Conformité à NIS2 pour le secteur de la santé

Les systèmes de santé dépendent fortement des technologies numériques pour fournir des soins aux patients, gérer les dossiers médicaux, faire fonctionner les équipements de diagnostic et coordonner les services de santé publique. À mesure que les hôpitaux et les prestataires de soins deviennent de plus en plus interconnectés, le risque d'incidents cybernétiques affectant la sécurité des patients et la continuité des services s'est intensifié.

La directive NIS2 établit des obligations de cybersécurité à l'échelle de l'UE pour les entités Essential et Important et élargit significativement le champ d'application du cadre NIS original. La conformité à NIS2 pour le secteur de la santé reflète l'importance sociétale critique des services de santé et la nécessité de protéger les données médicales et opérationnelles sensibles.

NIS2 concerne principalement les entités moyennes et grandes des secteurs réglementés. Les petites et microentités sont généralement hors champ, sous réserve des exceptions légales et de la désignation nationale.

Si votre organisation opère dans le secteur de la santé, elle peut relever de NIS2 en tant qu'entité Essential ou Important.

L’annexe I désigne des secteurs hautement critiques, sans classer automatiquement chaque entité comme essentielle. Selon l’article 3, la règle générale fondée sur la taille est la suivante :

• Grandes entreprises — entités essentielles : au moins 250 salariés, ou à la fois un chiffre d’affaires annuel supérieur à 50 millions € et un total du bilan supérieur à 43 millions €.
• Moyennes entreprises — entités importantes : sans être grandes, au moins 50 salariés, ou à la fois un chiffre d’affaires annuel et un total du bilan supérieurs à 10 millions €.

Annexe pertinente : Annexe I (Secteurs hautement critiques)

Couverture du sous-secteur (Annexe I – Santé) :

• Healthcare providers tels que définis dans la législation de l'UE en matière de santé
• Laboratoires de référence de l'UE
• Entités menant des activités de recherche et développement sur des produits médicinaux
• Entités fabriquant des produits pharmaceutiques de base et des préparations pharmaceutiques
• Entités fabriquant des dispositifs médicaux considérés comme critiques lors d'une urgence de santé publique

Les règles européennes relatives aux PME s’appliquent, y compris l’agrégation des entreprises partenaires et liées lorsque requise (recommandation 2003/361/CE). Les petites et microentreprises ne relèvent pas automatiquement de NIS2 du seul fait de leur activité dans un secteur de l’annexe I. Les exceptions légales, l’identification nationale comme entité essentielle ou importante et l’identification comme entité critique au titre de la directive CER peuvent déroger à la règle générale fondée sur la taille (articles 2 et 3).

La conformité à NIS2 pour le secteur de la santé s'applique à :

• Entreprises de taille moyenne (50 employés ou plus, ou chiffre d'affaires annuel supérieur à 10 millions d'euros et total du bilan supérieur à 10 millions d'euros ; les entreprises partenaires et liées sont prises en compte)
• Grandes entreprises dépassant ces seuils
• Entités désignées comme fournisseurs de soins de santé critiques en vertu du droit national, le cas échéant

Les hôpitaux, cliniques privées, fabricants pharmaceutiques, fabricants de dispositifs médicaux et certaines entités de recherche atteignant les seuils sont concernés.

Les entités moyennes et grandes de ce secteur remplissent généralement le critère de taille de NIS2. Les petites et microentités sont généralement hors champ, sauf disposition légale indépendante de la taille ou désignation nationale formelle. Appliquez la définition européenne des PME et l’agrégation des entreprises partenaires et liées selon la recommandation 2003/361/CE, et vérifiez les règles sectorielles et la transposition nationale.

En vertu de l'Article 21 de la directive NIS2, les entités de santé doivent mettre en œuvre des mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité.

Les mesures obligatoires comprennent :

• Cadre de gestion des risques
• Procédures de gestion des incidents
• Continuité d'activité et reprise après sinistre
• Sécurité de la chaîne d'approvisionnement
• Développement et maintenance sécurisés
• Politiques relatives au chiffrement et à la cryptographie
• Contrôle d'accès et MFA
• Gestion des vulnérabilités et des correctifs
• Formation à l'hygiène cybernétique
• Utilisation de communications sécurisées

Pour le secteur de la santé, ces mesures de sécurité NIS2 doivent couvrir les systèmes de dossiers de santé électroniques, les dispositifs médicaux connectés, les systèmes de laboratoire et les environnements de production pharmaceutique. La protection des operational technology (OT) dans les équipements hospitaliers et les installations de fabrication est essentielle.

