Réponse courte : La NIS2 (Directive (UE) 2022/2555) est la loi européenne sur la cybersécurité pour les secteurs critiques. La santé est un secteur de haute criticité (Annexe I) : hôpitaux et autres prestataires de soins de santé, laboratoires de référence de l'UE, fabricants de produits pharmaceutiques de base et de dispositifs médicaux critiques lors d'une urgence de santé publique, ainsi que les entités menant des activités de recherche et développement de médicaments. Les prestataires numériques dont dépend la santé sont également couverts : services de cloud computing, centres de données, services de sécurité gérés, plateformes et places de marché en ligne. Les entités dépassant le seuil de taille (moyennes : 50 employés ou 10 millions d'euros de chiffre d'affaires) sont essentielles ou importantes selon le secteur et la taille, et doivent mettre en œuvre dix catégories de mesures de sécurité, signaler les incidents significatifs en 24 heures, 72 heures et un mois, et accepter que la direction soit personnellement responsable. Les États membres devaient transposer la directive avant le 17 octobre 2024 ; plusieurs l'ont fait tardivement, et ce sont les lois nationales, et non la directive, qui s'appliquent à vous.
Qui est concerné
La directive NIS2 couvre le secteur de la santé comme un secteur de haute criticité : les hôpitaux et autres prestataires de soins de santé, les laboratoires de référence de l'UE, les fabricants de produits pharmaceutiques de base et de dispositifs médicaux critiques en cas d'urgence de santé publique, ainsi que les entités de R&D sur les médicaments, sans oublier les fournisseurs de services cloud, de centres de données et de services gérés dont dépend la santé. Les entités de taille moyenne sont généralement importantes, les grandes sont essentielles.
| Entité | Annexe | Statut typique |
|---|---|---|
| Hôpitaux, cliniques, réseaux de médecins généralistes, laboratoires, pharmacies fournissant des soins (prestataires de soins de santé au sens de la directive 2011/24) | I, santé | Essentiel si grande taille (250+ employés ou 50 millions d'euros et plus), important si taille moyenne |
| Laboratoires de référence de l'UE | I, santé | Essentiel |
| Fabricants de produits et préparations pharmaceutiques de base | I, santé | Essentiel ou important selon la taille |
| Fabricants de dispositifs médicaux considérés comme critiques lors d'une urgence de santé publique (liste du règlement 2022/123) | I, santé | Essentiel ou important selon la taille |
| Entités menant des activités de R&D de médicaments | I, santé | Essentiel ou important selon la taille |
| Prestataires de services de cloud computing, prestataires de centres de données, réseaux de diffusion de contenu, prestataires de services gérés (de sécurité), DNS, registres de noms de domaine de premier niveau | I, infrastructure numérique et gestion des services TIC | Essentiel indépendamment de la taille pour certains (DNS, noms de domaine, services de confiance) ; sinon, selon la taille |
| Places de marché en ligne, moteurs de recherche, réseaux sociaux | II, prestataires numériques | Important selon la taille |
| Fabricants d'autres dispositifs médicaux et d'ordinateurs, d'appareils électroniques, de machines | II, fabrication | Important selon la taille |
Un fournisseur de SaaS de technologie de la santé n'est pas un prestataire de soins de santé, mais il peut être concerné en tant que prestataire de services de cloud computing (s'il propose des services cloud comme activité principale) ou être impliqué par le biais de ses clients : l'article 21(2)(d) impose aux entités essentielles et importantes de gérer la sécurité de la chaîne d'approvisionnement, obligeant ainsi les hôpitaux à imposer des exigences de niveau NIS2 dans leurs contrats avec leurs fournisseurs de logiciels. Les micro-entreprises et les petites entreprises sont généralement exclues, sauf si un État membre les désigne (par exemple, comme uniques fournisseurs d'un service critique).
Les dix mesures, Article 21
L'article 21 de NIS2 exige que chaque entité concernée prenne des mesures proportionnées dans dix domaines : analyse des risques et politiques de sécurité, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d'approvisionnement, acquisition et développement sécurisés, y compris la gestion des vulnérabilités, évaluation de l'efficacité, hygiène cybernétique et formation, cryptographie et chiffrement, sécurité des ressources humaines et contrôle d'accès, et authentification multifacteur avec communications sécurisées.
