À 14 heures, au pavillon N de l’hôpital Édouard-Herriot, les écrans se bloquent. Le message est fictif, mais la suite ressemble à une vraie journée qui déraille : les informations circulent moins bien, les équipes doivent repasser au papier, les priorités médicales restent à tenir.
La cyberattaque n’a jamais eu lieu. Elle a été jouée le 30 mars, à Lyon, dans le cadre d’ORION Jeunesse, un exercice national piloté par le ministère des Armées. L’INSA Lyon en a remis le sujet en avant le 27 mai : près de 500 étudiants ont participé à cette simulation d’attaque hybride autour de l’hôpital Édouard-Herriot.
Dans le scénario, la panne informatique n’arrivait pas seule. Elle se mêlait à un afflux de blessés, à une décontamination et à une crise de coordination. Le sujet n’était pas seulement de réparer un système. Il fallait maintenir un hôpital debout alors qu’une partie de ses outils habituels disparaissait.
À Lyon, l’exercice a surtout réuni des métiers qui, d’ordinaire, ne voient pas la panne du même endroit. Des étudiants en médecine et en sciences infirmières ont pris en charge des patients en conditions dégradées. Des étudiants en psychologie ont travaillé sur l’accueil de victimes en état de choc. Des étudiants en informatique de l’INSA et de Polytech Lyon devaient, eux, comprendre l’intrusion et remettre en service un système hospitalier fictif.
Polytech Lyon précise que neuf étudiants de master MIAGE avaient travaillé pendant deux mois avec dix étudiants de l’INSA pour concevoir ce système : données patients, emplois du temps des soignants, réseau à restaurer. Sur le papier, c’est un projet informatique. Dans l’exercice, cela devient autre chose : retrouver la bonne information au bon moment, pour que la décision médicale reste possible.
Le lieu donne du poids à la simulation. Édouard-Herriot, place d’Arsonval, assure un accueil des urgences 24 heures sur 24 pour les urgences médicales, chirurgicales et ophtalmologiques. L’hôpital héberge aussi le SAMU et le centre de médecine hyperbare. Dans un établissement de ce type, un écran noir n’est pas seulement une gêne technique. Il peut ralentir une orientation, compliquer une transmission, forcer les équipes à décider avec moins d’appuis.
Le scénario colle à une pression déjà visible dans les établissements de santé. En 2025, le CERT Santé a recensé 764 incidents de sécurité déclarés dans le secteur sanitaire et médico-social, concernant 606 structures. Tous ne bloquent pas un hôpital. Mais le chiffre rappelle que la vulnérabilité n’est plus théorique : elle touche les accès, les comptes, les données, les procédures et les habitudes de travail.
L’intérêt d’ORION Jeunesse était de faire travailler ensemble des métiers qui ne regardent pas la panne du même endroit. Un futur médecin veut savoir où sont les informations utiles au soin. Une infirmière doit garder la surveillance possible. Un informaticien cherche l’origine de l’intrusion. Un psychologue voit les victimes et les familles. Dans une crise réelle, ils n’ont pas le luxe d’attendre que chacun ait fini sa partie.
À Édouard-Herriot, l’attaque était fausse. Le retour au papier, les numéros d’urgence, les constantes à surveiller et les décisions à tenir racontaient pourtant quelque chose de très concret. Le jour où l’informatique tombe vraiment, mieux vaut avoir répété avant où sont les procédures papier, les numéros utiles et les stylos.