Le marché de la cyberassurance pour les hôpitaux

II.Un secteur sous siège

La cible idéale

L'hôpital cumule toutes les caractéristiques qui en font une cible de choix pour les rançonneurs. Il détient les dossiers médicaux, des données parmi les plus sensibles et les plus monnayables. Surtout, il ne peut tolérer aucune interruption, puisque tout arrêt met directement en jeu la sécurité des patients. Cette intolérance à l'arrêt en fait un payeur probable. Un établissement dont les systèmes vitaux sont bloqués doit rétablir ses opérations au plus vite, quitte à céder à l'extorsion. Les groupes criminels l'ont compris. Ils visent un secteur où la probabilité de paiement est élevée et la capacité de résistance faible, et la détresse de la victime y devient une source de profit. La vulnérabilité de l'hôpital découle donc de sa mission même, qui lui interdit d'attendre.

Une pression qui s'intensifie

Les chiffres traduisent une intensification rapide de cette pression. Le coût moyen d'une violation de données dans la santé a atteint 7,42 millions de dollars en 2025. C'est le plus élevé de tous les secteurs, pour la quatorzième année consécutive. Ce coût croît environ deux fois plus vite que dans les autres industries, et certaines projections le voient dépasser douze millions d'ici la fin de 2026³. Le secteur de la santé a recensé plusieurs centaines d'incidents de rançongiciel en 2025. Les pertes financières lourdes se multiplient : en un an, le nombre d'organisations de santé dont les pertes dépassent un certain seuil a quadruplé⁵. Les attaques par simple extorsion, sans chiffrement des données, ont triplé. La seule menace de divulguer des dossiers médicaux suffit désormais à faire céder les victimes⁶.

Une perturbation devenue systématique

Au-delà du coût, c'est l'omniprésence de la perturbation qui frappe. La quasi-totalité des organisations de santé déclarent des dizaines d'attaques sur une seule année. Une large majorité de ces attaques perturbent les soins : procédures retardées, séjours allongés, patients détournés vers d'autres établissements⁹. Selon les projections du secteur, la majorité des hôpitaux verront bientôt leurs soins dégradés par un rançongiciel, et la santé restera durablement le premier secteur visé¹⁰. La perturbation est devenue quasi permanente dans le fonctionnement hospitalier. Pour l'assureur, le risque change de nature : il ressemble moins à un aléa rare qu'à une fréquence de base élevée.

III.Le risque qui traverse toutes les garanties

Un sinistre qui déclenche presque toutes les clauses

La singularité du sinistre cyber hospitalier tient à ce qu'il mobilise simultanément la quasi-totalité des garanties d'une police. La double extorsion est devenue la norme : l'attaquant chiffre les données et menace de les publier. Elle déclenche à la fois la garantie de gestion de crise, la responsabilité civile pour la violation des données de santé, l'interruption d'activité de l'établissement, les frais de reconstitution des données et le volet extorsion proprement dit⁴. Un seul événement active ainsi des couvertures que les polices traitent d'habitude séparément. L'exposition devient plus difficile à évaluer, et les coûts s'empilent sur un même sinistre. Une attaque ordinaire touche une ou deux garanties, l'attaque hospitalière presque toutes. Ce cumul à l'intérieur d'un même sinistre est une première source de sévérité.

La frontière brouillée du cyber et du corporel

Mais la difficulté principale est ailleurs : le sinistre franchit la frontière entre le cyber et le corporel. Lorsqu'une attaque entraîne le décès ou l'aggravation de l'état d'un patient, elle ouvre la voie à des actions pour faute médicale et pour dommage corporel, dont le coût potentiel dépasse de loin celui de la rançon ou de la reconstitution des données. Or les polices cyber excluent d'ordinaire le dommage corporel et le dommage matériel : ces conséquences relèvent de la responsabilité civile médicale, qui n'a pas été tarifée pour une panne informatique et ne dit pas toujours si elle la couvre. La zone grise se situe entre la police cyber et la police médicale. La vraie queue de distribution du risque cyber hospitalier se trouve donc dans le contentieux de la faute médicale causée par la défaillance des systèmes, et non dans la rançon, dont les montants reculent. Les modèles conçus pour la violation de données ne savent pas tarifer cette exposition mal cernée.