La conformité à NIS2 pour le secteur de la santé exige d'intégrer la cybersécurité dans la gouvernance de la sécurité des patients et les processus de gestion des risques cliniques. La planification de la résilience doit tenir compte de la continuité des services pendant les incidents cybernétiques susceptibles de perturber l'administration des traitements.

Les entités de santé doivent respecter les délais de notification des incidents prévus par NIS2 lorsqu'un incident significatif se produit.

Les obligations de notification comprennent :

Les rapports doivent être soumis au CSIRT national ou à l'autorité compétente.

La règle de notification sous 24 heures de NIS2 est particulièrement pertinente lorsque des incidents cybernétiques affectent les systèmes de soins aux patients, la fabrication pharmaceutique ou les dispositifs médicaux critiques. Les incidents qui perturbent la prestation des soins ou compromettent la disponibilité des systèmes seront généralement considérés comme significatifs.

Le non-respect des délais prescrits de notification peut entraîner des mesures d'exécution et des amendes administratives.

La conformité à NIS2 pour le secteur de la santé impose une responsabilité directe au organe de direction.

Principales exigences en matière de gouvernance :

• Approbation des mesures de gestion des risques de cybersécurité par l'organe de direction
• Surveillance continue de la mise en œuvre
• Formation obligatoire en cybersécurité pour la direction
• Risque potentiel de responsabilité personnelle en vertu du droit national

L'Article 21 de la directive NIS2 fait de la cybersécurité une responsabilité au niveau du conseil d'administration. Les dirigeants d'hôpitaux, les administrateurs de sociétés pharmaceutiques et les responsables des établissements de santé doivent veiller à ce que des contrôles adéquats et des mesures de résilience soient mis en œuvre et maintenus.

Les défaillances en matière de cybersécurité dans le domaine de la santé peuvent avoir des conséquences directes sur la sécurité des patients et la confiance du public, ce qui renforce l'importance de la supervision de la direction.

En tant qu'entités de l'Annexe I, les organisations de santé classées comme entités Essential sont soumises à une supervision proactive. Les autorités compétentes peuvent effectuer des audits, des inspections et des évaluations de cybersécurité indépendamment de la survenance d'un incident.

Les amendes administratives en cas de non-conformité sont :

• Entités Essential : Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé s'appliquant)

Les lois nationales de transposition peuvent préciser les procédures de surveillance, mais la directive fixe des seuils minimaux d'amende harmonisés entre les États membres.

Étant donné l'importance sociétale de la continuité des soins, l'application devrait être structurée et basée sur les risques.

Les entreprises de santé devraient adopter une approche structurée pour se conformer à NIS2 :

1. Mener une évaluation des écarts NIS2
2. Cartographier les services de santé critiques et les dépendances numériques
3. Formaliser un cadre documenté de gestion des risques de cybersécurité
4. Mettre à jour et tester les plans d'intervention en cas d'incident et de continuité
5. Réviser les contrats avec les fournisseurs et les vendeurs de technologies médicales
6. Former la direction et les cadres cliniques supérieurs
7. Établir un flux de travail de notification 24h/72h/1 mois

Une préparation précoce réduit le risque de sanctions et protège la continuité des soins aux patients.

Les entités de santé sont confrontées à des risques spécifiques au secteur dans le cadre de NIS2 :

• Perturbation opérationnelle : Les incidents cybernétiques peuvent interrompre les traitements des patients et le fonctionnement des hôpitaux.
• Atteinte à la sécurité des patients : Des systèmes compromis peuvent affecter la prise de décision clinique ou la fonctionnalité des dispositifs.
• Compromission de la chaîne d'approvisionnement : Les fournisseurs pharmaceutiques et de dispositifs médicaux introduisent des risques tiers.
• Amendes réglementaires : La non-conformité expose les organisations à des sanctions importantes.
• Atteinte à la réputation : La confiance du public envers les établissements de santé est fortement sensible aux défaillances en matière de cybersécurité.

La conformité à NIS2 pour le secteur de la santé est donc à la fois une exigence réglementaire et un impératif de sécurité des patients.