Directive NIS2 : quel impact pour le secteur de la santé ?

La directive (UE) 2022/2555, dite NIS2, élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité. Le secteur de la santé y figure parmi les secteurs hautement critiques.

Gouvernance et responsabilité

NIS2 responsabilise les organes de direction et impose des mesures de gestion des risques ainsi qu'une obligation de notification des incidents. La gouvernance devient un sujet de comité de direction.

Qui est concerné dans la santé

NIS2 change d'échelle par rapport à NIS1 : au-delà des hôpitaux déjà régulés, entrent dans le champ — selon des seuils de taille et de chiffre d'affaires — les laboratoires de biologie médicale, les fabricants de dispositifs médicaux critiques, les entités de recherche et développement pharmaceutique, et de nombreux acteurs de la chaîne du médicament. Les structures sont classées en entités « essentielles » ou « importantes », avec des régimes de supervision et de sanction différenciés.

Et même hors périmètre direct, l'effet de chaîne joue : les entités régulées doivent maîtriser la sécurité de leur chaîne d'approvisionnement — leurs éditeurs, infogérants et prestataires verront donc les exigences NIS2 arriver par leurs contrats.

Les obligations concrètes

Le cœur du dispositif tient en deux volets. D'abord, des mesures de gestion des risques cyber : politiques de sécurité et d'analyse de risques, gestion des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, chiffrement, contrôle d'accès et authentification multifacteur, formation — y compris des dirigeants. Ensuite, une obligation de notification des incidents significatifs en trois temps : alerte précoce sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois.

La nouveauté la plus structurante est ailleurs : les organes de direction sont personnellement responsables de l'approbation et de la supervision de ces mesures. La cybersécurité cesse d'être un sujet de DSI pour devenir un sujet de conseil d'administration.

Transposition française : où en est-on ?

La directive devait être transposée pour octobre 2024 ; la France a pris du retard : le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité » — piloté côté technique par l'ANSSI — est encore en cours d'adoption au Parlement à l'été 2026, avec une montée en charge progressive des exigences annoncée par l'agence (environ trois ans avant les premières sanctions). Le périmètre exact des entités régulées et le calendrier opposable seront précisés par la loi puis ses décrets : c'est typiquement le genre d'évolution que notre veille suit semaine après semaine pour nos clients.

NIS2, RGPD, HDS : trois cadres, une même hygiène

Un même incident — un rançongiciel chiffrant un serveur de données patients — peut déclencher simultanément une notification NIS2 (incident significatif), une notification RGPD à la CNIL sous 72 heures (violation de données) et une revue des engagements HDS de l'hébergeur. Plutôt que trois conformités en silos, la bonne approche est un socle unique : cartographie commune, procédure d'incident unifiée qui alimente les trois obligations, et gouvernance partagée entre DPO, RSSI et direction. C'est exactement l'articulation que nous construisons avec nos partenaires cybersécurité.