• Plus de 95% des assurés sociaux disposent aujourd’hui de Mon espace santé pour prendre en main leur santé.

• Lancé début 2022, le service fête aujourd’hui ces 2 ans, avec plus de 11M de Français qui ont activé leur profil dont 450 000 premières connexions au cours du seul mois de janvier 2024. Le service est de plus en plus utilisé, plus de 300 000 personnes qui se connectant chaque semaine à Mon espace santé et plus de 40% revenant sur l’application d’un mois sur l’autre.

• Près d’un tiers des utilisateurs ont rempli leur profil médical qui peut être partagé à leurs professionnels de santé.  Au total, les assurés ont déjà ajouté par eux-mêmes 14.5M de documents (principalement des certificats médicaux, des copies de leur profil médical et des résultats d’examen) pour les stocker de façon sécurisée.

• Les utilisateurs de Mon espace santé sont enfin pleinement satisfaits de ce service : 91% des français ayant activé leur compte Mon espace santé déclarent qu’ils pourraient le recommander à leurs proches. En parallèle, l’application est notée plus de 4.6/5 sur les stores Apple et Google.

Grâce au Ségur numérique, 1 document de santé sur 2 est désormais directement envoyé vers le dossier médical de Mon espace santé du patient par les professionnels de santé. A l’issue de la vague 1 du Ségur numérique dans le secteur sanitaire, une large majorité d’établissements et de professionnels de santé sont équipés de logiciels leur permettant d’envoyer de manière simple et systématique les documents de santé clés dans les dossiers médicaux de Mon espace santé. Ces mises à jour logicielles « Ségur » ont ainsi bénéficié à plus de 50.000 médecins libéraux, à environ 2.000 établissements de santé représentant plus de 80 % de l’activité hospitalière du pays, aux deux tiers des laboratoires de biologie médicale de ville, à plus de 7 sites de radiologie de ville sur 10, et à plus de 90 % des officines.

Dans le secteur médico-social, ce sont près de 21.000 établissements au total qui ont souscrit aux mises à jour Ségur, soit une structure médico-sociale sur deux.

• En janvier 2024, ce sont ainsi plus de 45.000 médecins de ville qui ont envoyé des documents vers Mon espace santé, et au total plus de 22M de documents envoyés, dont 8,5 M de comptes-rendus d’analyses de biologie médicale, et 5,8 M de prescriptions de produits de santé.
   
• Au cours des douze derniers mois, plus de 3,3 M de volets de synthèse médicale (VSM) ont également été déposés par les médecins traitants, appuyant ainsi la coordination des soins notamment pour les patients en affection de longue durée. 

Les informations médicales disponibles dans Mon espace santé sont d’ores et déjà utilisées : les patients ont consulté plus de 21.5M de documents les professionnels de santé de ville commencent à consulter ces informations pour mieux prendre en charge leurs patients. Tous les mois, entre 100 000 et 200 000 dossiers médicaux sont consultés par les professionnels de santé, en attendant que la vague 2 du Ségur numérique viennent faciliter et généraliser ces pratiques de consultation de Mon espace santé dans chaque secteur du champ sanitaire.

• Les usagers peuvent envoyer de manière sécurisée leur ordonnance à la pharmacie de leur choix afin que leur dispensation soit préparée. Ils disposent également de leur carnet de vaccination mis à jour suite à une vaccination en pharmacie.
   
• Pour préparer l’arrivée de Mon bilan prévention, les assurés peuvent d’ores et déjà compléter leur auto-questionnaire aux différents âges clés de la vie (18/25 ans, 45 /50 ans, 60/65 ans et 70/75 ans), afin de faciliter l’échange avec leurs professionnels de santé.
   
• Mon espace santé évolue de manière continue pour simplifier l’activation et la connexion au service tout en maintenant un niveau de sécurité très élevé.
   
• Mon espace santé servira de plus en plus dans les parcours de prévention notamment avec :
  • L’ouverture à venir de l'agenda santé pour bénéficier de rappels des rendez-vous clés de suivi de la santé des enfants, des rendez-vous de dépistage (vaccination, bucco dentaire, etc.) ou du suivi de grossesse.
  • Des messages de prévention personnalisés en fonction des informations disponibles dans Mon espace santé pour informer les usagers et les inciter à agir.
  • L’arrivée de Mon bilan prévention qui permet d’ores et déjà aux assurés de compléter leur auto-questionnaire.

