Programme CaRE : où en est le plan cyber des établissements de santé

L'essentiel en bref

CaRE (Cybersécurité accélération et Résilience des Établissements) est le plan national de cybersécurité des établissements de santé. Il a été présenté le 18 décembre 2023. Il est piloté par la Délégation au numérique en santé (DNS) et l'Agence du numérique en santé (ANS), et relayé en région par les agences régionales de santé (ARS).
L'objectif affiché est de 750 M€ d'investissement d'ici 2027, dont une première tranche de 250 M€ jusqu'en 2025. En janvier 2025, la Cour des comptes estimait que seuls 223 M€ étaient effectivement couverts.
Les financements passent par des appels par « domaine ». Ils sont versés à l'atteinte d'objectifs vérifiés, et non sur simple dépense. Les domaines ouverts à ce jour sont les suivants : annuaires techniques et exposition sur Internet (D1 puis D1 bis), continuité et reprise d'activité (D2), moyens d'identification électronique (HospiConnect).
Au 12 octobre 2026, aucun guichet de candidature CaRE n'est ouvert pour un nouveau domaine. En revanche, plusieurs échéances de preuves et de paiement tombent d'ici la fin de l'année, dont la clôture des déclarations du D2 le 18 novembre 2026.
Les domaines D3 (accès distants) et D4 (supervision des postes de travail) sont annoncés pour 2027-2028 selon l'ARS Grand Est (page du 14 septembre 2026). Les dates ont déjà glissé plusieurs fois.
Le médico-social entre dans le programme par une phase expérimentale : 21 structures ont été retenues en juillet 2026.

De quoi parle-t-on ?

CaRE est né après une série de cyberattaques graves contre des hôpitaux français. On peut citer Corbeil-Essonnes en août 2022 (rançongiciel LockBit, transferts de patients, données publiées) et Versailles fin 2022. Selon l'Agence nationale de la sécurité des systèmes d'information (ANSSI), 30 établissements de santé ont subi une compromission par rançongiciel en 2022 et 2023.

Le plan a été présenté le 18 décembre 2023 par le ministre de la Santé et le ministre délégué au Numérique. Il poursuit un double objectif : empêcher les attaques d'aboutir, et permettre aux établissements de s'en relever vite.

Il s'organise en quatre axes :

Gouvernance et résilience : une gouvernance cyber à chaque niveau, l'auto-évaluation et des exercices de crise.
Ressources et mutualisation : des services partagés, notamment via les centres régionaux de ressources cyber (CRRC) portés par les groupements régionaux d'appui au développement de la e-santé (GRADeS), et la montée en compétences.
Sensibilisation : l'acculturation des professionnels. La plateforme de formation en ligne de l'ANS compte 113 modules et 11 parcours cyber.
Sécurité opérationnelle : les « domaines » financés, qui traitent chacun un problème technique précis.

Le programme était d'abord borné à 2027. Plusieurs ARS le présentent désormais comme courant jusqu'en 2028, puisque HospiConnect, D3 et D4 s'étendent jusqu'à cette date.

Qui est concerné ?

Les établissements de santé publics et privés (hôpitaux, cliniques) sont la cible principale. L'éligibilité dépend d'une autorisation valide, de l'activité déclarée dans le programme de médicalisation des systèmes d'information (PMSI) et de la catégorie FINESS. Dans un groupement hospitalier de territoire (GHT), l'établissement support dépose un dossier pour le groupement.
Les établissements et services sociaux et médico-sociaux (ESSMS) ne relèvent pas des domaines D1 et D2. Ils font l'objet d'un appel à projets distinct, encore expérimental (voir plus bas).
Les prestataires, c'est-à-dire les éditeurs, intégrateurs, auditeurs et fournisseurs de sauvegarde, sont concernés indirectement. Les objectifs à atteindre (audits répétés, sauvegardes restaurables, preuves) structurent les commandes des établissements. L'ANS a d'ailleurs tenu des webinaires dédiés aux industriels pour le D2.

Les domaines financés

D1 et D1 bis : annuaires techniques et exposition sur Internet

Ce premier domaine vise deux portes d'entrée classiques des attaquants. La première est l'annuaire technique, en pratique Active Directory, qui gère les comptes et les droits. La seconde est l'ensemble des services exposés sur Internet.

Le D1, doté de 65 M€, a reçu ses candidatures du 18 mars au 19 avril 2024. Au congrès national de la sécurité des SI de santé (CNSSIS) 2026, l'ANS a annoncé que 939 dossiers sur 1 428 candidats éligibles seraient financés :

479 ont atteint tous les objectifs ;
347 sont devenus éligibles après un assouplissement des contrôles ;
les autres relèvent d'un dispositif d'atteinte partielle.

