Cybersécurité et conformité des hôpitaux
J’ai dirigé l’informatique de deux établissements hospitaliers. Je connais les contraintes du terrain : la continuité des soins, les dispositifs médicaux, les nombreux fournisseurs et l’urgence permanente. J’accompagne les hôpitaux dans leur conformité NIS2 et dans la maîtrise de leurs risques, avec des mesures applicables dans un environnement de soins.
Un hôpital ne se sécurise pas comme une entreprise.
Les bonnes pratiques de sécurité restent les mêmes, mais leur mise en œuvre doit tenir compte de réalités propres aux soins.
Continuité des soins
Un hôpital fonctionne 24 heures sur 24. Une indisponibilité informatique se mesure en patients reportés, pas seulement en heures perdues.
Dispositifs médicaux connectés
Imagerie, monitoring, pompes, laboratoire : des équipements souvent difficiles à mettre à jour, gérés en partie par leurs fabricants.
Multitude d’applications et de fournisseurs
Dossier patient, imagerie, laboratoire, pharmacie : des dizaines de logiciels interconnectés et de nombreux accès à distance pour la maintenance.
Données de santé
Des données parmi les plus sensibles au sens du RGPD, très recherchées par les attaquants et soumises à des exigences de confidentialité élevées.
Des utilisateurs nombreux et mobiles
Médecins, soignants, étudiants, prestataires : beaucoup de profils, de rotations et de postes partagés, avec l’urgence comme priorité.
Réseaux et fusions d’établissements
Rapprochements d’hôpitaux, réseaux hospitaliers : des systèmes d’information à faire converger sans ouvrir de brèches.
Les hôpitaux en première ligne
La santé fait partie des secteurs hautement critiques visés par NIS2. Selon leur taille, les hôpitaux sont des entités essentielles ou importantes.
- En Belgique, la loi s’applique depuis le 18 octobre 2024. Les entités essentielles doivent faire évaluer leur conformité par le CCB : niveau CyFun® « Essential », niveau inférieur justifié par l’analyse de risques, ou plan de remédiation, avec une prochaine échéance le 18 avril 2027. Voir l’accompagnement CyFun®.
- En France, la loi de transposition n’est pas encore en vigueur ; anticiper permet de prendre une longueur d’avance. Lire l’article France.
La certification HDS, une garantie supplémentaire
En France, l’hébergement de données de santé exige un prestataire certifié HDS (Hébergeur de Données de Santé). Cette certification s’appuie sur ISO 27001, complétée d’exigences propres à la santé. Sa version 2, publiée en 2024, renforce notamment les exigences face aux transferts de données hors de l’Union européenne.
En Belgique, elle n’est pas obligatoire. Mais à mon avis, lorsqu’un hôpital belge choisit un service cloud pour des données de santé, la certification HDS du prestataire est une garantie supplémentaire : elle atteste d’un niveau d’exigence élevé et adapté au secteur. Je la recommande comme critère de sélection, en complément d’ISO 27001 et de vos propres exigences contractuelles.
Des missions ciblées, compatibles avec vos contraintes
Diagnostic, mise en conformité, évaluation CyFun®, gouvernance de l’IA en milieu de soins : des missions à durée maîtrisée, menées avec la connaissance du terrain hospitalier.
Parlons de votre établissement.
Un premier échange de 30 minutes, sans engagement, pour comprendre vos enjeux et voir ensemble comment avancer en toute sécurité.