Pour Catherine Vautrin, Ministre du Travail, des Solidarités et de la Santé, « le travail réalisé par l’ensemble des acteurs publics et privés a permis de mettre enfin à la disposition des Français un carnet de santé numérique ! »  

Pour Thomas Fatôme, directeur général de la Caisse nationale de l’Assurance Maladie, qui assure le pilotage national du déploiement de Mon Espace santé, « deux ans après le lancement de Mon Espace santé, nous pouvons tous mesurer le chemin parcouru, fruit d’une mobilisation très forte de l’ensemble des acteurs. Aujourd’hui, tous les indicateurs progressent et plus de 11 millions de Français ont activé leur espace santé, tandis que près de 10 millions de documents de santé y sont versés chaque mois. Mon Espace Santé aura également un rôle-clé à jouer en matière de prévention, que nous souhaitons déployer dans les prochains mois pour accompagner les assurés dans la réalisation des examens de prévention ». 

Pour Hela Ghariani, coresponsable du numérique en santé au Ministère du Travail, de la Santé et des Solidarités (DNS), qui coordonne la mise en œuvre de la feuille de route du numérique en santé, « ensemble, nous avons fait avancer le numérique en santé comme jamais. Les premiers résultats présentés aujourd’hui découlent de la mobilisation collective des acteurs de santé, des industriels du secteur, des associations de patients et des pouvoirs publics. Nous avons encore de beaux challenges devant nous pour permettre à tous les citoyens d’avoir la main sur leurs données de santé et aux professionnels de santé d’accéder simplement aux informations utiles au soin. »

Si, à sa création, la DNS était opérée par un binôme, ce format a été maintenu avec la nomination récente de David Sainati à vos côtés. Pourquoi avoir souhaité poursuivre ce fonctionnement ?

Hela Ghariani : Car nous y sommes particulièrement attachés ! Au quotidien, cela nous permet de partager nos visions et donc d’enrichir nos points de vue respectifs, pour affiner notre compréhension des enjeux et des attentes de l'écosystème. Basé sur le principe de l’échange, ce mode de gouvernance permanent est aussi plus ouvert, et répond dès lors mieux aux besoins des acteurs du numérique en santé. 

Au sein de la DNS, vos parcours ainsi que les dossiers que vous avez suivis sont sensiblement différents. Vous êtes-vous réservé des domaines particuliers ? 

David Sainati : Ces différences dans nos parcours, mais aussi en matière d’expériences ultérieures, sont une réelle force puisqu’elles favorisent notre complémentarité : nous pouvons ainsi nous adresser à tous les publics. Cela dit, bien que nous ayons des tropismes différents, nourris de nos propres travaux au sein de la DNS, et que chacun de nous sera naturellement plus en pointe sur un dossier qu’il aura suivi les années précédentes, nous ne nous sommes pas réservé de domaines particuliers. Nous intervenons ensemble, en binôme, sur l'ensemble des thématiques. Là encore, l’échange est primordial pour synchroniser nos voix, afin que chacun puisse répondre à toutes les questions sur tous les sujets.

Ces dernières années, l’un des chantiers majeurs de la DNS avait trait au lancement de Mon Espace Santé. Où en sommes-nous ?  

Hela Ghariani : Je commencerai par rappeler que Mon Espace Santé a été lancé en collaboration avec l’Assurance maladie. Deux années de travaux ont été nécessaires, y compris pour tester le service durant les six derniers mois avant son lancement. Ce semestre d’essai a été essentiel car il a permis de recueillir des retours de terrain, de la part de professionnels de santé comme de patients, et pouvoir ainsi apporter des améliorations. Ouvert au 1^er janvier 2022 à tous les usagers qui ne s'y étaient pas opposés, Mon Espace Santé est aujourd’hui disponible pour 98 % des assurés sociaux en France. Tous les mois, plus de 15 millions de documents médicaux y sont déposés, des ordonnances, des résultats d'examens de biologie, des lettres de liaison en sortie d’hospitalisation, etc. Pas moins de 10 millions d’assurés ont aujourd’hui activé leur compte, soit environ 15 % de la population globale. Certains usagers alimentent d’ailleurs eux-mêmes leur Espace Santé, preuve, s’il en est, qu’une partie de la population s’est véritablement approprié l’outil. Il faut dire que celui-ci simplifie considérablement le quotidien des patients, avec des documents de santé désormais accessibles depuis leur poche. 