Le D1 bis a été créé par l'arrêté du 27 janvier 2026. Il rouvre ce domaine aux établissements exclus du dispositif de 2024 ou qui doivent rattraper une activité non couverte. Les objectifs fixés par l'arrêté donnent une bonne idée de ce qu'attend le ministère :

un audit de l'annuaire avec l'outil ADS de l'ANSSI tous les deux mois, les deux derniers devant obtenir au moins le niveau 2 ;
un audit d'exposition sur Internet tous les deux mois, les deux derniers sans vulnérabilité critique (score CVSS supérieur à 9,0) ;
au moins un exercice de crise par établissement depuis le 1^er janvier 2025 ;
une auto-évaluation sur la plateforme oSIS, qui couvre la part numérique du budget et 43 mesures prioritaires, ainsi que le décompte des équivalents temps plein consacrés à la cybersécurité ;
pour les GHT, un référent projet, une équipe opérationnelle unique pour les annuaires et une trajectoire de convergence des annuaires à 18 mois au plus.

Le financement minimal est de 15 000 €. Le plafond dépend du nombre d'entités juridiques et géographiques et de l'activité, et le versement se fait sur les coûts déclarés.

D2 : continuité et reprise d'activité

Le D2 vise à construire puis tester un plan de continuité et de reprise d'activité (PCA/PRA), avec des sauvegardes non contaminables et restaurables pour toutes les applications critiques. Il repose sur l'arrêté du 3 juillet 2025, publié au Journal officiel le 16 juillet 2025. L'enveloppe est de 45 M€.

Pour candidater, il fallait disposer d'une politique de sécurité des systèmes d'information (PSSI) validée ou revue dans les 36 mois précédant l'arrêté. Le guichet, ouvert du 2 septembre au 31 octobre 2025, a reçu 1 167 candidatures. Selon l'ANS, cela représente environ 80 % des structures éligibles.

HospiConnect : l'identification électronique des professionnels

HospiConnect finance des moyens d'identification électronique pour renforcer l'authentification des professionnels. Il est encadré par l'arrêté du 27 janvier 2026 et court de 2026 à 2028. Le dispositif a deux volets :

un volet CaRE, pour le matériel ;
un volet HOP'EN 2, pour la transformation, c'est-à-dire le cycle de vie des identités et les habilitations.

Selon l'ARS Normandie, le tarif de base est de 20 € par agent, calculé sur les effectifs déclarés. Il est réduit de 12 € par carte commandée à l'ANS. L'inscription au dispositif conditionne les financements de 2026, 2027 et 2028.

D3 et D4 : accès distants et supervision des postes

Le D3 doit sécuriser l'ensemble des accès distants, qu'il s'agisse de la télémaintenance des fournisseurs ou du télétravail du personnel. Un document de mai 2025 évoquait une enveloppe prévisionnelle de 60 M€. Le D4 portera sur la supervision des postes de travail.

Leurs dates d'ouverture ont glissé plusieurs fois : 2025, puis fin 2025 ou début 2026, puis « courant 2026 ». La page la plus récente consultée, celle de l'ARS Grand Est du 14 septembre 2026, annonce un déploiement en 2027-2028. Aucun arrêté n'est publié à ce jour.

Médico-social

Le secteur social et médico-social bénéficie d'un appel à projets exploratoire de l'ANS et de la DNS. Les candidatures étaient ouvertes du 11 mai au 4 juin 2026 et 104 dossiers ont été déposés. Le comité d'engagement a retenu 21 lauréats le 2 juillet 2026.

Trois parcours d'accompagnement sont testés, selon le niveau de maturité de la structure. L'objectif est de choisir les modalités d'un déploiement plus large, dont le calendrier n'est pas encore connu.

Calendrier

Date	Étape
18 décembre 2023	Présentation du plan CaRE
18 mars – 19 avril 2024	Candidatures D1
3 janvier 2025	Rapport de la Cour des comptes : financement couvert à hauteur de 223 M€
2 septembre – 31 octobre 2025	Candidatures D2 (1 167 candidats)
31 décembre 2025	Clôture des paiements D1 (date indiquée par l'ARS Normandie)
16 janvier 2026	Ouverture des déclarations d'atteinte des objectifs D2
27 janvier 2026	Arrêtés D1 bis et HospiConnect
13 février – 13 mars 2026	Candidatures D1 bis
2 juillet 2026	Sélection des 21 lauréats médico-sociaux
Automne 2026	Guichet HospiConnect CaRE (date à confirmer sur Convergence)
29 octobre 2026	Ouverture du dépôt des preuves et des demandes d'audit D1 bis
18 novembre 2026	Clôture des déclarations d'atteinte des objectifs D2
29 novembre 2026	Ouverture des paiements D1 bis
31 mars 2027	Clôture du dépôt des preuves D1 bis
30 juin 2027	Clôture des paiements D2
15 novembre 2027	Clôture des paiements D1 bis
2027-2028	Déploiement annoncé des domaines D3 et D4

Au niveau européen, la directive NIS2 classe la santé parmi les secteurs hautement critiques. Au 12 octobre 2026, la loi française de transposition (projet de loi « Résilience ») n'est pas encore promulguée : son examen à l'Assemblée nationale, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour le 6 octobre, sans nouvelle date fixée. Les obligations NIS2 propres aux établissements de santé ne sont donc pas encore fixées en droit français.

