Le président de la République s'exprimait à l'issue d'échanges en visioconférence avec les équipes des CH de Dax (Landes) et Villefranche-sur-Saône, tous deux victimes récentes d'un rançongiciel  et où la situation était toujours difficile le 18 février, ont expliqué des responsables des établissements.

Cette décision s'inscrit dans le cadre de la stratégie nationale pour la cybersécurité, annoncée dans le même temps par le président.

Ses principaux axes seront: "le soutien au développement de la recherche et de technologies souveraines" (cela fera l'objet d'un "campus cyber" qui ouvrira ses portes "à l'automne" à La Défense, près de Paris), "le soutien à l'adoption de cybersécurité par les petites et moyennes structures, dont les hôpitaux et les collectivités territoriales, le renforcement de la formation et le doublement du nombre d'emplois dans le secteur d'ici 2025", a déclaré Emmanuel Macron.

La stratégie sera dotée d'un milliard d'euros "largement issus du plan de relance et du programme Investissements d'avenir" (PIA).

Sur ce milliard d'euros, 136 millions pilotés par l'Agence nationale de la sécurité des systèmes d'information (Anssi) seront "destinés à la cybersécurisation des territoires", dont 25 millions pour les établissements de santé et 60 pour les collectivités territoriales, est-il précisé dans le dossier de presse de la stratégie diffusé le 18 février.

Ces fonds "permettront la mise en place d'un accompagnement adapté à chaque bénéficiaire en fonction de leurs enjeux, des impacts potentiels d'une attaque sur leurs réseaux et des moyens disponibles".

"Pour développer une protection autonome et efficace sur le long terme des entités publiques, Un programme d'incubation à la création de centres régionaux de réponse d'urgence aux incidents cyber (CSIRT) est développé par l'Anssi, en partenariat avec les régions", est-il annoncé.

Ces CSIRT seraient basés sur le modèle du centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT-FR), le bras armé de l'Anssi chargé d’une mission de veille, de prévention et de réponse aux attaques informatiques, notamment auprès des institutions publiques et opérateurs d'importance vitale (OIV).

Concernant spécifiquement les secteur sanitaire et médico-social, "on a décidé d'accentuer encore les choses", a déclaré le président. "Le risque est vital, et peut avoir des conséquences dramatiques, qui plus est pendant la pandémie", a-t-il commenté.

Trois mesures ont été annoncées.

Tout d'abord, un "observatoire permanent du niveau de sécurité des établissements de santé" va voir le jour.

"Depuis l'attaque contre le CHU de Rouen fin 2019, on a beaucoup accentué ce travail, on est mûrs" pour créer cet observatoire, a-t-il assuré. Son rôle sera de "coordonner le travail, surveiller les vulnérabilités et mutualiser les expériences acquises pour avoir le meilleur niveau [de cybersécurité] partout".

Ensuite, "la sensibilisation à la cybersécurité sera systématiquement intégrée dans les cursus de formation, car c'est un élément clé dans ses professions qui sont en train de numériser".

Le président de la République a promis "une montée en puissance du service national de cybersurveillance en santé porté l'Agence du numérique en santé" (ANS), qui sera également "accéléré pour fournir un appui aux structures de santé en matière de détection de leurs vulnérabilités en coordination avec l'Anssi".

Enfin, "pour chaque programme numérique, les structures de santé seront invitées à consacrer systématiquement 5 à 10% du budget à la cybersécurité, notamment au maintien en condition de sécurité des SI dans la durée".

"Les cyberattaquants ciblent le maillon le plus vulnérable et s'appuient sur les négligences, un tel plan n'a donc de sens que s'il est exhaustif", a conclu le président.

Le ministre des solidarités et de la santé, Olivier Véran, et le secrétaire d'Etat chargé de la transition numérique et des communications électroniques, Cédric O, "préciseront ces mesures", a-t-il ajouté.

Elles seront financées par 350 millions d'euros issus des 2 milliards d'euros du Ségur, mais "les besoins seront réévalués chaque année".

Par ailleurs, les établissements de santé publics et privés ont représenté 11% des victimes accompagnées par l'Anssi en 2020, selon le dossier de presse. Le nombre de compromissions par rançongiciel est passé de 17 en 2019 à 27 en 2020.

L'Anssi "recense actuellement environ une tentative d'attaque par semaine sur des infrastructures de la chaîne hospitalière", est-il indiqué.

lc/gdl/ab