Trois systèmes cliniques très répandus en Suisse comptaient plus de 40 vulnérabilités moyennes ou graves. La faille n’était pas dans les hôpitaux.

Imaginez : une clinique de médecine esthétique à Genève signe avec un prestataire de réservation en ligne. Pour le relier au logiciel de la clinique, le prestataire demande un accès à distance permanent, au cas où il faudrait corriger quelque chose. Personne ne demande qui, dans cette entreprise, peut l’utiliser, depuis où ni comment il est journalisé. Deux ans plus tard, la clinique a six fournisseurs avec un accès semblable et aucune liste.

Quand on parle de cybersécurité dans une clinique, on pense à l’antivirus et au mot de passe de l’accueil. Les constats suisses de 2025 pointent ailleurs : vers les logiciels que la clinique achète et vers ceux qui les maintiennent.

Ce qu’a trouvé l’institut national de test.

En janvier 2025, l’Institut national de test pour la cybersécurité (NTC) a publié le résultat d’une année d’analyse de trois systèmes d’information clinique très répandus dans les hôpitaux suisses, en conditions réelles. Il a trouvé plus de 40 vulnérabilités moyennes ou graves, dont trois de criticité maximale. Selon le rapport, beaucoup étaient si évidentes et faciles à exploiter qu’en quelques heures de test elles permettaient le contrôle complet du système et des données des patients.

Le rapport ajoute deux détails à lire lentement. D’abord, certains fabricants ont demandé à l’institut et aux hôpitaux de signer des accords de confidentialité qui auraient empêché d’avertir d’autres personnes concernées, et le NTC a refusé. Ensuite, la plupart des failles ont été corrigées depuis, mais certains problèmes de fond exigent de refaire l’architecture du logiciel, ce qui, selon les fabricants eux-mêmes, peut prendre plusieurs années.

Ce qui a changé en 2025.

Depuis le 1er avril 2025, la loi suisse sur la sécurité de l’information oblige une liste d’organisations à signaler une cyberattaque à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures qui suivent sa découverte. La liste comprend les établissements de santé inscrits sur la liste hospitalière cantonale et aussi, on le dit moins, les fabricants de logiciels utilisés par des infrastructures critiques lorsque le logiciel dispose d’un accès de maintenance à distance. Depuis octobre 2025, qui ne donne pas suite à une décision de l’office s’expose à une amende pouvant aller jusqu’à 100 000 francs.

Selon le rapport annuel de l’office, cité par la presse suisse, 222 signalements obligatoires sont arrivés en 2025, presque un par jour, en plus de 64 733 signalements volontaires. Et en août 2025, 18 hôpitaux ont fondé une association pour partager des informations sur les attaques, le Healthcare Cyber Security Center, ouverte depuis septembre aux hôpitaux ayant un mandat public.

L’angle mort : la clinique privée est seule.

Une clinique esthétique, dentaire ou de longévité qui ne figure pas sur la liste hospitalière cantonale n’a en général pas d’obligation de signaler, et ne peut pas entrer dans l’association créée par les hôpitaux. Elle peut signaler volontairement à l’office, et il est utile de le savoir. Mais elle ne partage d’informations avec personne de façon automatique, et ses fournisseurs, pour le site, la réservation, le chatbot ou le CRM, ont souvent plus d’accès que ce qui est noté quelque part.

La loi elle-même reconnaît le risque : elle compte parmi les organisations tenues de signaler les fabricants de logiciels dotés d’un accès de maintenance à distance. Si le législateur considère cet accès comme une porte à surveiller dans un hôpital, il l’est aussi dans une clinique privée.

Votre clinique est aussi sûre que le fournisseur le moins surveillé qui détient une clé.

Ma position.

Je crois qu’une clinique privée devrait demander à ses fournisseurs numériques ce que l’institut recommande aux hôpitaux : des exigences de sécurité écrites dans le contrat avant l’achat, des tests réguliers, des mises à jour rapides, un réseau patients séparé du réseau de travail et aucun accord de confidentialité qui l’empêche d’avertir qui de droit. Et une liste tenue à jour de qui a accès à quoi. Le site et le formulaire de contact en font partie, car c’est par là qu’arrivent des données de santé. La sécurité ne s’achète pas avec le logiciel. Elle s’exige dans le contrat et se vérifie ensuite.

Savoir si votre clinique est tenue de signaler, l’office lui-même le confirme sur demande, ou votre conseil juridique. Je ne suis pas avocat, et cette note ne remplace pas cette consultation.

Ce que je vérifierais.

• La liste des accès. Quels fournisseurs peuvent entrer dans vos systèmes, avec quel compte et depuis où.
• Les contrats. S’ils prévoient des exigences de sécurité, des délais de correction et l’obligation de vous signaler un incident.
• Les clauses de silence. Si un accord vous empêche de signaler une faille à d’autres personnes concernées ou aux autorités.
• Le formulaire du site. Où sont stockées les données que laisse un patient, et qui peut les voir.
• Le plan des 24 heures. Qui la clinique appelle si quelque chose tombe en panne un samedi, et qui décide de signaler.

Par où commencer.

1. Cette semaine

   Dresser la liste

   Chaque fournisseur ayant accès à vos systèmes, à votre site ou à vos données, et lequel.

2. Ce mois-ci

   Lire les contrats

   Sécurité, signalement des incidents et confidentialité, fournisseur par fournisseur.

3. Ce trimestre

   Fermer des portes

   Supprimer les accès que personne n’utilise et séparer le réseau patients du réseau de travail.

4. Chaque année

   Tester

   Un test de sécurité indépendant du site et des systèmes qui traitent des données de patients.

Une question pour le prochain comité : si demain votre fournisseur de logiciel clinique découvrait une vulnérabilité grave, combien de temps vous faudrait-il pour l’apprendre ? Et par qui : par le fournisseur, par la presse ou par un patient ?

Et une autre que presque personne ne pose à voix haute : combien de personnes qui ne travaillent pas dans votre clinique peuvent entrer aujourd’hui dans vos systèmes, et quand quelqu’un a-t-il vérifié cette liste pour la dernière fois ?

Si vous voulez que je vérifie par où entrent aujourd’hui les données de vos patients sur votre site et qui d’autre y touche, commencez par le Diagnostic stratégique. Les fournisseurs à garder, et à quelles conditions, relèvent de la direction de votre clinique, pas d’un designer.