Cybersécurité en ESSMS : face à l’explosion des fuites de données, vos équipes sauraient-elles réagir ?

Le constat du baromètre 2026 est parlant : 45 % des Français ont été informés d’une fuite de leurs données personnelles au cours des douze derniers mois, contre 30 % en 2025.

L’hameçonnage reste parallèlement la cybermalveillance la plus rencontrée. Pour les établissements et services sociaux et médico-sociaux, ces résultats rappellent une réalité : la cybersécurité ne relève pas uniquement de la DSI, du prestataire informatique ou du DPO. Elle repose également sur la capacité de chaque professionnel à reconnaître une situation anormale et à la signaler rapidement.

Violation de données : ce que révèle le baromètre cyber 2026

Le troisième baromètre sur la perception cyber des Français, réalisé pour Cybermalveillance.gouv.fr, montre une progression de la connaissance de certaines menaces mais également un besoin persistant d’accompagnement.

Après avoir été informées d’une fuite de données, 59 % des personnes interrogées déclarent avoir accru leur vigilance face aux courriels, SMS et appels inconnus, 53 % avoir changé leurs mots de passe et 44 % avoir renforcé la surveillance de leurs comptes bancaires.

Le constat est intéressant : identifier une menace ne signifie pas nécessairement savoir comment réagir lorsqu’un incident survient.

Pourquoi les ESSMS sont directement concernés par le risque cyber

Un ESSMS traite quotidiennement des informations particulièrement sensibles concernant les personnes accompagnées, leurs proches et les professionnels : identité, coordonnées, informations administratives et sociales et, selon les activités, données relatives à la santé.

Une compromission peut donc avoir des conséquences sur deux plans : la protection des personnes et la continuité du fonctionnement de la structure.

Toutes ces situations n’entraînent pas nécessairement les mêmes conséquences. Elles ont néanmoins un point commun : elles doivent pouvoir être détectées et remontées rapidement.

Violation de données : quelles sont les obligations de l’établissement ?

Obligation réglementaire
Documenter les violations de données personnelles

Une violation de données personnelles correspond notamment à une atteinte à la confidentialité, l’intégrité ou la disponibilité de données personnelles, de manière accidentelle ou illicite.

Le responsable de traitement doit documenter en interne les violations constatées, leurs conséquences et les mesures mises en œuvre pour y répondre.

Obligation réglementaire
Notifier la CNIL lorsque la violation présente un risque

Lorsqu’une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et au plus tard dans les 72 heures après en avoir pris connaissance.

Lorsque le risque est élevé, les personnes concernées doivent également être informées, sous réserve des exceptions prévues par le RGPD.

Bonne pratique
Préparer la réaction avant l’incident

Un professionnel n’a pas à réaliser lui-même l’analyse juridique ou technique complète d’un incident.

En revanche, il doit savoir reconnaître une anomalie, savoir qui contacter et connaître les premiers réflexes à adopter.

5 actions concrètes à mettre en place dans votre ESSMS

1. Formaliser une fiche réflexe d’une page

Elle doit notamment préciser ce qui doit être signalé, le contact à prévenir et la conduite à tenir immédiatement.

2. Intégrer la cybersécurité à l’accueil des nouveaux professionnels

Quelques situations concrètes sont souvent plus efficaces qu’une longue présentation théorique.

L’objectif est de transformer la sensibilisation en réflexes professionnels immédiatement mobilisables.

3. Tester réellement le circuit d’alerte

Une procédure connue uniquement de la direction, du DPO ou du prestataire informatique reste fragile.

4. Vérifier la continuité d’activité en mode dégradé

• Comment accède-t-on aux informations indispensables si le DUI devient indisponible ?
• Comment contacter les équipes si la messagerie ne fonctionne plus ?
• Les numéros d’urgence sont-ils accessibles hors du système d’information ?
• Les responsabilités sont-elles clairement définies ?
• Les sauvegardes et procédures de restauration sont-elles testées ?

L’objectif n’est pas seulement de protéger l’informatique : il s’agit de maintenir l’accompagnement lorsque l’informatique ne fonctionne plus.

5. Former régulièrement plutôt qu’une seule fois

La sensibilisation gagne à s’inscrire dans le quotidien : cas pratique en réunion d’équipe, faux courriel à analyser, rappel de la fiche réflexe ou retour d’expérience anonymisé après un incident.

FAQ : cybersécurité et violations de données en ESSMS

De la sensibilisation au réflexe collectif

Le baromètre 2026 de Cybermalveillance.gouv.fr apporte finalement un enseignement utile aux ESSMS : connaître le risque n’est pas suffisant.

Pour protéger les personnes accompagnées et maintenir l’activité, l’établissement doit organiser sa réaction : qui alerte, qui décide, comment travaille-t-on en mode dégradé et comment communique-t-on ?

C’est en transformant ces questions en procédures simples, connues puis testées que la cybersécurité devient réellement une composante du fonctionnement quotidien de l’établissement.