Beaucoup d’établissements et de professionnels de santé confient leur logiciel métier à un hébergeur certifié HDS qui possède ses centres de données, administre les serveurs, gère les sauvegardes et assure la reprise d’activité. On en déduit vite que l’hébergeur porte tout le risque cyber.
Il en porte une large part technique, dans la limite de son contrat. Les obligations du responsable de traitement restent à l’établissement, tout comme les postes de travail, les identités des utilisateurs et la messagerie. Une assurance cyber se discute sur ce périmètre-là.
1Le modèle de l’hébergeur-exploitant HDS
Le modèle le plus courant dans le secteur de la santé ressemble à ceci. Un prestataire certifié ISO 27001 et HDS possède deux centres de données en France, fonctionnant en miroir. Ses équipes administrent les serveurs 24 heures sur 24, sans sous-traitance. Les données sont répliquées en temps réel d’un site à l’autre, sauvegardées sur disques et sur bandes, et des copies sont stockées hors site. L’établissement accède à ses applications par un bureau distant ou par le web, souvent à travers un boîtier réseau fourni par le prestataire.
L’administration et l’exploitation d’un système contenant des données de santé font partie des activités soumises à certification (article R.1111-9 du Code de la santé publique). Un informaticien externe non certifié ne peut donc pas intervenir sur ces serveurs. L’hébergeur certifié les administre lui-même, et l’établissement n’a plus de serveur à gérer.
| IaaS | Le prestataire gère l’infrastructure : machines, virtualisation, sauvegardes, supervision. |
| PaaS | Il prend aussi en charge les bases de données et leur maintien en condition opérationnelle. |
| SaaS | Il gère toute la chaîne, jusqu’aux applications et aux licences bureautiques. |
Le partage des risques change avec la formule : lisez la matrice de responsabilités annexée au contrat.
2Qui porte quel risque
L’hébergeur couvre ce qui se passe dans ses centres de données. Tout ce qui se passe avant l’accès à ses serveurs, et tout ce que la loi impose au responsable de traitement, reste chez vous.
| Événement | Pris en charge par l’hébergeur | Reste à la charge de l’établissement |
|---|---|---|
| Panne ou sinistre d’un centre de données | Bascule sur le second site, remise en service | Le temps d’arrêt au-delà des engagements de disponibilité |
| Rançongiciel sur les serveurs hébergés | Confinement, restauration depuis ses sauvegardes | Notification CNIL, information des personnes, réclamations |
| Identifiants d’un salarié volés par hameçonnage | Rien, la connexion paraît légitime | Enquête, réinitialisation, mesure de l’accès aux données |
| Poste de travail infecté | Rien, le poste n’est pas à lui | Nettoyage, analyse, éventuelle violation de données |
| Boîte de messagerie en ligne piratée | Rien, sauf s’il héberge aussi la messagerie | Toute la gestion de l’incident |
| Faux changement de RIB d’un fournisseur | Rien | La perte financière |
| Faute de l’hébergeur | Sa responsabilité, dans la limite de son plafond | Le préjudice au-delà de ce plafond |
À retenir. Même quand l’attaque touche les serveurs de l’hébergeur, la notification à la CNIL sous 72 heures, l’information des personnes concernées et la défense en cas de contrôle reviennent à l’établissement.
3Ce que l’assurance apporte dans ce modèle
Les experts de l’assureur n’interviendront pas sur les serveurs de l’hébergeur : ils n’y ont aucun accès, et l’hébergeur dispose de ses propres équipes. L’assurance finance ce que l’établissement doit gérer seul :
✓une cellule de crise mandatée dans les heures qui suivent l’alerte, pour les postes, les comptes et la messagerie ;
✓des avocats pour qualifier la violation, notifier la CNIL et rédiger l’information aux personnes ;
✓les frais de notification et, si besoin, une plateforme téléphonique ;
✓les frais de défense en cas de contrôle de la CNIL ou de réclamation d’un tiers ;
✓les pertes liées à une fraude au virement, sous conditions.
La cellule de crise sert aussi d’interlocuteur technique face à l’hébergeur. Une structure sans informaticien interne a rarement les moyens de vérifier seul ce que son prestataire lui transmet après une attaque.
4Les angles morts
La perte d’exploitation. Elle se calcule sur la perte de marge brute, à partir du chiffre d’affaires. Une structure financée par des cotisations, une dotation ou un forfait annuel ne perd presque rien quand l’application est bloquée une semaine : l’indemnité tend vers zéro. Les frais engagés pour rattraper les rendez-vous en retard sont plafonnés au même montant. Une clinique ou un laboratoire facturant à l’acte se trouve dans une situation différente.
L’arrêt de l’hébergeur sans attaque. Les contrats excluent les défaillances d’infrastructures que vous ne contrôlez pas. Une panne réseau ou électrique chez l’hébergeur ne déclenche aucune garantie.