Chaque entité concernée doit prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées couvrant au moins :
- les politiques d'analyse des risques et de sécurité des systèmes d'information ;
- la gestion des incidents ;
- la continuité des activités (sauvegardes, reprise après sinistre) et la gestion de crise ;
- la sécurité de la chaîne d'approvisionnement, y compris la sécurité des relations avec les fournisseurs directs ;
- la sécurité dans l'acquisition, le développement et la maintenance des systèmes, y compris la gestion et la divulgation des vulnérabilités ;
- les politiques d'évaluation de l'efficacité des mesures ;
- les pratiques de base en matière d'hygiène cybernétique et la formation ;
- les politiques relatives à la cryptographie et, le cas échéant, au chiffrement ;
- la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
- l'authentification multifacteur ou continue, les communications sécurisées et les communications d'urgence sécurisées.
Un règlement d'exécution d'octobre 2024 (2024/2690) détaille ces mesures pour les infrastructures numériques et les prestataires TIC, et les autorités nationales publient leurs propres catalogues pour la santé. La liste correspond étroitement à l'Annexe A de la norme ISO/IEC 27001 ; une organisation disposant d'un SMSI certifié couvrant les systèmes pertinents est sur la bonne voie. Voir ISO 27001 vs ISO 27799.
L'horloge des incidents, Article 23
En vertu de l'article 23 de NIS2, un incident significatif doit être signalé au CSIRT national ou à l'autorité compétente en trois étapes : un avertissement précoce dans les 24 heures suivant sa prise de connaissance, une notification d'incident dans les 72 heures avec une évaluation initiale, et un rapport final dans le mois couvrant la cause profonde et les mesures d'atténuation, avec un rapport intermédiaire sur demande.
Un incident significatif (un incident causant ou susceptible de causer une perturbation opérationnelle grave ou une perte financière, ou affectant d'autres personnes avec des dommages considérables) doit être signalé au CERT-UE national ou à l'autorité compétente :
- un alerte précoce dans les 24 heures suivant sa prise de connaissance, indiquant si une action malveillante est suspectée et s'il existe un impact transfrontalier ;
- une notification d'incident dans les 72 heures, avec une évaluation initiale de la gravité et de l'impact, ainsi que des indicateurs de compromission ;
- un rapport intermédiaire sur demande ;
- un rapport final dans un délai d'un mois, précisant la cause profonde, les mesures d'atténuation et l'impact transfrontalier.
Lorsque des données personnelles sont impliquées, la notification de 72 heures à l'autorité de protection des données, prévue par le RGPD, s'exécute en parallèle ; une attaque par ransomware contre un hôpital déclenche les deux. Les destinataires des services doivent être informés lorsque l'incident est susceptible de les affecter.
Gouvernance, responsabilité, amendes
NIS2 rend la direction personnellement responsable : les organes de direction doivent approuver les mesures de cybersécurité, superviser leur mise en œuvre et suivre une formation, et peuvent être tenus responsables des infractions ; pour les entités essentielles, les autorités peuvent suspendre temporairement les dirigeants. Les amendes atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles et 7 millions d'euros ou 1,4 % pour les entités importantes.
Les autorités peuvent auditer, exiger des preuves, et dans certains États membres, l'enregistrement des entités est lui-même une obligation.
État de la transposition
NIS2 devait être transposée en droit national avant le 17 octobre 2024. Mi-2025, environ la moitié des États membres avaient des lois en vigueur, la Commission avait engagé des procédures d'infraction contre les retardataires, et l'acte d'application de l'Allemagne est entré en vigueur fin 2025. Le droit national, et non la directive, fixe la date limite d'enregistrement, l'autorité compétente et tout catalogue du secteur de la santé.
La date limite de transposition était le 17 octobre 2024. À la mi-2025, environ la moitié des États membres avaient des lois en vigueur (Belgique, Croatie, Hongrie, Italie, Lettonie, Lituanie, Roumanie, Slovaquie parmi les premiers), et la Commission a engagé des procédures d'infraction contre les retardataires ; la loi allemande de mise en œuvre de la NIS2 est entrée en vigueur fin 2025. Consultez votre loi nationale pour connaître la date limite d'enregistrement, l'autorité compétente (souvent l'agence nationale de cybersécurité pour la santé, parfois un régulateur du secteur de la santé) et les catalogues spécifiques au secteur. En dehors de l'UE, le Royaume-Uni suit avec le Cyber Security and Resilience Bill.
