L’Agence du Numérique en Santé (ANS) vient de lancer un appel à projets pour accompagner 21 établissements et services médico-sociaux (dont des EHPAD) dans leur montée en maturité cybersécurité. Les candidatures ouvrent le 11 mai 2026 et se clôturent le 4 juin 2026. Un dispositif concret à saisir dans un secteur où les cyberattaques ont triplé en quatre ans. Avant de candidater, consultez le guide sur l’audit de conformité RGPD, NIS2 et HDS v2 obligatoire avant candidature CaRE.
Les EHPAD dans le viseur des cybercriminels
Le constat est sans appel : les EHPAD et les établissements médico-sociaux sont devenus des cibles prioritaires pour les cyberattaquants. En 2024, le secteur santé et médico-social a subi 43 cyberattaques majeures en France. Les déclarations d’incidents de sécurité par les EHPAD ont triplé entre 2020 et 2024, selon l’ANS. En décembre 2025, un EHPAD de la Vienne a été victime d’un rançongiciel — chiffrement de fichiers patients, exfiltration potentielle de données personnelles, alerte aux familles sur le risque d’usurpation d’identité.
Pourquoi les EHPAD sont-ils aussi exposés ? Plusieurs facteurs se cumulent :
- Des données ultra-sensibles : dossiers médicaux, prescriptions, données biométriques, numéros de sécurité sociale — une mine d’informations revendables sur le darkweb
- Des systèmes d’information vieillissants : logiciels DUI non maintenus, postes informatiques obsolètes, mots de passe partagés
- L’absence quasi-totale de ressources IT dédiées dans les petites et moyennes structures : pas de DSI, pas de RSSI, souvent un seul référent informatique aux compétences limitées
- Une multiplicité d’accès : soignants, prestataires extérieurs, familles, livraisons — autant de points d’entrée potentiels
- L’erreur humaine : 60 à 95 % des incidents impliqueraient une erreur humaine (ouverture d’un email de phishing, mot de passe faible, clic sur un lien frauduleux)
Le programme CaRE et cet appel à projets
L’appel à projets s’inscrit dans le programme CaRE — Cybersécurité Accélération et Résilience des Établissements — doté de 750 millions d’euros jusqu’en 2027 et piloté par l’Agence du Numérique en Santé. Jusqu’ici centré sur les établissements de santé (hôpitaux), le programme étend son action aux ESSMS avec cet appel à projets spécifiquement dédié aux structures sociales et médico-sociales.
Ce premier appel à projets prend la forme d’un POC (Proof of Concept) : une phase exploratoire auprès de 21 structures sélectionnées, destinée à tester et documenter des parcours d’accompagnement adaptés au terrain avant un déploiement à grande échelle. Un budget de 8 millions d’euros est alloué à la cybersécurité dans le secteur médico-social dans ce cadre.
Les 3 niveaux d’accompagnement : trouver sa place
L’innovation de cet appel à projets réside dans son approche différenciée. Plutôt qu’un accompagnement uniforme, l’ANS propose trois parcours selon le niveau de maturité cybersécurité de l’établissement :
| Parcours | Profil de l’établissement |
|---|---|
| Parcours 1 | Maturité peu avancée : aucune ressource cyber dédiée, pas de référent informatique formé |
| Parcours 2 | Maturité peu avancée mais ressources partielles : un référent informatique sans formation cyber spécifique |
| Parcours 3 | Maturité moyennement avancée : pratiques et ressources établies, à consolider |
L’objectif déclaré de l’ANS est de « permettre aux structures, quel que soit leur point de départ, de mettre en œuvre des mesures organisationnelles, techniques et de sensibilisation adaptées à leurs enjeux. » Les 21 lauréats devront constituer un panel représentatif : EHPAD, FAM, MAS, SSIAD, IME/ITEP, de tailles et localisations géographiques variées.
Chaque lauréat sera accompagné par son Centre Régional de Ressources Cyber (CRRC) : diagnostic initial, orientation vers le bon parcours, préparation du dossier, suivi de mise en œuvre pendant 8 mois (juillet 2026 – février 2027).
