Résilience hospitalière : comment les établissements de santé font face aux crises
Un hôpital ne ferme pas. Il ne met pas la clé sous la porte quand la crise arrive, il ne peut pas décaler ses urgences au lendemain ni reporter ses blocs opératoires le temps que la situation se normalise. C'est précisément ce qui le rend si exigeant en matière de résilience - et si vulnérable quand celle-ci fait défaut.
Les menaces qui pèsent sur un établissement de santé ne se résument pas aux cyberattaques, même si ces dernières concentrent aujourd'hui l'attention. La résilience hospitalière recouvre un spectre bien plus large : rupture d'approvisionnement en médicaments ou en dispositifs médicaux, panne d'alimentation électrique prolongée, inondation ou événement climatique extrême, incendie, attentat, pandémie, tension sociale interne. Chacun de ces scénarios a une probabilité d'occurrence réelle et des conséquences potentiellement graves sur la continuité des soins.
Ce que les dernières années ont montré avec une clarté croissante, c'est que la résilience d'un hôpital ne se mesure pas à l'absence d'incidents - elle se mesure à sa capacité à continuer à soigner malgré eux. Les incidents récents en fournissent le contexte le plus éloquent.
Rouen
Dax
Versailles
Paris
Londres
Belgique
Île-de-France
Allemagne
Paris
Qu'il s'agisse d'une cyberattaque, d'une panne électrique, d'une inondation ou d'un attentat, la nature de l'événement déclencheur importe moins que la capacité de l'établissement à y répondre. Dans chacun de ces cas, ce qui a fait la différence - en bien ou en mal - c'est l'existence de plans connus, de rôles attribués et d'équipes capables de décider sous pression. La résilience hospitalière ne se construit pas au moment de la crise.
Ce que la résilience hospitalière recouvre vraiment
Les établissements de santé disposent en général d'une série de plans : plan blanc, plan de continuité d'activité, plan de reprise informatique, plan de gestion des tensions hospitalières. Ces documents existent. Ils sont souvent rédigés avec soin, validés par les autorités, classés dans un tiroir.
La résilience, ce n'est pas ça. C'est la capacité réelle de l'organisation à tenir dans la durée face à une rupture - quelle qu'en soit la nature. Elle suppose que les équipes connaissent les plans, qu'elles les ont pratiqués, qu'elles savent exactement quoi faire quand le système tombe à 3h du matin un dimanche.
Il faut distinguer quatre niveaux de réponse que les établissements confondent souvent :
La plupart des établissements ont des plans. Peu d'entre eux ont des équipes qui les connaissent, encore moins des équipes qui les ont pratiqués. Un plan non exercé est un plan qui échouera le jour où on en aura besoin.
Le cadre réglementaire : OIV, PSO et directive REC
La résilience hospitalière n'est plus seulement une bonne pratique managériale. C'est une obligation juridique pour un nombre croissant d'établissements, et un horizon réglementaire qui se rapproche pour tous les autres.
Les établissements désignés OIV. En France, certains établissements de santé sont désignés Opérateurs d'Importance Vitale (OIV) au titre du secteur Santé. Cette désignation, confidentielle, impose des obligations précises : élaboration d'un Plan de Sécurité de l'Opérateur (PSO) validé par l'autorité de tutelle, réalisation d'audits de sécurité périodiques, mise en place de systèmes de détection d'incidents, et organisation d'exercices de crise selon un calendrier imposé. Le PSO est le document central de la démarche OIV : il identifie les activités d'importance vitale, les points d'importance vitale (PIV) qui les soutiennent, les menaces pesant sur ces points, et les mesures prises pour y faire face.
La directive REC et le secteur santé. La directive européenne REC (Resilience of Critical Entities), transposée en droit français, étend les obligations de résilience au-delà du périmètre OIV historique. Le secteur de la santé figure explicitement parmi les secteurs critiques visés. Des établissements qui n'étaient pas soumis au régime OIV se trouvent désormais dans le champ de la directive, avec des obligations nouvelles en matière d'analyse des risques, de plans de résilience et de notification des incidents.
