En 2025, les ESMS ont déclaré 204 incidents de sécurité informatique — soit une hausse de 33 % par rapport à 2024, selon l'observatoire du CERT Santé. Derrière ce chiffre, une réalité souvent méconnue : dans la majorité des cas, ce n'est pas un système défaillant qui est en cause, c'est un comportement humain. Un clic sur un lien de phishing, un mot de passe partagé, un compte non désactivé après un départ. La culture du risque cyber dans les ESMS est donc le premier rempart — et le plus efficace — contre les cyberattaques. Encore faut-il savoir comment la construire concrètement.
Culture du risque cyber dans les ESMS : comment faire de chaque collaborateur un maillon fort
+33 % d'incidents déclarés en 2025, +50 % d'ESMS touchés. La menace cyber ne recule pas — elle se déplace vers le médico-social. Et le meilleur antivirus reste encore un collaborateur qui sait reconnaître une attaque.
La cybersécurité n'est pas de la seule responsabilité des équipes IT ou des prestataires informatiques. C'est une culture d'établissement — qui commence par les dirigeants et concerne chaque professionnel, du soignant à l'agent d'accueil.
Que vous soyez directeur d'EHPAD, RSSI ou responsable RH dans un ESMS, ce guide vous explique pourquoi la culture du risque cyber est devenue une priorité organisationnelle — et comment la mettre en place concrètement, quelle que soit la taille de votre structure.
Pourquoi la culture du risque cyber est devenue urgente pour les ESMS
Pendant longtemps, les ESMS se pensaient en dehors du viseur des cyberattaquants. Les hôpitaux, oui. Les grandes structures, peut-être. Mais un EHPAD de 80 résidents ou un SSIAD de 15 salariés ? Trop petit pour intéresser quelqu'un. Cette perception est aujourd'hui dépassée — et dangereuse.
La menace se déplace vers le médico-social
L'observatoire 2025 du CERT Santé est sans ambiguïté : le nombre d'ESMS ayant déclaré au moins un incident a augmenté de 50 % en un an. Parallèlement, les signalements des établissements de santé traditionnels reculent de 20 %. En d'autres termes, le médico-social est en train de devenir la cible prioritaire — précisément parce que ses défenses sont perçues comme plus faibles et ses données tout aussi précieuses.
Les ransomwares reculent, les comptes compromis progressent
La menace évolue. Les ransomwares spectaculaires qui paralysent tout un établissement pendant 10 jours sont moins fréquents. En revanche, les comptes compromis — identifiants volés, mots de passe réutilisés, accès non désactivés après un départ — progressent fortement. Ces attaques silencieuses sont plus difficiles à détecter, potentiellement plus durables, et souvent impossibles à attribuer si les journaux d'accès ne sont pas maintenus. Or, elles exploitent presque toujours une faille humaine, pas une faille technique.
Donnée clé 2025 : le CERT Santé recense 63 mises en danger patient potentielles, dont 8 mises en danger avérées liées à des incidents cyber. La cybersécurité n'est plus seulement un enjeu informatique — c'est un enjeu de qualité des soins.
Qu'est-ce que la culture du risque cyber dans un ESMS ?
La culture du risque cyber ne se résume pas à une formation annuelle de 30 minutes ou à une affiche dans la salle de pause. C'est un état d'esprit partagé — qui fait que chaque collaborateur, à son niveau, comprend les risques, adopte les bons réflexes et sait quoi faire en cas d'incident.
Les 4 dimensions d'une culture cyber solide en ESMS
Gouvernance et responsabilités claires
Un référent cyber identifié, une politique de sécurité validée par la direction, des rôles et responsabilités connus de tous. La culture cyber commence au sommet — si la direction n'est pas impliquée, elle ne descend pas.
Sensibilisation continue
Des formations régulières, adaptées aux métiers (soignants, administratifs, cadres), qui parlent de situations réelles et pas d'abstractions techniques. La sensibilisation ponctuelle ne crée pas de réflexes durables.
Procédures intégrées au quotidien
Des réflexes qui font partie du travail : déclarer un incident, ne pas partager son mot de passe, signaler un email suspect. Les bonnes pratiques doivent être aussi naturelles que le lavage des mains pour les soignants.
