Patrick Méchain (HAS) : “La certification joue un rôle de levier et non de sanction, visant à améliorer les pratiques au sein des établissements de santé”

Quels sont les premiers résultats des audits de certification réalisés en 2025 ?

Patrick Méchain : Nous sommes en train de clôturer les résultats de la certification pour l’année en cours, marquant ainsi la fin du cinquième cycle de certification. Les visites liées à ce cycle se sont terminées le 12 juillet. Depuis le 1er septembre, nous avons entamé le 6e cycle. Nous n’avons pas encore toutes les décisions du 5e cycle de certification. Les délibérations des commissions de certification concernant les derniers établissements visités en mai, juin et juillet sont en cours. Les dernières décisions de certification pour ce 5e cycle seront rendues en décembre (cf. encadré). Les critères numériques ont été introduits dans la certification du 5e cycle à partir du 1er janvier 2024. Par conséquent, tous les établissements relevant de ce cycle ne sont pas concernés par ces nouveaux critères numériques. Nous avons constaté que les établissements visités entre le 1er janvier 2024 et le 12 juillet 2025 se sont déjà saisis de ce sujet.

Qu’est-ce qui a motivé l’intégration des critères numériques dans le référentiel de certification ?

P. M. : Auparavant, les ingénieurs des systèmes d’information étaient isolés dans leurs activités, leurs alertes n’étant pas toujours prises en compte, faute de critères établis. L’introduction de ces critères dans la certification a donc permis de mobiliser les gouvernances sur ce sujet. Parallèlement, les cyberattaques ont également touché les établissements de santé, avec des piratages paralysant l’ensemble de leurs activités. Nous avions d’ailleurs demandé au  centre hospitalier de Versailles de témoigner de leur expérience sur leur cyberattaque qui avait paralysé l’ensemble de leurs activités.

Ces témoignages et ces expériences vécues par nos collègues ont permis une meilleure prise en compte de cette problématique. Par conséquent, à partir de janvier 2024, nous avons commencé à auditer des établissements de santé pour évaluer leur gestion du risque numérique dans leurs activités. Pour ce faire, nous avons recruté des experts visiteurs spécialisés dans le numérique, dont le profil a été élaboré en collaboration avec la Délégation du numérique en santé (DNS). Les critères ont également été élaborés en partenariat avec la DNS et la mission numérique en santé de la HAS, notamment avec Corinne Collignon et son équipe. Les experts visiteurs ont été recrutés sur des profils non pas d’auditeurs de sécurité, mais de professionnels intéressés par la manière dont les établissements s’organisent pour gérer ce sujet. Il est important de souligner que nous ne réalisons pas d’audits de sécurité des systèmes d’information à proprement parler.

Quel est le bilan de vos premières démarches ?

P. M. : Cette démarche a permis une forte sensibilisation. Nous avons interrogé des établissements sur leur préparation face à une cyberattaque, notamment la protection de leur système d’information.