Quelles sont les obligations en matière de cybersécurité dans les EHPADs ?

La cybersécurité en EHPAD passe par la protection des données médicales des résidents, le signalement des incidents graves et la préparation de l’établissement aux crises numériques. Ces obligations concernent à la fois la direction, les équipes soignantes, les fonctions administratives et les prestataires informatiques.

La protection des données médicales des résidents

Un EHPAD a l’obligation de protéger les données personnelles et médicales qu’il collecte, stocke et partage dans le cadre de l’accompagnement des résidents. Cette obligation concerne les informations de santé, mais aussi les données administratives, les coordonnées des proches, les données RH des salariés et tous les échanges numériques liés au fonctionnement de l’établissement.

Comprendre où circulent ces données pour la cybersécurité de l’EHPAD

Dans un EHPAD, ces données circulent dans plusieurs outils : les dossiers informatisés, les logiciels de soins, les messageries professionnelles, les outils de planning, les solutions de facturation, les sauvegardes, les postes informatiques et parfois les équipements connectés.

Savoir qui est autorisé à consulter et traiter les données médicales

Un soignant, un cadre, un agent administratif, un prestataire informatique ou un intervenant extérieur ne doivent pas disposer des mêmes droits. Chaque accès doit correspondre à un besoin réel et maîtrisé. Cette règle vaut aussi pour les accès à distance, la télémaintenance et les comptes administrateurs, qui exposent fortement le système d’information s’ils sont mal encadrés.

L’obligation d’intégrité des données stockées

Préserver l’intégrité des données, c’est conserver des informations exactes, complètes et non altérées. Une modification non autorisée dans un dossier résident, une perte de données de transmission ou une altération d’un document médical peut avoir des conséquences directes sur l’accompagnement.

La protection des données médicales repose donc aussi sur la mise à jour des outils, la robustesse des mots de passe, une gestion rigoureuse des comptes utilisateurs et une surveillance des accès sensibles.

L’accès à l’information en cas de faille de cybersécurité dans l’EHPAD

La disponibilité des données est tout aussi importante. En cas de panne, d’attaque par rançongiciel ou de suppression accidentelle, l’EHPAD doit pouvoir continuer à accéder aux informations indispensables à la prise en charge des résidents. Les tests de restauration font partie des mesures attendues pour limiter l’impact d’un incident numérique.

Signaler les incidents graves de sécurité informatique

Un EHPAD doit déclarer les incidents graves qui affectent la sécurité de son système d’information. Cette obligation concerne les événements qui perturbent le fonctionnement normal de l’établissement, exposent des données sensibles ou créent un risque pour la continuité de l’accompagnement.

Comment déclarer un incident de cybersécurité survenu dans l’EHPAD ?

Depuis l’instruction n° SHFDS/FSSI/2023/78 du 23 mai 2023, l’obligation de signalement des incidents graves de sécurité des systèmes d’information s’applique aux établissements et services sociaux et médico-sociaux (ESSMS). Un EHPAD doit donc déclarer les incidents concernés via le portail de signalement des événements sanitaires indésirables. Le signalement est transmis aux acteurs compétents, notamment l’ARS, l’Agence du numérique en santé et le CERT Santé.

Dans quels cas d’atteinte à la cybersécurité la déclaration est-elle obligatoire ?

Plusieurs situations justifient la déclaration. Cela peut être une fuite de données, une compromission de comptes utilisateurs, une attaque par hameçonnage ayant donné accès au système d’information, ou encore une panne grave qui empêche les équipes d’accéder aux outils numériques nécessaires au fonctionnement de l’établissement.

Cette déclaration permet d’obtenir un soutien adapté, mais aussi de faire remonter les informations utiles à la prévention des risques dans le secteur médico-social. Un incident isolé dans un EHPAD peut révéler une méthode d’attaque utilisée contre d’autres structures. Le signalement contribue donc à protéger l’établissement, mais aussi l’ensemble du secteur.

S’organiser pour respecter l’obligation de déclaration d‘incident dans l’EHPAD

Pour respecter cette obligation, l’EHPAD doit savoir à l’avance qui déclare l’incident, avec quelles informations et dans quels délais internes. La direction, le référent numérique, le prestataire informatique et les responsables de service doivent pouvoir identifier rapidement la nature de l’incident, ses premiers impacts et les mesures déjà prises.

Prévoir les cyberattaques dans le plan bleu de l’EHPAD

Le plan bleu suppose que l’EHPAD prévoit les conditions qui lui permettent de fonctionner lorsque ses outils numériques deviennent indisponibles. Il doit donc préciser les procédures à appliquer si la messagerie, les logiciels de planning, les accès réseau ou encore certains équipements connectés ne sont plus accessibles.

