Enquête de l’ANS sur la cybersécurité hospitalière : une prise de conscience forte mais des moyens encore limités

Publié le jeudi 12 mars 2026 à 18h08

Alors que les cyberattaques contre les hôpitaux se multiplient depuis plusieurs années, une enquête menée par l’ANS auprès de plus de 700 directeurs d’établissements met en évidence une double réalité : la cybersécurité est désormais perçue comme un enjeu stratégique pour la continuité des soins, mais les ressources mobilisées restent encore insuffisantes au regard du niveau de menace.

7 grands enseignements à tirer de l’enquête

Réalisée au printemps 2025 auprès de 719 dirigeants d’établissements publics et privés, cette étude apporte un éclairage inédit sur la manière dont la gouvernance hospitalière appréhende aujourd’hui le risque cyber.

L’enquête conduite par l’Agence du numérique en santé, avec le cabinet Occurence, met en évidence sept grands enseignements sur la perception des menaces numériques dans les établissements de santé : un niveau d’incident encore limité mais révélateur de fragilités, une implication croissante des directions, une préparation encore insuffisante face aux attaques, des impacts perçus avant tout sur la continuité des soins, des marges de progression dans la formation et les exercices de crise, des moyens financiers jugés insuffisants et, enfin, un consensus fort en faveur de la mutualisation des expertises cyber à l’échelle territoriale.

Des incidents encore limités mais révélateurs

Premier enseignement : les cyber incidents ayant réellement perturbé l’activité hospitalière restent relativement rares. Depuis 2022, 15 % des établissements déclarent avoir subi un incident ayant affecté leur fonctionnement. Cependant, ces situations mettent en lumière un déficit de préparation.

Même dans les établissements n’ayant pas connu d’incident, la confiance reste mesurée : seulement 13 % se jugent aujourd’hui pleinement préparés à faire face à une cyberattaque. Pour les décideurs hospitaliers, ces résultats confirment que la cybersécurité ne peut plus être considérée comme un simple enjeu technique, mais bien comme un risque opérationnel susceptible d’affecter directement l’activité de soins.

Une implication croissante des directions

L’étude montre toutefois une évolution importante dans la gouvernance de la cybersécurité. Dans près des deux tiers des établissements, les directeurs ont récemment échangé avec leurs équipes sur les enjeux cyber. 87 % déclarent connaître le plan de prévention cyber de leur établissement, et 72 % participent directement à son élaboration.

Les directions sont également impliquées dans les exercices de gestion de crise : 86 % des établissements associent leur gouvernance à ces simulations. Cette implication traduit une transformation progressive de la cybersécurité en enjeu stratégique de pilotage, intégré à la gestion globale des risques hospitaliers.

Continuité des soins et sécurité des patients en première ligne :

Lorsqu’ils évaluent les conséquences potentielles d’une cyberattaque, les dirigeants hospitaliers placent la continuité des soins comme risque principal, devant les impacts financiers ou organisationnels. La sécurité des patients, mais aussi la qualité de vie au travail des professionnels, figurent également parmi les préoccupations majeures. Une cyberattaque est désormais perçue comme un événement susceptible de déstabiliser l’ensemble du fonctionnement d’un établissement.

Dans ce contexte, les mesures jugées les plus accessibles pour renforcer la résilience restent la formation des équipes, les exercices de crise et l’amélioration des procédures internes.

Mais des budgets qui restent encore contraints :

Malgré cette prise de conscience, les moyens restent limités. Dans 60 % des établissements, la cybersécurité représente moins de 5 % des investissements informatiques, et plus de la moitié consacrent également moins de 5 % de leur budget de fonctionnement numérique à ces enjeux.

Conséquence directe : 42 % des directeurs estiment ne pas disposer des ressources nécessaires pour mettre en œuvre un plan de prévention cyber au niveau requis.