Pour un fournisseur de technologie de la santé, en pratique
Pour un fournisseur de technologie de la santé, NIS2 arrive principalement par le biais des contrats hospitaliers : les clients concernés doivent gérer la sécurité de leur chaîne d'approvisionnement, ils exigent donc une notification d'incident en quelques heures, des preuves des dix mesures de l'article 21, la divulgation des vulnérabilités, des listes de sous-traitants et des plans de sortie et de continuité. Un système de gestion de la sécurité de l'information documentant ces éléments une seule fois est le moyen le moins cher d'y répondre.
Anpheros publie sa pratique de sécurité sur le site développeur (security, reliability) et gère la réponse aux incidents avec les horloges NIS2 et GDPR dans le même runbook.
Cette page explique la réglementation pour les équipes produit et ingénierie. Il ne s'agit pas d'un avis juridique ; les textes liés sous Sources font autorité, et votre délégué à la protection des données, votre organisme notifié ou votre conseiller décide pour votre cas. Dernière révision : Octobre 2026.
Pages connexes
- ISO 27001 vs ISO 27799
- Article 9 du RGPD pour les données de santé
- Carte de la réglementation des données de santé
- Analyse d'impact relative à la protection des données (AIPD) pour une application de santé
- Sécurité de la plateforme (site développeur)
Sources
- Directive (UE) 2022/2555 (NIS2), EUR-Lex
- Règlement d'exécution (UE) 2024/2690 (Exigences techniques NIS2 pour les prestataires numériques), EUR-Lex
- Commission européenne : Vue d'ensemble de la directive NIS2
- Règlement (UE) 2022/123 (Rôle renforcé de l'EMA ; liste des dispositifs médicaux critiques), EUR-Lex
Questions fréquentes
Mon entreprise de logiciels de santé de 30 personnes est-elle concernée ?
Généralement pas directement, sauf si votre loi nationale vous désigne ou si vous fournissez un service listé à l'Annexe I, quelle que soit votre taille. Vous serez néanmoins concerné par la NIS2 par le biais des obligations de la chaîne d'approvisionnement de vos clients hospitaliers, qui se répercutent dans les contrats.
Qu'est-ce qu'un incident significatif ?
Un incident qui cause ou est susceptible de causer une perturbation opérationnelle grave ou une perte financière pour l'entité, ou qui affecte d'autres personnes ou organisations avec des dommages matériels ou immatériels considérables. Une attaque par ransomware contre un hôpital en est le cas d'école ; une interruption de courte durée sans impact sur les données n'en est généralement pas un.
La NIS2 remplace-t-elle la notification de violation du RGPD ?
Non. Elles s'exécutent en parallèle avec des destinataires différents (le CERT-UE ou l'autorité de cybersécurité contre l'autorité de protection des données), des déclencheurs différents (perturbation de service contre violation de données personnelles) et des délais qui se chevauchent.
La certification ISO 27001 est-elle une preuve de conformité à la NIS2 ?
Pas formellement, mais plusieurs États membres et l'ENISA considèrent un SMSI certifié couvrant le périmètre pertinent comme une preuve solide, et certains programmes nationaux l'acceptent comme une présomption pour la plupart des mesures. Les obligations de notification d'incidents et de formation du personnel de direction doivent toujours être démontrées séparément.
Essayez gratuitement dans le sandbox
Votre premier appel FHIR en 5 minutes. Une API HL7 FHIR R4 avec le consentement du patient intégré : essayez-la dans le bac à sable, puis connectez votre propre application ou système de clinique.
Gratuit · 30 patients synthétiques · sans carte
Anpheros développe un dossier médical que le patient contrôle et peut partager avec n'importe quelle clinique, sur une plateforme HL7 FHIR R4, basée en UE. Ces guides vous aident à comprendre et organiser votre santé ; ils ne remplacent pas votre médecin.
À propos d'Anpheros →