Et du côté des professionnels de santé ?

Hela Ghariani : Ils ne sont pas en reste : tous les mois, 10 000 professionnels de santé vont consulter les dossiers de près de 100 000 patients. Et ces chiffres devraient encore augmenter avec la vague 2 sur Ségur du numérique en santé : celle-ci, qui est aujourd’hui en cours de lancement, vise notamment à améliorer l’accès des professionnels aux données de santé. Nous travaillons ici avec les éditeurs pour intégrer systématiquement un accès au DMP à partir des logiciels métiers, afin qu’il ne soit plus nécessaire de se rendre systématiquement sur le site dmp.fr. Le référentiel DMP, publié début novembre, va dans ce sens et sera suivi d’autres chantiers propres à la vague 2 du Ségur. 

Justement, où en sommes-nous sur le champ du Ségur numérique ? 

Hela Ghariani : S’inspirant des méthodes de travail développées durant la crise Covid, en particulier avec le déploiement du SI-DEP, le Ségur du numérique en santé s’articule autour de plusieurs phases et outils pour améliorer le partage des données de santé. C’est d’ailleurs dans cet objectif que s’inscrit notamment Mon Espace Santé. La vague 1 du Ségur a donné lieu à de nombreux travaux avec les représentants des professionnels de santé, les acteurs publics, et bien sûr les éditeurs, qui ont beaucoup œuvré pour faire évoluer leurs logiciels et les mettre en conformité avec les nouvelles exigences techniques. Nous nous sommes ici principalement concentrés sur les échanges sécurisés d’informations, et cette première vague s’est finalisée en septembre dernier. À cette date, 99 % des commandes de logiciels ont été validées par les clients finaux. C'est grâce à ces changements, à cette dynamique collective, que l’on observe un taux d'alimentation aussi élevé pour Mon Espace Santé. Pour autant, et bien que des signaux d’ébullition positifs soient clairement visibles, nous poursuivons nos échanges avec les professionnels de santé afin que chacun puisse s’approprier ces outils au mieux. Et nous nous préparons à lancer la vague 2 du Ségur, qui entend compléter le socle de la vague 1 et généraliser le partage fluide et sécurisé des données de santé.

En mai dernier, vous avez également lancé la nouvelle feuille de route du numérique en santé pour la période 2023-2027. Pourriez-vous nous en parler ? 

David Sainati : Comme pour l’opus précédent, la feuille de route du numérique en santé reste primordiale au sein de la DNS puisqu’elle représente, en fin de compte, la raison d’être de la délégation. Le programme 2023-2027 s’articule plus particulièrement autour de quatre grands axes : la prévention, la prise en charge, l'accès à la santé et le déploiement d’un cadre propice pour relever ces enjeux. Là où la première feuille de route était plus technique et ambitionnait de poser le socle de la transition numérique en insistant sur le positionnement de l'État plateforme, la nouvelle version insiste davantage sur la valeur ajoutée du numérique appliqué à la santé. Elle s'intègre définitivement dans la dynamique de « mettre le numérique au service de la santé ». 

Hela Ghariani : La feuille de route 2019-2022 a fait du numérique en santé, un sujet de politique publique à part entière, mettant en lumière la transversalité de cette thématique qui concerne somme toute des publics variés, acteurs économiques comme acteurs du soin – dont les patients. Son objectif était, et reste toujours, de construire ensemble une vision partagée du numérique en santé, afin de ne pas subir des usages que nous n’aurions pas choisis. Aujourd’hui, nous disposons d’une Identité nationale de santé (INS), d’un carnet numérique pour l'ensemble des citoyens, d’un système de partage technique des données, de messageries sécurisées… Le socle est désormais en place. Il nous faut, maintenant, faire vivre ces outils au quotidien pour qu’ils apportent des impacts substantiels et positifs, et contribuent humblement aux défis de nos systèmes de santé. C’est dans cette ambition que s’inscrit la nouvelle feuille de route du numérique en santé, une fois de plus issue d’une large concertation avec l’ensemble des acteurs du monde de la santé. 