Comment candidater avant le 4 juin 2026
Le calendrier est serré. Voici les étapes à respecter :
- Avant le 11 mai : contacter son CRRC régional pour réaliser un cyberdiagnostic gratuit et déterminer son niveau de maturité (cela prend généralement 2 à 4 semaines)
- Du 11 mai au 4 juin 2026 : dépôt du dossier de candidature sur la plateforme convergence.esante.gouv.fr
- Juillet 2026 : notification des 21 lauréats et démarrage du POC
- Juillet 2026 – février 2027 : mise en œuvre des mesures cybersécurité accompagnée par le CRRC
Rappel important : le guichet D1 du programme CaRE (financement du cyberdiagnostic de base pour les ESSMS) ferme le 30 juin 2026. Même sans candidater au POC des 21, tout EHPAD a intérêt à réaliser ce diagnostic avant cette date.
Les obligations réglementaires : ce que les directeurs doivent savoir
La cybersécurité n’est plus un sujet optionnel pour les EHPAD. Plusieurs textes créent des obligations concrètes :
RGPD (données de santé — catégorie spéciale) : Tout incident de sécurité touchant des données de santé doit être notifié à la CNIL sous 72 heures. L’absence de notification expose à des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Les EHPAD doivent tenir un registre de traitements, réaliser des analyses d’impact (AIPD) pour les traitements sensibles, et désigner un Délégué à la Protection des Données (DPO).
Directive NIS2 (entrée en vigueur effective 2026) : Les ESSMS de taille significative (plus de 50 salariés, chiffre d’affaires supérieur à 10 M€) peuvent relever de la catégorie « entités importantes ». Obligations : gouvernance cyber validée par la direction, gestion des risques documentée, notification des incidents, sécurité de la chaîne d’approvisionnement (vérifier la certification HDS de vos éditeurs DUI). Depuis le 17 mars 2026, l’ANSSI a publié le référentiel ReCyF aligné NIS2.
Programme CaRE — Objectifs D1 et D2 : Le guichet D1 bis est ouvert depuis le 13 février 2026. Le guichet D2 (déclaration d’atteinte des objectifs) depuis le 16 janvier 2026. Ces objectifs s’imposent progressivement à l’ensemble des ESSMS.
Bonnes pratiques immédiatement applicables sans attendre
Que l’établissement candidate ou non au POC CaRE, plusieurs mesures peuvent être mises en place sans délai :
- Cartographier les systèmes d’information : DUI, logiciel de pharmacie, messagerie, postes de travail, accès internet — identifier ce qui est connecté
- Mettre en place des sauvegardes déconnectées (règle 3-2-1 : 3 copies, 2 supports différents, 1 copie hors site) et les tester régulièrement
- Sensibiliser le personnel soignant aux risques phishing : organiser des campagnes de simulation d’emails frauduleux, former aux bons réflexes
- Rédiger ou mettre à jour le Plan de Continuité d’Activité (PCA) et le Plan de Reprise d’Activité (PRA) en cas de cyberattaque — question incontournable lors d’une inspection ARS
- Vérifier la certification HDS de ses prestataires logiciels (éditeurs DUI, hébergeurs) — une obligation contractuelle et réglementaire
- Désigner un référent cybersécurité interne — même non-expert : un point de contact identifié pour les incidents et les formations
La maturité numérique des EHPAD est devenue un enjeu de gouvernance au même titre que la qualité des soins. Les directeurs qui intègrent la cybersécurité dans leur stratégie DUI et leur gestion des risques protègent non seulement les données des résidents, mais aussi la continuité des soins et leur responsabilité juridique. La transformation numérique portée par le développement de la télémédecine et de l’intelligence artificielle en EHPAD rend cette vigilance encore plus indispensable.
Un petit EHPAD de 60 lits peut-il candidater au POC CaRE ?
Que se passe-t-il en cas de cyberattaque avant d’avoir mis en place ces mesures ?
