Programme CaRE : l'ANS finance la quasi-totalité des établissements engagés sur la sécurisation des annuaires techniques

Réunis au Mans pour le 14ᵉ Congrès national de sécurité des systèmes d’information en santé (CNSSIS 2026), les acteurs de la cybersécurité hospitalière ont eu un premier bilan chiffré du programme CaRE (Cybersécurité, accélération et Résilience des Établissements). Steven Garnier, directeur du pôle cybersécurité à l’Agence du numérique en santé (ANS), a annoncé que 939 dossiers sur 1 428 candidats éligibles recevront un financement au titre du tout premier domaine ouvert par le programme : la sécurisation des annuaires techniques et de l’exposition sur internet des établissements de santé.

Un premier domaine doté de 65 millions d’euros

Ce domaine, doté d’une enveloppe de 65 millions d’euros, constitue le point d’entrée du programme CaRE dans sa logique de financement à la performance : les établissements doivent démontrer, via un audit, qu’ils ont atteint des objectifs concrets de sécurisation avant de percevoir les fonds. Sur les dossiers déposés, 479 ont atteint intégralement les objectifs initiaux (plafond cumulé de 14,8 millions d’euros), et 347 supplémentaires sont devenus éligibles après un ajustement des modalités de contrôle (plafond porté à 23,2 millions d’euros). Une stratégie d’atteinte partielle a par ailleurs été instaurée pour ne pas exclure les établissements les plus en difficulté.

Selon Steven Garnier, l’ANS a constaté « des difficultés au fil du temps » à faire respecter les objectifs d’audit et les délais initiaux, ce qui a conduit à assouplir les critères pour ne pas pénaliser des structures engagées dans la démarche mais freinées par des contraintes techniques ou humaines — une difficulté déjà documentée par l’Observatoire du CERT Santé, qui pointe l’hétérogénéité de maturité cyber du parc hospitalier français.

Un jalon dans une trajectoire de 750 millions d’euros

Lancé fin 2023 à la suite des travaux de la Cyber Task Force interministérielle, le programme CaRE vise à porter l’investissement cumulé en cybersécurité du secteur santé à 750 millions d’euros d’ici 2027, après une première enveloppe de 250 millions d’euros courant jusqu’en 2025. Il se décline en quatre axes — gouvernance et résilience, ressources et mutualisation, sensibilisation, sécurité opérationnelle — au sein desquels s’inscrivent plusieurs « domaines » de financement successifs, celui des annuaires techniques étant le premier à livrer des résultats chiffrés. Le programme s’est par ailleurs élargi cette année au médico-social, avec la désignation début juillet de 21 structures ESSMS lauréates ; les résultats du CNSSIS concernent, eux, le cœur historique du dispositif : les établissements sanitaires.

Pourquoi les annuaires techniques sont une priorité

Sécuriser en priorité les annuaires techniques (Active Directory et équivalents) et la surface d’exposition sur internet n’est pas anodin : ce sont les points d’entrée privilégiés des attaques par rançongiciel qui ont frappé plusieurs établissements français, la compromission d’un annuaire permettant à un attaquant de se propager latéralement dans tout le système d’information. Dans un contexte marqué par la pression croissante de la directive NIS 2, dont la Commission européenne a assigné la France devant la CJUE pour retard de transposition, ce premier bilan montre que le financement public commence à se traduire concrètement sur le terrain — même si l’ANS reconnaît devoir adapter ses exigences à la réalité opérationnelle des établissements.

Sources

• Le programme CaRE — présentation officielle — esante.gouv.fr
• TICsanté, « La majorité des candidats du programme Care recevront des financements », 20/07/2026 (Le Mans, CNSSIS)
• Cybersécurité en santé : 2026, une année charnière pour penser la résilience collective — dsih.fr
• Cybersécurité en ESSMS : l’ANS dévoile les 21 structures lauréates du programme CaRE — ASN