Quand un éditeur paralyse 80% des hôpitaux : le risque systémique

Le 7 avril 2026, un seul incident cyber a déstabilisé 80% des hôpitaux des Pays-Bas. Le ransomware contre ChipSoft n'est pas un accident, c'est la conséquence prévisible d'une concentration que tout le monde voyait venir et que personne n'a voulu casser. Et la France n'a pas grand-chose à envier à ce modèle. Ce qui s'est passé à Amsterdam aurait pu se passer à Lille, Lyon ou Bordeaux. La seule variable, c'est le temps qui nous sépare du prochain incident de cette ampleur, et notre niveau de préparation collective le jour où il arrivera.

La concentration des DPI : un choix collectif, pas une fatalité

Quand un fournisseur de dossier patient informatisé équipe 80% des hôpitaux d'un pays, ce n'est pas du hasard. C'est le résultat d'une décennie d'appels d'offres convergents, de migrations qui se ressemblent, et d'une logique d'efficience où la mutualisation prime sur la résilience. Le calcul est froid : un seul éditeur, c'est une seule équipe à former, un seul jeu d'API à maintenir, un seul interlocuteur en cas de problème. Sur le papier, c'est rationnel. Dans la réalité, ça crée un point de défaillance national que la cybersécurité ne peut pas neutraliser à elle seule.

En France, la situation est plus fragmentée mais le problème reste structurellement identique : Maincare, Dedalus, Softway Medical et quelques autres se partagent l'écrasante majorité des CHU et des CH. Une attaque sur l'un d'eux ne paralyserait peut-être pas 80% du pays d'un coup, mais 30% suffit déjà à faire trembler la chaîne de soins.

La fausse promesse du SaaS santé

Le glissement vers le SaaS hospitalier — portails patients hébergés, modules cloud, intégrations Zorgplatform-like — a été vendu comme une modernisation. C'en est une, sur le plan fonctionnel. Sur le plan du risque, c'est aussi un transfert de souveraineté : l'établissement ne maîtrise plus ni la disponibilité ni la confidentialité de ses propres données critiques. ChipSoft a coupé son Zorgportaal en quelques heures pour contenir l'attaque. Les hôpitaux clients n'ont pas eu leur mot à dire.

Et là où ça pique vraiment, c'est que les contrats fournisseurs en santé n'imposent que rarement des SLA cyber sérieux : pas d'obligation de notification dans des délais courts, pas de droits d'audit sécurité, pas d'engagement sur les modes dégradés. Le client paye, le fournisseur opère, et en cas de crise, le client encaisse.

Ce que les RSSI hospitaliers doivent faire maintenant

Première chose : arrêter de considérer la dépendance fournisseur comme un sujet d'achat et la traiter comme un risque cyber de premier rang. Cartographier précisément ce qui tombe si l'éditeur tombe : DPI, portail patient, mobilité soignants, échanges interhospitaliers, prescription connectée. Pour chaque brique, écrire le mode dégradé — pas un PowerPoint, un protocole opérationnel testé en exercice.

Deuxième chose : exiger contractuellement le droit d'auditer la posture de sécurité du fournisseur. Pas un questionnaire de 200 lignes une fois par an, un vrai audit technique avec accès aux logs et aux configurations. Si le fournisseur refuse, c'est une donnée à intégrer dans le risque résiduel, et à remonter au COMEX.

Troisième chose : documenter et tester la procédure de bascule en local-only. La plupart des DPI gardent une capacité de fonctionnement isolée, mais cette bascule n'est jamais répétée en conditions réelles. Le jour J, quand il faut décider en quinze minutes d'isoler ou non l'intégration cloud, l'absence de procédure éprouvée se paye cher.

Conclusion

La cybersécurité hospitalière ne se joue plus seulement dans les SOC et les pare-feu. Elle se joue dans les contrats, dans la diversification des fournisseurs, et dans la capacité à fonctionner en mode dégradé. ChipSoft est un avertissement pour toute l'Europe. La question n'est pas si l'incident se reproduira, mais où, et avec quel niveau de préparation.