Le 15 janvier 2025, la Commission européenne a dévoilé un plan ambitieux pour renforcer la cybersécurité dans le secteur de la santé au sein de l’Union européenne (UE). Ce secteur, vital pour la population, est devenu une cible privilégiée des cyberattaques en raison de sa dépendance croissante aux technologies numériques. Le nouveau plan présente une stratégie globale pour prévenir et répondre aux menaces tout en soutenant les établissements de santé dans leurs efforts de transformation numérique.
Un secteur sous haute pression cyber
En 2023, le secteur de la santé a enregistré 309 incidents de cybersécurité signalés à l’échelle de l’UE, un chiffre supérieur à celui de tout autre secteur critique. Parmi ces incidents, les attaques par ransomware représentent 54 %, perturbant des services médicaux essentiels et compromettant à la fois la sécurité des patients et la confidentialité de leurs données. Ces attaques ont entraîné la fermeture temporaire de services hospitaliers, retardé des traitements et mis en danger des vies humaines.
La numérisation accrue dans le domaine de la santé, bien qu’offrant des opportunités pour améliorer les soins, a également augmenté la surface d’attaque. Les dossiers médicaux électroniques, les dispositifs connectés, et les systèmes de gestion hospitaliers sont devenus des cibles stratégiques pour les cybercriminels.
Les axes majeurs du plan d’action
Face à cette menace croissante, le plan d’action de la Commission européenne repose sur plusieurs piliers clés :
- Création d’un centre paneuropéen de soutien à la cybersécurité : Ce centre, qui sera géré par l’Agence de l’UE pour la cybersécurité (ENISA), a pour mission d’offrir des orientations personnalisées, des outils, des formations et des services aux établissements de santé. Il agira comme un point de coordination pour renforcer les capacités des acteurs locaux face aux menaces cybernétiques.
- Mise en place d’un système européen d’alerte précoce : Prévu pour être opérationnel à partir de 2026, ce système permettra de diffuser des alertes en temps quasi réel sur les cybermenaces potentielles. Il s’agit d’une évolution majeure pour améliorer la détection précoce et coordonner les réponses aux attaques.
- Renforcement des capacités de réponse aux incidents : La Commission encourage les états membres à investir dans des équipes d’intervention en cas d’urgence informatique (CERTs) spécialisées dans le domaine de la santé. Ces équipes disposeront de protocoles standardisés pour intervenir rapidement en cas de cyberattaques.
- Promotion des meilleures pratiques : Le plan prévoit l’élaboration de lignes directrices communes pour la gestion de la cybersécurité dans les infrastructures de santé. Cela inclut des recommandations sur la sécurisation des dispositifs médicaux connectés, la gestion des accès et la formation du personnel.
- Sensibilisation et formation : Un programme de sensibilisation sera déployé pour informer les professionnels de santé des risques cybernétiques et des moyens de s’en protéger. La formation jouera un rôle crucial pour élever le niveau de compétence et réduire les vulnérabilités humaines.
Un enjeu de souveraineté numérique
Ce plan d’action répond à un besoin impératif de renforcer la résilience des infrastructures critiques en Europe. La santé, étant un secteur essentiel, joue un rôle stratégique dans la sécurité nationale et la stabilité sociétale. En outre, la capacité à protéger efficacement les données médicales et les systèmes de santé contribue à la souveraineté numérique de l’UE face aux menaces émanant d’acteurs étrangers.
L’Europe cherche ainsi à devenir un modèle mondial en matière de cybersécurité des soins de santé, tout en favorisant l’autonomie stratégique et l’innovation technologique. La protection des données des patients, en conformité avec le RGPD, demeure une priorité absolue dans cette démarche.
Les défis à relever
Malgré les ambitions du plan, plusieurs défis restent à relever :
- Fragmentation des capacités : Tous les états membres ne disposent pas des mêmes niveaux de ressources ou d’expertise en cybersécurité. Harmoniser les standards et assurer une coordination efficace à l’échelle de l’UE sera crucial.
- Adoption des solutions technologiques : L’intégration des nouvelles technologies de cybersécurité dans des infrastructures parfois obsolètes représente un véritable défi technique et financier pour de nombreux établissements de santé.
- Résilience face aux nouvelles menaces : Les cybercriminels adaptent constamment leurs stratégies. L’UE devra être en mesure d’anticiper et de répondre rapidement aux évolutions des menaces.
Un avenir prometteur pour la cybersécurité en santé
Le plan d’action de la Commission européenne constitue une étape importante vers une meilleure protection du secteur de la santé. En créant un cadre stratégique et en renforçant les capacités locales, l’UE montre sa détermination à protéger les citoyens et à garantir la continuité des services médicaux, même en cas de crise cybernétique. Ce projet ambitieux devra s’appuyer sur une collaboration étroite entre les états membres, les acteurs du secteur privé et les experts en cybersécurité pour relever les défis à venir.
La mise en place du centre paneuropéen et du système d’alerte précoce promet de transformer la manière dont les cybermenaces sont gérées dans le domaine de la santé. Ce modèle pourrait également être adapté à d’autres secteurs critiques, renforçant ainsi la résilience globale de l’Europe face aux cyberattaques.