Concrètement, la directive REC impose aux entités du secteur santé qu'elle identifie comme critiques de :
| Dispositif | Qui est concerné | Obligations principales |
|---|---|---|
| OIV / PSO | Établissements désignés OIV secteur Santé (liste confidentielle) | PSO validé, audits périodiques, systèmes de détection, exercices imposés |
| Directive REC | Entités critiques secteur santé identifiées par l'État | Analyse des risques, mesures de résilience, notification des incidents, exercices |
| NIS 2 | Établissements de santé selon leur taille et leur criticité | Mesures de cybersécurité, gestion des incidents, notification ANSSI sous 24h |
| HDS (Hébergement Données de Santé) | Tout établissement hébergeant des données de santé à caractère personnel | Certification obligatoire, contrôles de sécurité, PCA documenté |
Que votre établissement soit ou non désigné OIV, le cadre réglementaire se resserre. La directive REC et NIS 2 élargissent le périmètre des obligations. Attendre d'être formellement désigné pour se préparer, c'est s'exposer à devoir rattraper en urgence ce qui aurait dû être construit dans la durée.
Les vulnérabilités spécifiques du secteur hospitalier
Les hôpitaux présentent un profil de vulnérabilité singulier. Ils concentrent des données parmi les plus sensibles qui soient - les données de santé - sur des systèmes d'information qui n'ont pas été conçus pour résister aux attaques modernes. Ils dépendent de chaînes d'approvisionnement complexes. Et ils fonctionnent sous une pression permanente qui laisse peu de marge pour la préparation.
Construire un dispositif de crise adapté
La résilience hospitalière se construit avant la crise. Ce qui se met en place dans l'urgence est toujours insuffisant, toujours plus coûteux et toujours moins efficace que ce qui a été préparé à froid.
Un dispositif de crise hospitalier efficace repose sur quatre piliers.
La résilience par le mode dégradé
Le mode dégradé est la réalité quotidienne d'un hôpital en crise. C'est l'ensemble des procédures qui permettent de continuer à soigner quand les systèmes habituels - informatiques, logistiques, humains - ne sont plus disponibles dans leurs conditions normales.
Beaucoup d'établissements découvrent qu'ils n'ont pas de procédures de mode dégradé documentées au moment où ils en ont besoin. Les équipes les plus expérimentées s'en sortent par habitude et débrouillardise. Les équipes plus récentes ou les situations les plus critiques peuvent conduire à des erreurs.
Un mode dégradé efficace couvre au minimum :
Après l'attaque de 2019, le CHU de Rouen a documenté et publié son retour d'expérience. L'un des enseignements les plus frappants : les équipes soignantes ont su s'adapter, mais la direction a été prise en défaut sur la communication de crise et la coordination avec les autorités. La résilience opérationnelle des soignants ne remplace pas la résilience institutionnelle de la direction.
Un sujet de direction d'établissement
La résilience hospitalière ne peut pas rester un dossier confié au RSSI ou au responsable qualité. Elle engage des décisions que seule la direction d'établissement est habilitée à prendre - et des arbitrages que seul le directoire peut porter collectivement.
Activer un plan blanc étendu ou un PCA a des conséquences immédiates sur l'organisation des soins, la communication externe et les relations avec les autorités de tutelle. Ces décisions engagent la responsabilité du directeur d'établissement et du président de CME. Elles ne peuvent pas être déléguées à un responsable technique au moment de la crise si elles n'ont pas été préparées ensemble avant.
Les établissements les plus résilients que nous accompagnons partagent une caractéristique : leur direction générale et leur présidence de CME ont co-construit le dispositif de crise. Elles connaissent les scénarios, elles ont participé aux exercices, elles savent ce qu'elles devront décider et dans quel délai. Quand la crise arrive, elles n'apprennent pas - elles agissent.
Pour les établissements soumis au régime OIV, cette implication de la direction n'est pas seulement une bonne pratique - c'est une exigence du PSO. Pour les autres, la directive REC et NIS 2 vont dans le même sens : la résilience est une responsabilité de gouvernance, pas une affaire de service informatique.
La résilience d'un hôpital se mesure à sa capacité à continuer à soigner dans des conditions que personne ne souhaite mais que tout le monde doit avoir anticipées. Elle suppose des plans, des équipes formées, des exercices réguliers et une direction qui s'est approprié le sujet bien avant que la crise ne survienne.
Altair Conseil vous accompagne
Notre équipe accompagne les établissements de santé dans la structuration de leur dispositif de résilience - de l'analyse des risques à la formation des équipes de direction, en passant par la rédaction du PSO et l'organisation d'exercices de crise.
- Diagnostic de maturité et analyse des risques
- Rédaction et mise à jour du PSO pour les établissements OIV
- Élaboration et test du Plan de Continuité d'Activité
- Formation de la cellule de crise hospitalière
- Exercices de crise sur table et grandeur réelle
- Accompagnement à la mise en conformité directive REC et NIS 2