Cette difficulté de qualification a une conséquence directe sur l'évaluation de l'exposition. Si l'on raisonne en violation de données, le sinistre maximal s'estime à partir du nombre de dossiers compromis et du coût unitaire de notification. L'exercice est borné et assez bien maîtrisé. Avec la dimension corporelle, le plafond du sinistre devient bien plus incertain. Une seule défaillance qui cause plusieurs décès peut entraîner des actions en responsabilité dont le montant cumulé dépasse de très loin le coût des données. L'assureur qui accepte ce risque en connaît mal la borne supérieure. Il doit alors soit plafonner étroitement sa garantie, au détriment de l'assuré, soit provisionner largement, au détriment du prix. Cette incertitude sur la sévérité maximale est, plus encore que la fréquence des attaques, ce qui rend le risque hospitalier si délicat à porter.

IV.L'accumulation par le fournisseur

La leçon de Change Healthcare

Le secteur porte aussi un risque d'accumulation, qui s'ajoute à la sévérité de chaque sinistre. L'attaque contre Change Healthcare, en février 2024, en est l'exemple le plus frappant. Cette plateforme traite les paiements de santé de la quasi-totalité des établissements des États-Unis. Sa compromission a touché environ 192,7 millions de personnes, plus de la moitié de la population, et perturbé quelque 94 % des prestataires de soins du pays⁷. L'événement montre que le risque cyber hospitalier est aussi corrélé, par les fournisseurs que les établissements partagent : plateformes de paiement, dossiers patients informatisés, autres prestataires communs. Leur défaillance frappe des milliers d'établissements à la fois. Une seule compromission en amont peut ainsi déclencher une catastrophe à l'échelle d'un système de santé tout entier⁸.

Une corrélation qui défie la mutualisation

Cette accumulation par le fournisseur reproduit, dans le secteur de la santé, le problème systémique que cette série a déjà analysé à propos des dépendances technologiques partagées. Lorsque des milliers d'assurés reposent sur la même infrastructure, leurs risques cessent d'être indépendants, et un sinistre unique peut frapper l'ensemble du portefeuille, détruisant la diversification dont vit l'assurance. L'assureur cyber santé fait donc face à une exposition corrélée qu'il maîtrise mal, d'autant que la concentration du marché des fournisseurs critiques échappe à son contrôle. La difficulté redouble parce que les assureurs ne peuvent pas abandonner ce secteur comme ils le feraient d'un autre : son rôle vital interdit de le laisser sans protection. Le marché fait face à un dilemme aigu.

V.Un marché à un point d'inflexion

Une assurabilité sous tension

L'hôpital réunit ainsi tout ce qui rend un risque difficile à assurer. Il est le plus attaqué, parce que sa mission en fait un payeur. Il est le plus coûteux, avec les violations de données les plus chères de toutes les industries. Et il est le plus grave, puisque ses sinistres se comptent parfois en vies. Cette conjonction produit une tempête sur le marché de la cyberassurance santé, dont les observateurs constatent qu'il a atteint un point d'inflexion, avec une fréquence des attaques en hausse d'environ 90 % en 2025 et un coût des sinistres qui a plus que doublé⁴. Un marché confronté à une telle dégradation tend naturellement à durcir ses conditions, à relever ses primes, à restreindre ses capacités et à multiplier les exclusions, mouvement qui menace de rendre la couverture inaccessible précisément là où elle est le plus nécessaire.

De l'indemnisation à la résilience

Face à cette impasse, le marché change de logique : il conditionne la couverture à la résilience au lieu de se borner à indemniser le sinistre. L'assureur exige désormais des sauvegardes éprouvées, des réseaux segmentés et des plans de reprise testés. L'octroi et le prix de la garantie en dépendent, et la police devient un instrument de prévention. Cette évolution s'accompagne d'une pression réglementaire croissante, des projets de loi américains sur la cybersécurité des soins à la mise à jour des règles de protection des données de santé, en passant, sur le versant européen, par l'inclusion des hôpitaux dans le champ des infrastructures critiques soumises à des obligations renforcées¹¹. La couverture cesse ainsi d'être un simple transfert de risque pour devenir un instrument d'incitation à la sécurité, seule voie soutenable dans un secteur où le sinistre est trop grave pour être seulement indemnisé.

