Plus de 250 professionnels des établissements sanitaires et médico-sociaux d’Occitanie ont participé à la première journée régionale dédiée à la cybersécurité en santé en Occitanie, le 3 avril près de Carcassonne. Organisé par l’ARS Occitanie et le GRADeS, cet évènement a proposé des conférences d’experts, des tables rondes, des retours d’expérience et de nombreux ateliers interactifs.

L’objectif affiché était triple :

• informer sur les enjeux et l’état de la menace cyber mais aussi sur les ressources et accompagnement proposés aux établissements sanitaires et médico-sociaux
• inspirer par des retours d’expériences et le partage de bonnes pratiques
• immerger par des mises en situation en atelier

Renforcer la culture commune sur la cybersécurité

Le programme de la journée visait à permettre à chaque acteur, quel que soit son niveau d’expertise, de mieux appréhender les enjeux stratégiques liés à la sécurité numérique et de découvrir des solutions concrètes face aux menaces croissantes des cyberattaques.

Mission accomplie d’après l’enquête de satisfaction : les participants étaient très satisfaits de cette journée (4;6/5), 94% ont répondu que les sujets proposés correspondaient à leurs attentes !

Pascal Durand, Directeur du Premier Recours et des Projets à l’ARS Occitanie, et Julie Durand, Directrice du GRADeS e-santé Occitanie, ont remercié les professionnels pour l’ampleur et la qualité de la mobilisation durant cette journée régionale cybersécurité.

Vincent Trély, Président de l’APSSIS – Association Pour la Sécurité des SI de Santé et animateur de la session plénière et de plusieurs conférences, a souligné tout l’intérêt pour les professionnels de se rencontrer autour de la cybersécurité puisque cela concerne le sanitaire et le médico-social mais aussi au sein d’un même établissement les différents métiers. « Quand la crise arrive, le département informatique a été débordé. Donc la crise va concerner tous les métiers : la direction qui va devoir la piloter, la qualité, les soignants qui vont devoir s’adapter, l’informatique qui va devoir amener à reconstruction des services les uns après les autres.« 

S’informer sur la cybersécurité en santé

Marie-Christine Labes, Responsable du pôle e-santé et transformation numérique à l’ARS Occitanie, a détaillé les priorités en Occitanie. 93 incidents de sécurité ont été déclarés dans la région en 2024, à 39% d’origine malveillante. Les établissements sanitaires se sont globalement renforcés face à la cybermenace. 86% ont un responsable de sécurité des SI (RSSI) dédié, 43% ont réalisé un exercice de crise et un tiers ont mené des campagnes de sensibilisation (consulter le rapport d’activité du GRADeS sur son offre cybersécurité pour en savoir plus). Les établissements médico-sociaux sont à ce stade moins avancés mais des actions spécifiques se développent.

Christophe Fleury, Délégué à la Sécurité Numérique en région Occitanie pour l’ANSSI, Agence nationale de la sécurité des SI, a ensuite partagé les récentes informations sur l’état des lieux de la menace (consulter le rapport 2024 paru en mars 2025)

Plusieurs autres conférences, dans l’après-midi, ont permis aux professionnels d’approfondir certains sujets selon leurs centres d’intérêt :

• NIS 2 : Renforcement de la cybersécurité enEurope, élargissement, nouvelles obligations, par Christophe Fleury et Christophe Mattler, directeur de projet à la DNS – Délégation au Numérique en Santé
• Bonnes pratiques en cas de crise : réactions et conservation des éléments de preuve, par le Major Aranud Faës, Gendarmerie de l’Aude, Chef de service SOLC SIC-CYBER CARCASSONNE
• Dimensions juridiques et responsabilité légales du responsable d’établissement, par Me France Charruyer
• IA, données & cybersécurité : enjeux juridiques et conformité réglementaire, par Me France Charruyer

Régulièrement, le GRADeS diffuse les informations essentielles sur les programmes nationaux via la lettre d’information et met à jour le centre de ressources cybersécurité.

Se projeter dans une situation de crise pour mieux l’anticiper

L’importance du facteur humain à été soulignée par l’anthologue Dr Judith Nicogossian, qui a décrit les réactions en cas d’attaque (sidération, super héros, chevalier noir…). Les connaître et les anticiper permet de mieux gérer la crise.

« C’est un drame collectif une cyber-attaque et la manière dont on y répond est aussi la force d’un collectif  » a relevé Vincent Trély.

Les témoignages de Vincent Goutines, Responsable des Systèmes d’Information au Centre Hospitalier de Cahors, et de Pascale Ranger, Responsable Systèmes d’Information à Résilience Occitanie, sur les attaques subies ont suscité de nombreuses réactions dans le public. Les intervenants à la table-ronde, Estelle Nicaud, Responsable de mission CaRE à l’Agence du Numérique en Santé (ANS), Michael Huart, Responsable de l’unité vigilances et préparation aux crises sanitaires à l’ARS Occitanie et Me France Charruyer, Avocate – Droit des nouvelles technologies et des usages numériques, ont apporté leurs éclairages pour être mieux préparés et plus solides.

Les professionnels ont également au d’autres occasions de se représenter de telles situations lors des ateliers de l’après-midi :

• Au cœur de la crise, immersion simulation grandeur nature au sein d’une DSI, par Baptiste Paulard, Chef de projet cybersécurité et Pablo Bustamante, RSSI au GRADeS e-santé Occitanie
• Dans la tête d’un hacker, démonstration d’une attaque, par Antoine Vacher, Ethical Hacker – Auditeur Technique Cyblex Consulting, intervenant pour la commission Sécurité de la Mêlée Numérique

L’offre de services cybersécurité pour les établissements sanitaires et médico-sociaux en Occitanie

La journée régionale cybersécurité en Occitanie visait aussi à informer les professionnels sur l’offre de services qui leur est proposée en Occitanie par le GRADeS, sur financements de l’ARS Occitanie. L’affluence a été régulière sur le stand dédié et l’équipe cybersécurité du GRADeS repart avec une nouvelle longue liste de demandes et un stock d’affiches et ‘autocollants de sensibilisation nettement réduit !

Deux ateliers participatifs ont permis aux professionnels de tester des outils de préparation et de sensibilisation :

• PCRA : de la théorie à la pratique : présentation des outils pour la construction de votre plan de continuité et reprise d’activité
• Innover pour sensibiliser, engager et mobiliser durablement

2026, prochaine journée régionale cybersécurité en santé en Occitanie

La date reste à définir mais le principe semble acquis : une nouvelle journée régionale cybersécurité en santé sera organisée en 2026.