Santé & NIS2 : les obligations d’un secteur essentiel

De quoi parle NIS2 ?

NIS2 distingue entités essentielles et importantes. La santé figure parmi les secteurs hautement critiques (annexe I) : les établissements et prestataires concernés relèvent, au-delà des seuils, des entités essentielles, soumises à une supervision plus poussée que les importantes.

Les mesures de l’article 21 couvrent un socle complet : politique de sécurité, gestion des incidents, continuité, chaîne d’approvisionnement, chiffrement, contrôle d’accès, authentification multifacteur.

Le secteur « Santé » est-il concerné ?

Hôpitaux, cliniques, laboratoires et prestataires critiques de santé au-delà des seuils sont des entités essentielles. Certaines entités jugées critiques peuvent l’être indépendamment de leur taille.

Les éditeurs et prestataires qui les servent sont concernés par ricochet, via la sécurisation de la chaîne d’approvisionnement exigée de leurs clients.

Obligations détaillées

Sanctions & risques

Pour les entités essentielles, les amendes peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires mondial, avec une supervision renforcée (contrôles, audits) et une responsabilité personnelle possible des dirigeants.

Le risque majeur reste opérationnel et humain : une attaque réussie peut interrompre la prise en charge des patients.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours de finalisation ; anticiper les mesures dès maintenant compte tenu du niveau de menace.

Erreurs fréquentes dans le secteur

• 1Sous-estimer la menace. Négliger l’exposition du secteur aux rançongiciels.
• 2Chaîne d’approvisionnement non sécurisée. Laisser des éditeurs ou prestataires non évalués accéder aux systèmes.
• 3Continuité non testée. Disposer d’un plan de reprise théorique jamais éprouvé.
• 4Direction absente. Cantonner la cybersécurité à la technique sans implication de la direction.

Cas pratique

Un établissement de santé subit un rançongiciel entré par un prestataire de maintenance non encadré. Faute de plan de continuité éprouvé, l’activité est perturbée plusieurs jours. La remédiation NIS2 consiste à encadrer les accès des prestataires, à généraliser l’authentification multifacteur, à tester régulièrement le plan de reprise et à formaliser la notification des incidents.

Feuille de route de mise en conformité

1. 1

   Qualifier. Confirmer le statut d’entité essentielle.

2. 2

   Analyser les risques. Réaliser une analyse de risque et un état des lieux au regard de l’article 21.

3. 3

   Déployer les mesures. Mettre en œuvre les mesures manquantes, un plan de continuité et un plan de réponse aux incidents.

4. 4

   Sécuriser les fournisseurs. Encadrer éditeurs et prestataires critiques.

5. 5

   Outiller la notification. Mettre en place le processus d’alerte et de reporting.

Questions fréquentes