Cette anticipation couvre toutes les informations indispensables à l’accompagnement des résidents. L’EHPAD doit savoir où retrouver les données nécessaires en mode de fonctionnement dégradé, qui peut les consulter, comment les transmettre aux équipes et comment tracer les décisions prises pendant l’incident.

Le plan bleu doit aussi organiser la chaîne d’alerte interne. Chaque acteur doit savoir qui prévenir, qui coordonne les décisions et comment les informations circulent lorsque les canaux habituels ne fonctionnent plus. Cette organisation dans l’EHPAD évite les réponses improvisées, les consignes contradictoires et les pertes d’information entre les équipes.

L’enjeu n’est pas seulement informatique. Une crise cyber peut modifier l’organisation des soins, des transmissions, de l’accueil, de la restauration, des astreintes ou des relations avec les familles. Le plan bleu doit donc traduire le risque numérique en procédures compréhensibles par les professionnels de terrain.

Pour être utile, cette partie du plan bleu doit rester opérationnelle. Concrètement, cela signifie avoir des contacts à jour, des supports accessibles hors ligne, des procédures simples et des responsabilités clairement attribuées. Un EHPAD respecte mieux son obligation lorsqu’il peut appliquer ces consignes même sans accès à ses outils numériques habituels.

Répondre aux critères HAS sur la gestion de crise et la sécurité numérique

Le référentiel de la Haute Autorité de santé (HAS) des établissements et services sociaux et médico-sociaux (ESSMS) intègre la cybersécurité dans l’évaluation de la qualité. Cela signifie que la sécurité du système d’information doit être abordée comme un sujet de gouvernance, et de gestion des risques.

La HAS attend notamment que l’établissement sache gérer une crise liée à une cyberattaque ou à une panne du système d’information. L’EHPAD doit pouvoir montrer que le risque est identifié, compris et pris en compte dans son organisation.

La stratégie numérique de l’établissement doit aussi intégrer des éléments de protection et de sécurité. Cela suppose une vision claire des outils utilisés, des risques associés et des mesures prévues pour éviter qu’un incident informatique ne fragilise l’accompagnement des résidents.

Les critères de la HAS pour la cybersécurité de l’EHPAD concernent la direction, les fonctions support, les équipes d’accompagnement et les intervenants qui utilisent ou administrent les outils numériques.

Documenter son niveau de sécurité avec OPSSIMS

L’Observatoire permanent de la sécurité des systèmes d’information du secteur médico-social (OPSSIMS) aide les EHPAD à formaliser leur niveau de sécurité numérique. Il permet de passer d’une perception générale du risque à une photographie plus précise des pratiques, des équipements, des accès et des points de fragilité.

Pour un EHPAD, cette démarche permet d’identifier ce qui existe déjà et ce qui doit être renforcé. Les réponses renseignées peuvent porter sur l’organisation de la sécurité informatique, la connaissance du parc, les mises à jour, les comptes utilisateurs, les prestataires, la messagerie, la mobilité ou encore les audits réalisés.

L’OPSSIMS sert aussi à hiérarchiser les priorités. Un établissement peut ainsi distinguer les actions simples à engager rapidement des chantiers qui demandent un budget, un accompagnement externe ou une décision de direction.

Dans une logique réglementaire, OPSSIMS aide surtout l’EHPAD à produire des éléments vérifiables sur sa démarche cybersécurité.

Former les équipes aux bons réflexes en cas de crise cyber

La formation des équipes permet à l’EHPAD de rendre ses procédures applicables en situation réelle. Une obligation de préparation reste fragile si les professionnels ne savent pas reconnaître un incident, alerter la bonne personne ou adopter les premiers réflexes.

Les équipes de l’EHPAD doivent donc savoir repérer les signaux d’alerte : un message suspect, une demande inhabituelle d’identifiants, un poste qui se bloque, un logiciel inaccessible ou un comportement anormal du réseau.

La formation doit aussi préciser les gestes à éviter. Un professionnel ne doit pas tenter de résoudre seul une situation qu’il ne maîtrise pas, transférer un message douteux, réutiliser un mot de passe compromis ou brancher un support inconnu. Ces réflexes simples limitent la propagation d’un incident et facilitent l’intervention des personnes compétentes.

Cette montée en compétence concerne toutes les fonctions de l’établissement. Les soignants, les agents administratifs, l’encadrement, la direction et les intervenants ayant accès aux outils numériques doivent recevoir des consignes adaptées à leurs usages. La cybersécurité en EHPAD dépend autant de ces bonnes pratiques quotidiennes que des dispositifs techniques.

Pour appliquer toutes ces obligations, l’établissement doit pouvoir s’appuyer sur des outils fiables, des accès maîtrisés, des sauvegardes exploitables et des prestataires capables d’intervenir rapidement. Acti-One accompagne les EHPAD dans la sécurisation de leurs infrastructures informatiques, réseaux et équipements connectés, avec une approche terrain adaptée aux contraintes du médico-social.