Cette feuille de route 2023-2027 intègre en outre tout un volet autour de la cybersécurité… 

Hela Ghariani : La cybersécurité est en effet au cœur de l'axe 4, celui relatif au développement d’un cadre propice. Des financements substantiels ont été obtenus pour l'année prochaine, avec un doublement des budgets dédiés à cet enjeu au sein des établissements de santé. L’année 2023 aura été primordiale en la matière, car nous avons pu mener plusieurs travaux diagnostiques : des audits, des concertations, des auditions… Nous avons maintenant une vision claire et partagée des actions à mener pour renforcer la résilience de nos établissements de santé face à la menace cyber. Un nouveau programme d’action, dit CaRE pour Cyber accélération et résilience des établissements, sera ainsi mis en œuvre autour de plusieurs axes. Et parce que l'on n'est jamais mieux préparé que si l'on s'est déjà mis en situation, la première étape de ce plan portera sur la réalisation d’exercices de crise, couplés à la mise à jour des infrastructures techniques. Pour aller plus loin, le programme CaRE prévoit également le financement d’audits et de plans de remédiation, le déploiement massif d’antivirus et de meilleurs moyens d’identification électroniques, des plans de sauvegarde, etc. Ce sont autant de mesures qui nous permettront de mettre à niveau et de pérenniser la cyber-résilience des établissements de santé. 

Quid de la formation à la cybersécurité ? 

David Sainati : Il s’agit évidemment d’un enjeu crucial, qui n’est toutefois pas encore adressé en formation initiale et très peu en formation continue. C’est pourquoi un budget inédit de 119 millions d’euros est désormais alloué à la formation au numérique en santé, y compris sur le volet de la cybersécurité. L’objectif étant de former 500 000 apprenants en 5 ans, soit quasiment tous les étudiants qui sortiront d’une formation sanitaire et médico-sociale durant ce laps de temps. Bien entendu, cela se fera par étape : douze premières professions auront 28 heures de cours obligatoires dès la rentrée universitaire prochaine. Les spécialités concernées seront progressivement étendues, de manière à couvrir la totalité des formations sanitaires et médico-sociales d’ici 2027. Mais, vous l’aurez compris, ce programme ne concerne pas uniquement la formation initiale : des évolutions sont également prévues sur le champ de la formation continue. Nous travaillons ici notamment avec l’ANDPC et l’ANFH, pour qu’elles puissent enrichir leurs catalogues. Nous pourrons ainsi initier une dynamique collective et espérer une modification des pratiques, pour renforcer la confiance des utilisateurs et continuer à développer les usages en santé numérique. 

> Article paru dans Hospitalia #63, édition de décembre 2023, à lire ici

Le Centre Hospitalier Universitaire de Rouen en 2019, le Centre Hospitalier de Dax en 2021, le Centre Hospitalier Sud Francilien en 2022, le Centre Hospitalier Universitaire de Rennes en 2023… Depuis plusieurs années, les cyberattaques contre les hôpitaux font régulièrement la Une des journaux. Pourtant, ces attaques impressionnantes ne sont que la partie émergée de l’iceberg. En 2022, le rapport de l’Observatoire des incidents du CERT Santé [voir encadré] indique que 39 % des structures de santé « ont été contraintes de mettre en place un fonctionnement en mode dégradé du système de prise en charge des patients ». Si, cette même année, seulement la moitié des incidents recensés par le CERT Santé étaient d’origine malveillante, le secteur de la santé reste particulièrement sensible. 

