France : le gouvernement lance un plan de cyberdéfense des établissements de santé

Le gouvernement français a présenté, le 18 décembre 2023, un plan d’action visant à « protéger les établissements de santé face à la menace cyber ». Baptisé CaRE, pour « Cybersécurité, accélération et résilience des établissements », il bénéficie d’un programme d’investissement public de 250 millions d’euros d’ici 2025, de 750 millions d’ici 2027.

Selon Aurélien Rousseau, ministre de la Santé et de la Prévention (qui a depuis démissionné), et Jean-Noël Barrot, ministre délégué chargé du Numérique, CaRE a pour but « d’accélérer la mise à niveau des systèmes d’information hospitaliers face à l’état de la menace » et de « renforcer durablement la résilience des structures de soin ».

Ce plan comporte quatre axes d’action :

• structurer la gouvernance de la cybersécurité dans le secteur de la santé et améliorer la résilience des établissements de santé, « en impliquant les niveaux nationaux, régionaux et locaux » ;
• favoriser la mutualisation des ressources et des moyens entre les établissements et y augmenter les effectifs dédiés aux SI et à la cybersécurité ;
• proposer à tous les professionnels de santé et personnels administratifs une formation sur le numérique et la cybersécurité, et les sensibiliser au cadre réglementaire et aux bonnes pratiques ;
• améliorer la sécurité opérationnelle des établissements de santé (identification et correction des vulnérabilités, détection des menaces, plan de défense et de remédiation).

Aurélien Rousseau a par ailleurs annoncé le lancement d’un appel à projets, doté de 60 millions d’euros, pour élaborer des plans de « remédiation cyber » dédiés au secteur de la santé.