En 2023, 10 % des incidents de cybersécurité signalés à l’ANSSI concernaient des établissements de santé. La directive NIS2, transposée en droit français, élargit les obligations de sécurité à l’ensemble des entités essentielles du secteur hospitalier. Le SIH est désormais au centre de cette gouvernance : il concentre les données patients, pilote les soins et connecte des dizaines de systèmes biomédicaux. Ignorer NIS2, c’est accepter un risque systémique sur la continuité des soins.
NIS2 : ce qui change pour l’hôpital
La directive (UE) 2022/2555 remplace NIS1 en étendant le périmètre des entités régulées. Les établissements de santé publics et privés de plus de 50 salariés sont classés entités essentielles ou importantes selon leur taille et leur criticité. L’ANSSI, autorité nationale en matière de sécurité des systèmes d’information, pilote la transposition française et publiera les mesures de sécurité sectorielles applicables aux opérateurs de santé.
Les obligations couvrent la gestion des risques, la gouvernance cyber au niveau de la direction, la notification des incidents significatifs dans un délai de 24 heures pour l’alerte initiale et de 72 heures pour le rapport détaillé, la sécurité de la chaîne d’approvisionnement et les plans de continuité d’activité. Les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.
Cartographie des risques du SIH
NIS2 exige une approche par les risques, pas une simple checklist technique. Pour un hôpital, cela commence par une cartographie des actifs critiques du SIH : DPI, prescription connectée, système de gestion des blocs, automates de laboratoire, passerelle d’imagerie, portail patient, messagerie sécurisée de santé.
Chaque composant est évalué selon sa criticité pour la continuité des soins, le volume de données personnelles traitées et sa surface d’attaque réseau. Un DPI indisponible empêche la prescription sécurisée ; un système de pharmacie compromis expose le circuit du médicament ; un bloc opératoire déconnecté retarde les interventions programmées.
L’HAS intègre la dimension numérique dans ses critères de certification, en évaluant la capacité de l’établissement à maintenir la qualité des soins en cas de panne du système d’information. La convergence entre exigences NIS2 et certification HAS renforce la nécessité d’une gouvernance cyber intégrée à la stratégie de l’établissement.
Auto-évaluation rapide : listez les cinq composants SIH les plus critiques pour la continuité des soins. Pour chacun, identifiez le délai maximal d’indisponibilité tolérable, le dernier test de bascule réalisé et le responsable désigné en cas d’incident. Si un de ces éléments manque, votre préparation NIS2 est incomplète.
Gestion des accès et segmentation réseau
Le contrôle d’accès au SIH est le premier levier de réduction de la surface d’attaque. L’authentification forte (carte CPS, authentification à deux facteurs) limite le risque d’usurpation d’identité professionnelle. Les profils d’accès doivent suivre le principe du moindre privilège : un médecin urgentiste accède au DPI de ses patients, pas à l’ensemble de la base ; un technicien biomédical administre les interfaces automates sans voir les résultats patients.
La segmentation réseau isole les différentes zones du SIH : réseau biomédical, réseau administratif, zone DMZ pour les portails externes. Un rançongiciel qui compromet un poste administratif ne doit pas pouvoir atteindre le DPI ou les automates de laboratoire. Cette architecture en couches est une exigence implicite de NIS2, explicite dans les recommandations de l’ANSSI pour le secteur santé.
- Authentification forte — CPS/e-CPS ou MFA pour tout accès applicatif au SIH.
- Moindre privilège — profils granulaires par rôle, service et périmètre patient.
- Segmentation — isolation réseau entre zones biomédicales, administratives et DMZ.
- Révocation — désactivation immédiate des comptes lors d’un départ ou changement de fonction.
- Journalisation — traçabilité exhaustive des accès et des actions privilégiées.
Plan de continuité et gestion d’incident
NIS2 impose un plan de continuité d’activité testé régulièrement. Pour un hôpital, cela signifie un mode dégradé documenté pour chaque composant critique du SIH : prescription papier si le DPI est indisponible, protocole de secours pour le circuit du médicament, sauvegarde accessible des données d’urgence vitales.
La gestion d’incident cyber exige une chaîne de commandement définie à l’avance : qui déclenche le plan de crise, qui notifie l’ANSSI, qui communique en interne et vers les tutelles. Un exercice de simulation annuel, documenté et analysé, est le minimum attendu par NIS2. Les établissements membres d’un GHT doivent coordonner leurs plans de réponse pour éviter l’effet domino lorsque plusieurs structures partagent un même SIH.
Chaîne d’approvisionnement et responsabilité de l’éditeur
NIS2 introduit une responsabilité étendue sur la chaîne d’approvisionnement numérique. L’hôpital doit évaluer la posture de sécurité de ses fournisseurs critiques, au premier rang desquels l’éditeur du SIH. Le contrat doit préciser la politique de correctifs de sécurité, les délais de déploiement des patchs critiques, les résultats des audits de sécurité ou pentests, et les obligations de notification en cas de compromission chez l’éditeur.
Un SIH intégré réduit le nombre de fournisseurs à auditer et simplifie la gouvernance de la chaîne d’approvisionnement. Chaque interface supplémentaire entre éditeurs distincts est un point de défaillance potentiel et un vecteur d’attaque supplémentaire à documenter dans l’analyse de risque NIS2.
Évaluez la conformité NIS2 de votre SIH et la posture cyber de votre éditeur.