« Le risque cyber ne doit pas continuer d’être perçu comme lointain ou vague. Tous les professionnels du monde de la santé doivent avoir conscience qu’il s’agit d’un risque concret et bien réel », a ainsi rappelé le 23 novembre dernier Silvère Ruellan, chef du bureau Santé et Affaires sociales de l’Agence nationale de sécurité des systèmes d’information (ANSSI), lors de la Conférence Cyber & Santé organisée dans le cadre de l’European Cyber Week de Rennes. « Ce constat est partagé », a abondé Clara Morlière, directrice de projet au sein de la Délégation du numérique en santé (DNS), en insistant sur la nécessité de travailler encore sur les volets de la « gouvernance », la « sensibilisation » et la « gestion de crise », tout en « consolidant un socle minimal ».  

Si les risques de vol de données, de revente et de chantage commencent à s’inscrire dans les esprits, « il y a aussi des menaces moins visibles, liées à des stratégies étatiques, avec des volontés d’espionnage ou de déstabilisation », a également alerté Silvère Ruellan. Et, en la matière, les Jeux olympiques de Paris 2024 s’annoncent déjà comme une période de tensions. Avec plusieurs millions de visiteurs attendus, l’événement « aura un impact sanitaire », a prévenu le représentant de l’ANSSI. Une « préparation au risque cyber » est ainsi prévue au premier semestre 2024, notamment dans les zones concernées par la tenue des épreuves sportives, a annoncé, au cours de la même conférence, Nolwenn François, experte métiers des établissements de santé au sein de l’Agence du numérique en santé. 

La réalisation d’exercices de crise est d’ailleurs inscrite au cœur du programme CaRE (Cybersécurité, accélération et résilience des établissements), qui propose des kits prêts à l’emploi disponibles sur le site de l’ANS. Objectif prioritaire de la feuille de route du numérique en santé, « le programme CaRE prévoit également le financement d’audits et de plans de remédiation, le déploiement massif d’antivirus et de meilleurs moyens d’identification électroniques, la généralisation des plans de sauvegarde, etc. », détaille Hela Ghariani, co-responsable de la DNS. Pour cette année 2024, la DNS prévoit d’ailleurs « des financements substantiels », avec « un doublement des budgets dédiés à cet enjeu au sein des établissements de santé ».

Et ce sont loin d’être les seules évolutions à positionner l’année 2024 comme celle de la cybersécurité. Dans sa version réactualisée, le dispositif de certification de la Haute Autorité de Santé intègre lui aussi des critères cyber de manière beaucoup plus forte, ce qui devrait favoriser l’augmentation des budgets hospitaliers en la matière. « La cybersécurité a besoin de financement. L'objectif est de lui dédier au moins 2 % du budget consacré par un établissement à sa transformation numérique », a ainsi expliqué Clara Morlière dans son intervention Cyber & Santé. L’appui de la puissance publique, en termes de financements comme d’objectifs à atteindre, devrait, pour sa part, continuer à se matérialiser au travers d’autres programmes nationaux. Un volet HOP’EN 2 est d’ailleurs « à l’étude pour l’année prochaine », a déclaré la directrice de projet. 

Autre attendu majeur pour 2024, l’entrée en vigueur de la directive NIS 2 (Network and Information Security), publiée au Journal officiel de l'Union européenne en décembre 2022. En cours de transposition dans le droit français, le texte devrait être mis en application dès le mois d’octobre prochain. Les principaux changements par rapport à la version précédente résident dans l’élargissement des objectifs et du périmètre d’application de la réglementation cyber. « Alors qu’environ 150 structures du domaine de la santé étaient concernées par la NIS 1, elles seront plus de 1 000 avec la NIS 2 », a noté Silvère Ruellan.
La NIS 2 s’appliquera ainsi à l'administration publique dans son ensemble, désormais classée comme Entité Essentielle (EE). Parmi les autres nouvelles EE, l’on trouve également les prestataires de soins de santé, les fabricants de produits pharmaceutiques, et les structures de recherche et développement dans le domaine des médicaments, de plus de 250 employés. Lorsqu’elles totalisent de 50 à 250 employés, ces mêmes entreprises seront désormais considérées comme des Entités Importantes (EI). Ce sera également le cas pour les fabricants des dispositifs médicaux et les organismes de recherche de plus de 50 employés. 
Si le périmètre d’application de la nouvelle directive se dessine déjà dans ses grandes lignes, « des consultations sont en cours entre les ministères et les organisations professionnelles pour le définir plus précisément, mais aussi clarifier les interactions entre l’ANSSI et les futures entités régulées, ainsi que les mesures de sécurité applicables », a expliqué Silvère Ruellan. Sont attendues, à terme, la publication de guides pratiques et la mise en œuvre d’une assistance par l’ANSSI, en fonction du niveau d’exigence en matière de sécurité numérique. L’objectif : « mobiliser le tissu économique national et le secteur public, face à la menace », a fait savoir l’agence.