Résilience et gestion de crise
Un PCA/PRA connu, testé et à jour. Chacun sait quoi faire si le SI tombe. En 2025, 60 % des incidents étaient déjà résolus par la structure avant même leur déclaration — signe d'une maturité qui progresse.
Les 6 piliers pour construire une culture du risque cyber dans votre ESMS
Construire une culture cyber solide ne demande pas des mois de chantier ni un budget exceptionnel. En revanche, cela demande de la méthode, de la régularité — et l'implication de la direction. Voici les 6 piliers à mettre en place progressivement dans votre établissement.
1. Impliquer la direction dans la gouvernance cyber
La culture du risque cyber ne peut pas venir uniquement du service informatique. La direction doit valider la politique de sécurité, nommer un référent cyber (RSSI, responsable informatique délégué ou référent mutualisé via un GCS) et communiquer sur l'importance du sujet. En effet, NIS2 impose désormais cette implication de la direction comme une exigence réglementaire — pas une option.
2. Former tous les collaborateurs — soignants inclus
L'erreur classique est de réserver la sensibilisation cyber aux équipes IT. Or, dans un ESMS, ce sont souvent les soignants qui cliquent sur un lien de phishing ou utilisent le même mot de passe sur plusieurs comptes. Les formations doivent être courtes, concrètes et adaptées à chaque public. Un aide-soignant n'a pas besoin de comprendre comment fonctionne un ransomware — mais il doit savoir ce qu'est un email frauduleux et à qui le signaler.
3. Intégrer la sécurité dans les processus RH
Le moment le plus critique pour la sécurité d'un ESMS, c'est l'arrivée et le départ d'un collaborateur. Un compte créé trop tôt expose le SI. Un compte non désactivé après un départ est une porte ouverte. Intégrer des procédures cyber systématiques dans l'onboarding et l'offboarding — avec les équipes RH et IT — est l'une des mesures les plus efficaces et les moins coûteuses. Par ailleurs, c'est une exigence directe du programme CaRE et du référentiel ANS.
4. Créer un canal de signalement simple et connu
Si vos collaborateurs ne savent pas à qui signaler un incident, ils ne le signaleront pas. Un email dédié, un numéro interne, un formulaire accessible depuis le portail : le canal doit être simple et sa communication régulière. En 2025, la culture du signalement progresse dans les ESMS — mais des incidents passent encore sous les radars dans les structures moins outillées.
5. Organiser des exercices de crise réguliers
Les ARS, via les Centres Régionaux de Ressources Cyber (CRRC), organisent des exercices de gestion de crise cyber accessibles aux ESMS. Ces exercices — souvent gratuits ou financés par le programme CaRE — permettent de tester le PCA/PRA, d'identifier les failles organisationnelles et de former les équipes dans des conditions réalistes. Concrètement, un ESMS qui organise un exercice de crise annuel améliore significativement sa capacité de réponse sans investissement technique majeur.
6. Mesurer le niveau de maturité cyber et progresser par paliers
L'ANS propose l'observatoire OPSSIMS (mis à jour en janvier 2026) et le référentiel MaturiN-SMS pour évaluer la maturité numérique des ESMS. Ces outils permettent de se positionner honnêtement, d'identifier les priorités et d'accéder aux financements CaRE adaptés à votre niveau de départ. L'objectif n'est pas d'être parfait — c'est de progresser régulièrement, à son rythme, en s'appuyant sur les dispositifs disponibles.
✅ Les 10 réflexes d'une culture du risque cyber en ESMS
- →Un référent cyber identifié et connu de tous dans l'établissement
- →Une sensibilisation cyber annuelle pour 100 % des collaborateurs
- →Un canal de signalement des incidents simple et connu de tous
- →Des procédures d'arrivée et de départ intégrant la gestion des accès
- →Un PCA/PRA documenté, testé et connu des équipes
- →Des sauvegardes testées régulièrement (règle 3-2-1)
- →Une politique de mots de passe appliquée (longueur, unicité, renouvellement)
- →Des mises à jour systématiques des équipements et logiciels
- →Un exercice de crise cyber organisé au moins une fois par an
- →Une évaluation de maturité (OPSSIMS / MaturiN-SMS) réalisée et actualisée
Comment Isi-APP renforce la culture du risque cyber dans votre ESMS
La culture cyber ne se réduit pas à des outils. Mais les bons outils rendent les bonnes pratiques plus faciles à appliquer au quotidien. C'est précisément le rôle d'Isi-APP dans la stratégie cyber d'un ESMS.
