Quand l'écran du DUI s'éteint, les transmissions s'arrêtent aussi

Il est 7h30. L'équipe de nuit doit transmettre les paramètres surveillés, les traitements administrés, les chutes signalées. Mais le dossier usager informatisé (DUI) ne répond plus : écran figé, message d'erreur, ou tout simplement plus d'accès. Ce n'est pas un scénario d'école. En 2025, 288 signalements reçus en 2025 indiquent que les établissements ont été contraints de passer en mode dégradé ou d'interrompre la prise en charge des patients, soit 38% des signalements reçus. Et parmi les établissements passés en mode dégradé, 20% des établissements ayant eu recours au mode dégradé ont subi une interruption du système de prise en charge d'un patient. Pour une IDEC, cela signifie revenir au support papier, reconstituer le plan de soins de mémoire, et sécuriser le circuit du médicament sans l'alerte informatique.

C'est dans ce contexte que l'Agence du Numérique en Santé (ANS) a annoncé les lauréats de son appel à projets cybersécurité destiné aux établissements sociaux et médico-sociaux (ESSMS) — 21 structures ont été retenues par le comité d'engagement, réuni le 2 juillet 2026 — dans le cadre du programme CaRE. Un dispositif d'accompagnement, sélectif, qui vient s'ajouter à une obligation légale plus large de déclaration des incidents — et qui interroge directement l'organisation quotidienne des soins.

Ce que révèlent les signalements 2025 du CERT Santé

Chaque année, l'ANS et le CERT Santé publient un état des lieux des incidents de sécurité informatique déclarés par les établissements de santé et médico-sociaux : l'Observatoire des signalements d'incidents de sécurité des systèmes d'information pour les secteurs santé et médico-social. En 2025, le nombre total d'incidents déclarés (764 signalements) a légèrement augmenté par rapport à 2024 (749), une hausse modérée en apparence. Mais le nombre d'établissements concernés progresse plus vite : le nombre d'établissements (606) ayant déclaré au moins un incident est en augmentation de 9% par rapport à 2024. Le signal le plus net vient du médico-social : l'augmentation significative (+50%) du nombre d'établissements et services médico-sociaux ayant déclaré au moins un incident traduit à la fois une sinistralité réelle et une meilleure appropriation de l'obligation de signalement dans un secteur qui, historiquement, se déclarait peu.

Deux chiffres cadrent la gravité de la situation. le nombre d'incidents majeurs poursuit sa baisse (2 en 2025 contre 3 en 2024). Mais parmi les structures ayant nécessité l'intervention de l'Agence nationale de la sécurité des systèmes d'information, le rapport recense 4 EHPAD, deux établissements de santé privés, deux laboratoires de biologie médicale et un établissement de service médico-social victimes de rançongiciels. Un rançongiciel bloque en général l'accès à l'ensemble des données numériques de l'établissement, DUI compris, le temps de la remédiation. Face à cette pression, 71 établissements ont bénéficié d'un appui technique de la part du CERT Santé (contre 75 en 2024), un service dont le CERT Santé assure une réponse à incident accessible 24h/24 et 7j/7. Autre indicateur à retenir pour une équipe d'encadrement, une étude CaRE menée auprès de près de 720 directeurs d'établissement, dont 79 % déclarent se considérer bien préparés ou, a minima, assez bien préparés à une crise cyber — soit un directeur sur cinq qui ne l'est pas, ou pas suffisamment.

Une obligation légale, pas une démarche volontaire

Ce sont ces déclarations qui alimentent l'Observatoire du CERT Santé, et elles ne relèvent pas du bon vouloir de l'établissement. En application de l'article L. 1111-8-2 du code de la santé publique, les établissements de santé, les hôpitaux des armées, les centres de radiothérapie et les laboratoires de biologie médicale doivent déclarer leurs incidents de sécurité des systèmes d'information. Cette obligation, conçue pour le secteur sanitaire, concerne aussi les ESSMS : Depuis le 18 novembre 2020, cette obligation a été étendue aux établissements médico-sociaux par ordonnance n°2020-1407 du 18 novembre 2020 relative aux missions des agences régionales de santé (ARS). Ses modalités pratiques sont précisées par voie réglementaire, et l'agence rappelle elle-même que Le décret d'application n°2022-715 du 27 avril 2022 précise le rôle et les missions de l'ANS en matière de traitement des signalements. Concrètement, un EHPAD ou un ESSMS qui subit un incident significatif — panne prolongée du DUI, chiffrement de données, intrusion — doit le signaler à l'ANS, indépendamment de toute participation à un dispositif d'accompagnement. Cette obligation ne doit pas être confondue avec l'appel à projets présenté ci-dessous : la première s'impose à tous les établissements concernés, le second reste un dispositif sélectif auquel seule une partie des candidats accède.