CERT Santé et signalement

Depuis le 1^er octobre 2017, les établissements de santé doivent signaler leurs incidents graves de sécurité des systèmes d'information. Cette obligation découle de l'article L. 1111-8-2 du code de la santé publique et du décret n° 2016-1214. Elle a été étendue aux établissements médico-sociaux en novembre 2020.

Le signalement doit être fait sans délai. Il est traité par l'ARS et par le CERT Santé, l'équipe de réponse aux incidents de l'ANS, qui qualifie l'incident, apporte un appui et diffuse des alertes. Selon le cas, il faut aussi notifier la CNIL (violation de données personnelles), l'ANSSI, et porter plainte.

D'après l'observatoire publié par l'ANS en mai 2026, 764 incidents ont été déclarés en 2025 par 606 structures. Ce volume est quasiment stable par rapport à 2024 (749). Toujours selon ce rapport, qui cite le panorama de l'ANSSI, la santé représente 10 % des incidents confirmés et se classe au troisième rang des secteurs les plus touchés.

Des attaques qui continuent

Le Centre hospitalier d'Armentières (février 2024) et le Centre hospitalier Simone-Veil de Cannes (avril 2024) ont été touchés après le lancement du programme. Fin novembre 2024, des données présentées comme celles de plus de 750 000 patients du groupe Aleo Santé ont été mises en vente.

Le 3 septembre 2026, la CNIL a infligé une amende de 500 000 € à l'Hôpital privé de la Loire, à Saint-Étienne. À la suite d'une attaque de l'été 2025, les données de 524 867 patients avaient été consultées. La CNIL a retenu :

des accès extérieurs au dossier patient sans VPN ni authentification multifacteur ;
un contrôle d'accès inadéquat ;
l'absence d'information des 202 246 « tiers de confiance » concernés.

C'est précisément le champ des futurs domaines D3 et HospiConnect.

Par où commencer

Vérifier vos échéances en cours. Si vous êtes candidat au D2, déposez vos preuves avant le 18 novembre 2026. Si vous êtes retenu au D1 bis, préparez le dépôt qui ouvre le 29 octobre 2026. Les guichets se trouvent sur eCaRE et Convergence.
Désigner un référent pour CaRE et HospiConnect, en lien avec votre ARS et votre CRRC régional, et tenir à jour l'auto-évaluation oSIS.
Auditer régulièrement l'annuaire et l'exposition sur Internet. L'outil ADS de l'ANSSI et un scan d'exposition périodique sont la base, même hors financement.
Tester une restauration réelle des applications critiques à partir de sauvegardes isolées, puis documenter les temps de reprise.
Organiser un exercice de crise avec les kits de l'ANS, puis mettre à jour le volet numérique du plan blanc : cellule de crise, modes dégradés, signalement.
Inventorier les accès distants (télémaintenance, VPN, accès au dossier patient) et y imposer l'authentification multifacteur, sans attendre l'ouverture du D3.
Préparer le signalement : connaître le circuit ARS et CERT Santé, ainsi que les notifications CNIL et ANSSI, et l'écrire dans une procédure.

Pour les prestataires, les attendus de chaque domaine sont formalisés dans les arrêtés et les guides de l'ANS. Une offre doit permettre à l'établissement de produire les preuves exigées, par exemple des rapports d'audit ou des comptes rendus de tests de restauration.

Pour aller plus loin

Agence du numérique en santé (esante.gouv.fr) : page du programme CaRE, guides des domaines, kits d'exercices de crise, webinaires, CERT Santé.
Légifrance : les arrêtés de financement (D1 en 2024, D2 du 3 juillet 2025, D1 bis et HospiConnect du 27 janvier 2026).
Votre ARS et votre GRADeS / CRRC : accompagnement régional, audits et exercices.
ANSSI (cyber.gouv.fr) : outil ADS, guides d'hygiène informatique et de sauvegarde.
CNIL : notification des violations de données de santé.
Cybermalveillance.gouv.fr : assistance aux petites structures, notamment médico-sociales.