Directive NIS2 : quel impact pour le secteur de la santé ?

La directive (UE) 2022/2555, dite NIS2, élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité. Le secteur de la santé y figure parmi les secteurs hautement critiques.

Gouvernance et responsabilité

NIS2 responsabilise les organes de direction et impose des mesures de gestion des risques ainsi qu'une obligation de notification des incidents. La gouvernance devient un sujet de comité de direction.

Qui est concerné dans la santé

NIS2 change d'échelle par rapport à NIS1 : au-delà des hôpitaux déjà régulés, entrent dans le champ — selon des seuils de taille et de chiffre d'affaires — les laboratoires de biologie médicale, les fabricants de dispositifs médicaux critiques, les entités de recherche et développement pharmaceutique, et de nombreux acteurs de la chaîne du médicament. Les structures sont classées en entités « essentielles » ou « importantes », avec des régimes de supervision et de sanction différenciés — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les importantes. L'ANSSI évoque environ 15 000 entités régulées en France, contre quelque 500 sous NIS1.

Et même hors périmètre direct, l'effet de chaîne joue : les entités régulées doivent maîtriser la sécurité de leur chaîne d'approvisionnement — leurs éditeurs, infogérants et prestataires verront donc les exigences NIS2 arriver par leurs contrats.

Les obligations concrètes

Le cœur du dispositif tient en deux volets. D'abord, des mesures de gestion des risques cyber : politiques de sécurité et d'analyse de risques, gestion des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, chiffrement, contrôle d'accès et authentification multifacteur, formation — y compris des dirigeants. Ensuite, une obligation de notification des incidents significatifs en trois temps : alerte précoce sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois.

La nouveauté la plus structurante est ailleurs : les organes de direction sont personnellement responsables de l'approbation et de la supervision de ces mesures. La cybersécurité cesse d'être un sujet de DSI pour devenir un sujet de conseil d'administration.

Transposition française : où en est-on au 15 septembre 2026 ?

La directive devait être transposée pour le 17 octobre 2024. Près de deux ans plus tard, la loi française n'est toujours pas promulguée. Le véhicule est le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », qui transpose d'un même mouvement trois textes européens : NIS2, la directive REC sur la résilience des entités critiques, et l'accompagnement du règlement DORA pour le secteur financier. Son parcours : présenté en Conseil des ministres en octobre 2024, adopté par le Sénat en première lecture en mars 2025, puis adopté à l'unanimité par la commission spéciale de l'Assemblée nationale en septembre 2025 — mais l'examen en séance publique a été plusieurs fois repoussé depuis, et il est attendu à la rentrée parlementaire de septembre 2026, sans date confirmée à l'heure où nous écrivons.

Côté mise en œuvre, l'ANSSI — désignée autorité nationale — a annoncé une montée en charge progressive des exigences (environ trois ans avant les premières sanctions) et ouvert le portail MonEspaceNIS2 pour permettre aux entités de tester leur assujettissement dès maintenant. Le périmètre exact des entités régulées et le calendrier opposable seront précisés par la loi puis ses décrets d'application.

La France assignée devant la Cour de justice de l'UE

Fait marquant de l'été : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France — ainsi que l'Irlande, l'Espagne et les Pays-Bas — pour défaut de transposition de NIS2, après une mise en demeure en novembre 2024 et un avis motivé en mai 2025. La Commission demande des sanctions financières : une somme forfaitaire et des astreintes journalières courant jusqu'à la notification de la transposition complète.

Ce qu'il faut en retenir si vous dirigez une structure de santé : le retard français est un sursis de calendrier, pas une dispense. La directive existe, son contenu est connu, la pression institutionnelle s'accroît — et le jour où la loi sera promulguée, les assujettis n'auront aucun intérêt à découvrir leurs obligations à ce moment-là. Les organisations qui cartographient dès maintenant leur assujettissement, leurs incidents et leur chaîne d'approvisionnement aborderont l'entrée en vigueur avec des mois d'avance.

NIS2, RGPD, HDS : trois cadres, une même hygiène

Un même incident — un rançongiciel chiffrant un serveur de données patients — peut déclencher simultanément une notification NIS2 (incident significatif), une notification RGPD à la CNIL sous 72 heures (violation de données) et une revue des engagements HDS de l'hébergeur. Plutôt que trois conformités en silos, la bonne approche est un socle unique : cartographie commune, procédure d'incident unifiée qui alimente les trois obligations, et gouvernance partagée entre DPO, RSSI et direction. C'est exactement l'articulation que nous construisons avec nos partenaires cybersécurité.