Cette mutation a toutefois ses limites, car la résilience exigée a un coût que tous les établissements ne peuvent supporter. Les grands centres hospitaliers disposent des moyens d'investir dans la sécurité et de satisfaire aux conditions de l'assureur, mais les structures plus modestes, souvent les plus fragiles, risquent de se voir refuser la couverture ou imposer des primes prohibitives, faute de pouvoir financer le niveau de protection requis. Une fracture se dessine : la cyberassurance protégerait les hôpitaux les mieux dotés et laisserait les plus exposés sans filet. Pour un soin qui relève du service public, cette inégalité est difficilement acceptable. Le marché, livré à sa seule logique, tend donc à concentrer la protection là où le risque est le mieux maîtrisé, et à la retirer là où elle serait la plus nécessaire, paradoxe qui renforce l'argument en faveur d'une intervention correctrice de la puissance publique.

VI.Assurer l'hôpital, ou assurer le patient

Repenser le produit lui-même

La conclusion qui s'impose est que la cyberassurance hospitalière ne peut demeurer un produit de violation de données légèrement adapté, elle doit être repensée pour ce qu'elle couvre réellement, à savoir la résilience opérationnelle d'une activité vitale et le dommage corporel qui peut en résulter. Il faut intégrer dans la tarification la queue corporelle du risque, celle des décès et des fautes médicales induites, que les modèles actuels sous-estiment. Cette tarification revient à la police cyber si elle rachète son exclusion du dommage corporel, à la police médicale sinon. Il faut aussi cesser de traiter le sinistre cyber hospitalier comme un sinistre informatique parmi d'autres. Le produit doit suivre le risque depuis le serveur jusqu'au lit du patient, et reconnaître qu'au bout du compte, c'est la vie qui est en jeu, et non la donnée. Cette refonte conceptuelle est le préalable de toute tarification juste, car on ne peut correctement assurer un risque que l'on a d'abord mal qualifié.

La part systémique appelle un filet collectif

Demeure enfin la part systémique du risque, celle de l'accumulation par les fournisseurs critiques, qui paraît excéder la capacité du seul marché privé. Une compromission frappant simultanément la quasi-totalité d'un système de santé relève de la catégorie des risques que cette série a constamment identifiés comme appelant un filet collectif, à l'image de ce qui a été esquissé pour la guerre cyber ou la pandémie. Un dispositif de mutualisation publique ou de réassurance étatique pour la part catastrophique du risque cyber des infrastructures de santé apparaît dès lors comme une piste sérieuse, faute de quoi les assureurs pourraient se retirer d'un secteur qu'ils ne peuvent porter seuls. L'assurance de l'hôpital pose ainsi, sous une forme particulièrement aiguë, la question récurrente de l'articulation entre le marché et la puissance publique pour les risques où la défaillance n'est pas une option, car derrière le système d'information de l'hôpital, c'est toujours, en dernière instance, le patient qu'il s'agit d'assurer¹².

Cette analyse éclaire enfin la place singulière de l'hôpital dans la cartographie du risque cyber que cette série a progressivement dressée. Il concentre, en un seul objet, l'accumulation systémique des dépendances partagées, la zone grise entre garanties affirmatives et silencieuses, la dimension d'infrastructure critique soumise à régulation et la perspective d'un filet public pour la part catastrophique. À ce titre, il fonctionne comme un révélateur, exposant sous une lumière crue des tensions présentes ailleurs de façon plus diffuse, mais que la gravité du dommage corporel rend ici impossibles à ignorer. Comprendre la cyberassurance hospitalière, c'est donc comprendre les limites de l'assurabilité du risque cyber en général, à l'endroit précis où ce risque cesse d'être une affaire de coûts pour devenir une affaire de vies, et où l'assureur découvre que la donnée n'était jamais qu'un intermédiaire entre la machine et l'humain.