'Activité (PRA) organise la restauration sécurisée des systèmes après l'attaque, à partir de sauvegardes déconnectées et testées, avec un ordre de redémarrage priorisé.

Le volet cyber est-il exigé par la certification HAS V2027 ?

Oui. Le référentiel HAS V2027 impose que les plans de gestion des tensions et des situations sanitaires exceptionnelles intègrent explicitement les risques numériques (critère impératif 3.1-05). L'établissement doit démontrer une cellule de crise opérationnelle en 45 minutes, des exercices intégrant le scénario cyber et un RETEX suivi d'actions d'amélioration.