La gestion des accès : première ligne de défense
Le module Isi-Identité automatise la création et la désactivation des comptes à chaque mouvement RH. Concrètement, cela signifie zéro compte orphelin, zéro accès oublié après un départ, et une traçabilité complète des droits — directement auditable par votre référent cyber ou votre ARS. Ainsi, l'un des vecteurs d'attaque les plus fréquents dans les ESMS est éliminé structurellement, sans dépendre d'une vérification manuelle.
La traçabilité des actions : prouver sa conformité
Chaque action dans Isi-APP est horodatée et journalisée. En cas d'incident, la reconstitution de la chronologie des événements est immédiate. En conséquence, votre ESMS dispose des journaux d'audit requis par le RGPD, le programme CaRE et le référentiel ANS — sans effort supplémentaire de votre équipe IT.
Le portail utilisateurs : rendre les bonnes pratiques accessibles
Un portail self-service clair, accessible à tous les profils métiers, réduit les comportements à risque : partage de mots de passe entre collègues, envoi de données par email, accès à des ressources non prévues pour un profil. En simplifiant l'expérience des utilisateurs, Isi-APP réduit les frictions qui poussent les collaborateurs à contourner les règles de sécurité.
Culture du risque cyber et Isi-APP : ce que ça change concrètement
Zéro compte orphelin
Les départs déclenchent automatiquement la désactivation des accès. Le vecteur d'attaque le plus fréquent dans les ESMS est éliminé structurellement.
Audit prêt en permanence
Journaux d'accès, historique des droits, traçabilité des actions : votre ESMS est prêt pour un audit RGPD ou CaRE à tout moment.
Moindre privilège appliqué
Chaque profil accède uniquement aux ressources nécessaires à son rôle. La surface d'attaque est réduite au strict minimum.
Hébergement HDS en France
Les données de vos résidents et collaborateurs restent en France, chez un prestataire certifié HDS — une garantie essentielle pour votre posture cyber.
FAQ : culture du risque cyber en ESMS
QPar où commencer quand on n'a pas de culture cyber du tout ?
Commencez par nommer un référent — même à temps partiel — et par réaliser une évaluation de maturité via l'observatoire OPSSIMS de l'ANS (mis à jour en janvier 2026). Cet outil gratuit vous permet de vous positionner honnêtement et d'identifier les 3 priorités les plus urgentes pour votre structure, sans avoir besoin d'un expert en cybersécurité pour l'utiliser.
QLa sensibilisation cyber peut-elle être financée pour les ESMS ?
Oui. Le programme CaRE finance plusieurs types d'actions de sensibilisation et de formation cyber pour les ESMS, via les ARS régionales. Les Centres Régionaux de Ressources Cyber (CRRC) proposent également des accompagnements gratuits, notamment pour la réalisation de diagnostics et d'exercices de crise. Rapprochez-vous de votre ARS pour connaître les dispositifs actifs dans votre région.
QUn petit ESMS est-il vraiment une cible ?
Oui — et de plus en plus. Les cyberattaquants ciblent précisément les petites structures car elles sont perçues comme moins bien protégées. De plus, leurs données de santé ont une valeur élevée sur les marchés illégaux. La taille n'est pas un bouclier. En revanche, les mesures de base — mot de passe fort, sauvegardes testées, accès limités par rôle — réduisent considérablement le risque, même sans équipe IT dédiée.
QQuelle est la différence entre la culture cyber et la conformité cyber ?
La conformité, c'est cocher des cases dans un référentiel. La culture, c'est que les bonnes pratiques sont adoptées spontanément, même sans contrôle. Un ESMS conforme mais sans culture cyber peut passer un audit et être victime d'une attaque la semaine suivante. Un ESMS avec une vraie culture cyber résiste mieux — parce que ses collaborateurs font les bons gestes au quotidien, sans y penser.
Sur le même sujet
Ressources complémentaires — Blog Isi-DSI
Isi-APP est édité par Isi-DSI, société de conseil SI spécialisée dans les établissements de santé et médico-sociaux.
Vous voulez évaluer la culture cyber de votre ESMS ?
Nos experts font le point avec vous sur votre niveau de maturité et les priorités à mettre en place — en 30 minutes.
Prendre RDV →