21 lauréats retenus, sur 104 dossiers déposés

L'Agence du Numérique en Santé (ANS), en lien avec la Délégation au numérique en santé (DNS), a retenu 21 lauréats à l'issue de son appel à projets cybersécurité destiné aux ESSMS. Lancé au printemps 2026 dans le cadre du programme CaRE, cet appel à projets vise à expérimenter différentes modalités d'accompagnement. Ouverte du 11 mai au 4 juin 2026, la phase de candidature a suscité un fort intérêt : 169 candidatures ont été ouvertes sur la plateforme Convergence, et 104 dossiers ont été déposés. 21 structures ont été retenues par le comité d'engagement, réuni le 2 juillet 2026, composé de représentants de la DNS, de l'ANS, de la Cnam, de la CNSA et des GRADeS.

Il s'agit bien d'un dispositif d'accompagnement sélectif, pas d'une aide généralisée à l'ensemble du secteur : sur 104 dossiers déposés, environ un cinquième a été retenu. Aucun montant n'est aujourd'hui publié par lauréat. Les 21 lauréats sont désormais invités à se rapprocher de leur Centre Régional de Ressources Cybersécurité (CRRC) ou de leur GRADeS pour engager les travaux.

Le programme CaRE et l'appui régional des CRRC

Le dispositif s'inscrit dans le programme national CaRE. Son axe consacré aux Centres Régionaux de Ressources Cybersécurité mobilise des moyens dédiés : une délégation de 26 M€ au titre du FIR avec une répartition de 18 M€ pour les objectifs généraux et 8 M€ pour le secteur médico-social sur la période 2024-2026. Ces centres poursuivent 8 objectifs généraux définis et 3 spécifiques, propres au secteur du médico-social.

À l'échelle du programme CaRE dans son ensemble, l'adhésion du secteur est déjà large : 85% des établissements éligibles ont candidaté au premier appel à financement, soit 1182 établissements, et 7 000 audits de la surface d'exposition sur internet ont été réalisés par les candidats. Un autre axe du programme, consacré à la sécurité opérationnelle des établissements, cible spécifiquement la capacité à reconstituer les fonctions critiques après un incident : l'objectif du domaine Stratégie de continuité et de Reprise d'activité est de permettre aux établissements sanitaires et médico-sociaux, en cas d'incident, de reconstituer rapidement les services critiques. Cette capacité de reprise rapide des services essentiels concerne directement l'encadrement soignant, pas seulement le service informatique.

Ce que l'IDEC peut anticiper, concrètement

Le sujet ne se limite pas aux 21 lauréats de l'appel à projets. Il touche à l'organisation quotidienne des soins, un terrain que le rôle de l'IDEC en EHPAD couvre déjà largement : coordination, traçabilité, continuité de la prise en charge. Trois points méritent d'être anticipés en équipe.

  • Savoir qu'un mode dégradé existe, et s'y préparer. Ce n'est pas une hypothèse théorique : 288 signalements reçus en 2025 indiquent que les établissements ont été contraints de passer en mode dégradé ou d'interrompre la prise en charge des patients, soit 38% des signalements reçus. Un plan de continuité qui prévoit le retour au support papier pour les transmissions, le plan de soins et le circuit du médicament limite l'impact direct sur le résident.
  • Situer le signalement d'un incident informatique dans la chaîne de traçabilité de l'établissement. Consulter la procédure événements indésirables EI/EIG aide à comprendre où s'articule ce type de signalement avec les autres remontées de l'établissement, et pourquoi les procédures SOS IDEC gagnent à intégrer ce scénario au même titre qu'une rupture de stock ou une chute grave.
  • S'appuyer sur l'appui existant. En cas d'incident, un appui technique existe : le CERT Santé assure une réponse à incident accessible 24h/24 et 7j/7, et les 21 lauréats de l'appel à projets sont désormais orientés vers leur CRRC ou leur GRADeS pour structurer cet accompagnement dans la durée.

Le DUI lui-même reste un chantier en cours de généralisation, indépendamment de la question cyber. Le programme ESMS numérique vise à accélérer la mise en œuvre et l'utilisation effective d'un DUI et interopérable dans tous les établissements et services sociaux et médico-sociaux, avec un financement dédié au déploiement : 7 k€ par ESMS pour le développement des usages sont prévus dans le cadre de l'instruction relative à la mise en œuvre de la phase de généralisation du programme ESMS numérique. Pour l'IDEC, ce DUI est l'outil de référence au quotidien : le DUI est l'outil qui permet de recueillir toutes les données et écrits professionnels utiles pour rendre compte des besoins d'une personne afin de faciliter la conception, la mise en œuvre et l'évaluation de plans personnalisés d'accompagnement. C'est précisément parce que cet outil devient central que sa disponibilité — et donc sa protection — devient un enjeu de soin, autant qu'un enjeu informatique.

Pour resituer ces compétences dans le quotidien de fonction, la fiche de poste IDEC 2026 et les compétences de l'IDEC permettent de faire le lien entre coordination des soins et vigilance sur les outils numériques qui la portent ; le guide métier IDEC et les outils SOS IDEC complètent ce travail d'organisation au quotidien.

Sources officielles