Le recours contre l’hébergeur. Certaines garanties d’assistance aux litiges, annexées aux contrats cyber, excluent les litiges avec l’hébergeur informatique. Si votre prestataire est en faute, vous agirez contre lui sans l’appui de l’assureur.
Les amendes de la CNIL. Les contrats ne couvrent que les sanctions « légalement assurables ». En France, l’assurabilité des amendes administratives reste très discutée. Mieux vaut considérer cette ligne comme incertaine.
Les secteurs exclus. Des assureurs refusent les hôpitaux publics, les cliniques et les CHU, et acceptent les EHPAD ou les centres de rééducation. Vérifiez la liste avant de lancer une étude.
5Les conditions de garantie à vérifier
Les refus d’indemnisation tiennent le plus souvent à une condition de garantie non respectée le jour du sinistre.
Les sauvegardes. Les contrats exigent souvent une sauvegarde au moins hebdomadaire, conservée deux semaines, déconnectée, immuable ou isolée. Les sauvegardes sur bandes et les copies hors site de votre hébergeur répondent en pratique à cet objectif. Les définitions visent pourtant parfois un support « vous appartenant », ce qui n’est pas votre cas. Faites confirmer par écrit, dans les Conditions Particulières, que les sauvegardes de l’hébergeur remplissent la condition.
La double authentification. Certaines garanties exigent le MFA sur toutes les messageries, pour tous les utilisateurs. Étendez-le à l’accès au bureau distant de l’hébergeur : un identifiant volé y donne accès aux données de santé.
Le contre-appel. La fraude par usurpation n’est couverte que si une procédure de vérification est écrite et appliquée à chaque changement de RIB ou première demande de paiement importante.
Les délais. La déclaration du sinistre se fait en général sous cinq jours ouvrés. Le dépôt de plainte doit intervenir sous 72 heures pour qu’un paiement de rançon soit indemnisable, en application du Code des assurances.
Le questionnaire de souscription. Chaque réponse engage. Une fausse déclaration intentionnelle entraîne la nullité du contrat, une inexactitude de bonne foi réduit l’indemnité. Répondez sur votre périmètre réel et signalez que les serveurs sont exploités par un hébergeur certifié.
6Ce que le contrat d’hébergement doit prévoir
Un hébergeur qui affirme assumer toute la chaîne de données le fait dans les termes de son contrat. Relisez-le sur ces points :
le certificat HDS en cours et la liste des activités couvertes, de l’hébergement physique à la sauvegarde ;
la matrice de responsabilités entre l’hébergeur et l’établissement, selon la formule souscrite ;
le délai de notification d’un incident, compatible avec vos 72 heures CNIL et vos cinq jours ouvrés de déclaration à l’assureur ;
l’obligation de coopérer avec les experts et les avocats mandatés par votre assureur, et de leur remettre les journaux utiles ;
la fréquence des sauvegardes, leur conservation, leur localisation et les tests de restauration ;
le plafond de responsabilité de l’hébergeur et l’existence de sa propre assurance ;
les conditions de réversibilité en fin de contrat.
Le plafond de responsabilité fixe l’écart que votre contrat cyber doit combler. Sans ce chiffre, vous ne pouvez pas juger le prix de l’assurance.
7Alors, faut-il souscrire ?
Quand l’hébergeur HDS exploite tout le système, l’assurance cyber couvre surtout le périmètre que l’établissement garde : postes, identités, messagerie, obligations de notification et défense. Son prix se compare au coût d’une crise sur ce périmètre.
| Situation | Intérêt de l’assurance |
|---|---|
| Activité facturée à l’acte (clinique, laboratoire, imagerie) | ÉlevéLa perte d’exploitation devient indemnisable |
| Structure financée par cotisations, dotation ou forfait | LimitéCrise, notification, défense et fraude |
| Messagerie en ligne et postes sans MFA ni antivirus géré | FaibleTant que ces mesures ne sont pas en place |
| Plafond de l’hébergeur bas ou inconnu | Plus élevéL’assurance couvre les frais de crise que le contrat d’hébergement laisse à votre charge |
La bonne séquence : 1. Relire le contrat d’hébergement → 2. Vérifier les conditions de garantie → 3. Comparer la prime à ce qui reste réellement à votre charge
Faites relire vos contrats par un DPO
Les DPO du réseau DPO FRANCE accompagnent les établissements de santé dans la relecture des contrats d’hébergement HDS, des Conditions Particulières et du questionnaire de souscription avant signature. Ils vérifient la cohérence entre ce que l’assureur exige et ce que votre prestataire fournit réellement.
Avec DPO SUITE, vos sous-traitants, leurs certifications et leurs engagements de sécurité sont tracés dans votre registre. Vous retrouvez en quelques minutes les pièces que l’assureur vous demandera le jour d’un incident.
Pour être rappelé par un DPO du réseau, utilisez le formulaire « Être rappelé » de cette page.