Les CSIRT, de nouveaux acteurs régionaux

À l’échelle régionale, de nouveaux acteurs de la cybersécurité entrent progressivement en action. Issus d’un projet France Relance datant de 2021, les CSIRT régionaux (Computer Security Incident Response Team) ont été créés pour « offrir une réponse de proximité aux victimes » et renforcer la maturité des territoires sur le sujet. Intervenant en complément des acteurs existants, en particulier l’Agence nationale de sécurité des systèmes d’information (ANSSI), ces nouvelles structures sont principalement pensées pour venir en appui aux collectivités territoriales, Petites et moyennes entreprises (PME), Entreprises de taille intermédiaires (ETI), et associations. 

Douze CSIRT viennent ainsi d’être créées : le CSIRT Bourgogne-Franche-Comté, le CSIRT Hauts-de-France, Normandie Cyber, Breizh Cyber, Grand Est Cybersécurité, Pays de la Loire Cyber Assistance, ainsi que CybeRéponse dans le Centre-Val de Loire, le Campus régional de Cybersécurité et de Confiance numérique en Nouvelle-Aquitaine, Cyber’Oc en Occitanie et Urgence Cyber région Sud en Provence-Alpes-Côte d’Azur. 
 

Le CERT Santé, un outil dédié au monde de la santé

Créé en 2017, le CERT Santé intervient 24h/24 et 7j/7 pour apporter de premières réponses à un incident cyber survenu au sein des organismes publics, des Opérateurs d’importance vitale (OIV) et des Opérateurs de services essentiels (OSE). Cette structure spécialisée dans le secteur de la santé réalise aussi une veille des vulnérabilités, publie des alertes et effectue des audits ciblés sur l’exposition sur internet des Établissements sanitaires et médico-sociaux (ESMS).

Intégré à l’Agence du numérique en santé (ANS), le CERT Santé traite également les déclarations d’incidents de sécurité dans les ESMS, ce qui lui permet d’établir des statistiques sur la réalité des problématiques cyber dans les établissements de santé français. Pour 2023, il a ainsi enregistré une « forte activité malveillante relative au vol d’identifiants (login - mot de passe), de comptes de messagerie et de comptes d’accès à distance ». « L’attaque par phishing reste forte, a indiqué, lors de la conférence du 23 novembre dernier, Emmanuel Sohier, expert CERT Santé. Mais les attaquants récupèrent les identifiants selon trois modes opératoires : l’hameçonnage [ou phishing, NDLR], l’exploitation de vulnérabilités sur des équipements non mis à jour, et l’attaque par force brute, c’est-à-dire le test d’un grand nombre de mots de passe ». 

Une fois les identifiants récupérés, les attaquants peuvent donner libre cours à leur imagination : connexion aux serveurs internes, récupération des identifiants administrateurs, désactivation des antivirus, exfiltration des données, pour revente voire chiffrage dans le cas de l’utilisation d’un rançongiciel. En 2023, le CERT Santé a ainsi enregistré 24 attaques par rançongiciel, contre 19 en 2022. Si celles-ci sont particulièrement spectaculaires, elles ne doivent toutefois pas éclipser les autres types de compromissions. Quelques-unes semblent toutefois sur une pente descendante. Par exemple, en 2023, le CERT Santé a enregistré moins de compromissions par messages électroniques malveillants ou virus informatique, par rapport à l’année précédente. Un phénomène qu’Emmanuel Sohier explique par « le travail effectué ces dernières années en matière de sensibilisation, d’accompagnement et de déploiement de correctifs ».

> Article paru dans Hospitalia #63, édition de décembre 2023, à lire ici