La panne informatique mondiale de 2024 : 5 lecons pour le secteur des soins

Ce qui s'est passe

Une mise a jour defectueuse du logiciel de securite du fournisseur CrowdStrike a provoque le fameux ecran bleu (Blue Screen of Death) sur d'innombrables ordinateurs Windows. Dans le monde entier, des secteurs comme l'aviation, les banques, les medias et les soins de sante ont ete perturbes.

Aux Pays-Bas, les hopitaux de Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) et Slingeland (Doetinchem), entre autres, ont ete touches. Des operations ont ete reportees et certains sites n'ont temporairement plus accueilli de nouveaux patients. Il ne s'agissait explicitement pas d'une cyberattaque, mais d'une erreur dans une mise a jour ; la remise en etat a exige un travail manuel systeme par systeme.

Lecon 1 : Les soins continuent, meme sur papier

Si le dossier patient, le module de medication ou la planification tombe en panne, les soins doivent tout de meme se poursuivre. Cela necessite des procedures d'urgence eprouvees : travailler avec des listes d'administration papier, une double verification pour les medicaments a risque et des accords clairs sur qui fait quoi.

Entrainez-vous regulierement a ces procedures d'urgence. Dans la pratique, il apparait que les collaborateurs qui les utilisent rarement perdent un temps precieux lors d'une veritable panne. Une fiche d'instructions courte et claire par service aide enormement.

Lecon 2 : Informez les collaborateurs, meme en dehors des systemes

Lorsque les systemes habituels sont hors service, vous ne pouvez pas joindre les collaborateurs par ces systemes. Reflechissez a l'avance a des voies alternatives.

• Une instruction centrale et courte : ce qui ne fonctionne pas, quelle procedure d'urgence s'applique, ou trouver l'etat le plus recent.
• Une joignabilite via des canaux alternatifs (telephone, SMS, une page privee).
• De la clarte sur les priorites : quels soins et quels services passent en premier.
• Degager du calme : des collaborateurs qui savent quoi faire rassurent aussi les patients et les familles.

Lecon 3 : Rassurez les familles et les patients

Les operations reportees et les portes fermees suscitent de l'inquietude chez les patients et les familles. Soyez proactif a ce sujet : expliquez ce qui se passe, ce que cela signifie pour leur rendez-vous et quand il y aura davantage de nouvelles.

Un message honnete et humain evite les appels telephoniques inutiles et la mefiance. Veillez a ce que l'information soit identique sur le site web, a l'accueil et au telephone.

Lecon 4 : Connaissez votre dependance aux fournisseurs

La panne ne venait pas de l'interieur, mais d'un fournisseur de logiciels externe. Cela montre a quel point les soins modernes dependent de la chaine numerique : un fournisseur d'ecd, un editeur de logiciels, un service cloud.

Cartographiez ces dependances (quel systeme depend de quel fournisseur) et definissez ce que vous faites si un fournisseur tombe en panne. Convenez de delais de retablissement et gardez une solution de repli sous la main.

Lecon 5 : Connaissez vos normes et obligations de notification

Les etablissements de soins relevent de la NEN 7510 (securite de l'information) et du RGPD. Si la securite des patients est menacee, il peut s'agir d'une calamite que vous devez signaler dans les trois jours ouvrables a l'Inspectie Gezondheidszorg en Jeugd (IGJ) au titre de la Wkkgz. Si des donnees a caractere personnel sont concernees, l'obligation de notification de violation de donnees (72 heures) aupres de l'Autoriteit Persoonsgegevens s'applique.

Les prestataires de soins relevent en outre de plus en plus de la loi sur la cybersecurite (NIS2), avec une obligation de notification des incidents significatifs. Consignez pendant la crise quelles notifications ont ete faites, quand et aupres de qui.

Comment CrisisRadar vous aide

CrisisRadar reunit la direction, le management des soins, l'informatique et la communication dans une image de crise partagee. Vous consignez les faits avec leur source, partagez des consignes d'urgence claires avec les collaborateurs, redigez un message rassurant pour les familles et veillez a la continuite des soins. Les minuteurs d'obligation de notification surveillent les delais pour l'IGJ et l'Autoriteit Persoonsgegevens.

Vous souhaitez voir a quoi ressemble, etape par etape, une panne informatique dans les soins de sante au sein de la plateforme ? Consultez alors la mise en situation associee.

Stappenplan

Veelgestelde vragen

La panne CrowdStrike etait-elle une cyberattaque ?

Non. La panne du 19 juillet 2024 etait due a une mise a jour logicielle defectueuse du fournisseur CrowdStrike, et non a une attaque. Elle a pourtant paralyse des systemes Windows dans le monde entier, y compris dans des hopitaux, ce qui souligne l'importance de bonnes procedures d'urgence.

Comment les soins peuvent-ils se poursuivre lorsque les systemes tombent en panne ?

Grace a des procedures d'urgence eprouvees : travailler avec des listes d'administration papier, une double verification pour les medicaments a risque et des accords clairs sur les priorites et les roles. Entrainez-vous regulierement a ces procedures, afin qu'elles deviennent des reflexes.

Quelle obligation de notification s'applique en cas de panne informatique dans les soins ?

Si la securite des patients est menacee, vous signalez une calamite dans les trois jours ouvrables a l'IGJ (Wkkgz). Si des donnees a caractere personnel sont concernees, la notification de violation de donnees dans les 72 heures aupres de l'Autoriteit Persoonsgegevens s'applique. Souvent, la loi sur la cybersecurite (NIS2) s'applique egalement.