AMENDEMENT

Après l’alinéa 3

Insérer un paragraphe ainsi rédigé :

.... – Pour l’année 2024, le fonds pour la modernisation et l’investissement en santé permet de financer les exercices de cyberattaques dans les établissements et services du secteur social et médico-social à hauteur de 10 millions d’euros.

Depuis 2023, chaque établissement du secteur sanitaire organise un exercice de cyberattaque au moins une fois par an, conformément aux exigences des directives européennes NIS 1 et 2 (« Network and Information Security »). La persistance d’un niveau élevé de menace cyber justifie le besoin de préparation et d’anticipation pour faire face à des attaques et incidents d’origine malveillante.

Le secteur social et médico-social qui traite, collecte et échange nombre de données de santé ou données sensibles au sens informatique et libertés, est aussi régulièrement la cible d’attaques cyber.

Or au même titre que toute autre organisation les établissements et services du secteur social et médico-social (ESSMS) doivent être en capacité d’anticiper la survenue de cyberattaques pour limiter leur impact et continuer du mieux possible à exercer leurs missions.

Il s’agit alors d’organiser un système de sécurité cyber pour les établissements et services du secteur social et médico-social, en sanctuarisant une partie des crédits du FMIS (Fonds pour la modernisation et l’investissement en santé) pour financer les exercices de cyberattaques et organiser leur mise en œuvre pour 2024 avec l’appui de prestataires experts, selon les mêmes modalités que celles prévues pour le secteur sanitaire et détaillées dans l’instruction N° SHFDS/FSSI/2023/15 du 30 janvier 2023 relative à l’obligation de réaliser des exercices de crise cyber dans les établissements de santé et à leur financement, mise en conformité directive européenne.

Dans le cadre du Ségur du numérique, un montant de 10 millions d’euros a été décidé pour soutenir la mise en œuvre de ces exercices sur les années 2022/2023. Ce montant est exclusivement dédié à des prestations d’animation de ces exercices de crises en priorité par les établissements supports de groupements hospitaliers de territoire (GHT), désignés OSE, et par les établissements de santé (publics, privés). Ces financements seront octroyés aux ARS dans le cadre d’un abondement au Fonds d’intervention régional (FIR).

L’obligation européenne de mettre en place des exercices de cyberattaque intervenant dès 2024 pour le secteur SMS, il est urgent de mobiliser d'ores et déjà une enveloppe budgétaire a minima du même montant (10 millions pour les ESSMS en 2024) que celle prévue pour le secteur sanitaire qui compte cinq fois moins de structures que le secteur social et médico-social.

Cet amendement du groupe Écologiste, Solidarité et Territoires a été travaillé en collaboration avec Nexem, organisation professionnelle représentant les employeurs du secteur social, médico-social et sanitaire privé à but non lucratif.