Que signifie la directive NIS2 pour les établissements de santé?

En 2022, l’Union européenne a mis à jour sa directive relative à la sécurité des réseaux et de l’information (NIS), ce qui a conduit à l’adoption de la directive NIS 2 visant à renforcer la cybersécurité dans toute la région. Depuis lors, plusieurs États membres de l’UE ont transposé la nouvelle directive dans leur législation nationale afin d’instaurer des obligations renforcées en matière de cybersécurité et de signalement des incidents pour les secteurs critiques tels que la santé, l’énergie, les transports, le secteur bancaire et les infrastructures numériques. En France, la directive doit encore être adoptée par le Parlement, ce qui devrait, normalement, figurer à l’ordre du jour d’ici la fin d’année. Ce retard dans la mise en œuvre a conduit la Commission européenne à saisir la Cour de justice de l’Union européenne afin d’accélérer ce processus.

Principaux changements pour le secteur de la santé avec le NIS2

Deux niveaux de sécurisation pour les organisations : « Essentiel » et « Important »

Les entités sont désormais classées dans les catégories « essentielles » ou « importantes » en fonction de leur taille et de leur secteur d’activité. La plupart des établissements de santé sont bien sûr classés dans la catégorie « essentiels », ce qui signifie qu’ils sont soumis à des mesures d’application et de contrôle plus strictes, ainsi qu’à des sanctions plus lourdes, ce qui a une incidence sur le niveau de surveillance et la sévérité des sanctions en cas de non-conformité.

Renforcement des exigences en matière de cybersécurité et de gestion des risques

La nouvelle directive impose des exigences plus strictes en matière de cybersécurité et de gestion des risques, notamment en ce qui concerne la sécurité de la chaîne d’approvisionnement. Les établissements de santé devront gérer les risques liés à la cybersécurité au sein de leur supply chain, ce qui les amènera à contrôler les politiques de sécurité de leurs fournisseurs. Cela implique de gérer les risques liés aux tiers et de s’assurer que leurs partenaires respectent les exigences en matière de cybersécurité.

Renforcement des procédures de communication et de signalement des incidents

La directive NIS2 a précisé le contenu, les délais et la procédure applicables à la communication et au signalement des incidents. Les organisations doivent désormais envoyer une notification initiale dans les 24 heures suivant la découverte de l’incident et, dans les 72 heures, procéder à une évaluation de celui-ci. Leur rapport final (ou post-mortem) doit être disponible dans un délai d’un mois à compter de la notification, et les mesures prises pour éviter qu’un tel incident ne se reproduise doivent être mises en œuvre.

Sanctions plus sévères et responsabilité personnelle

La directive NIS2 a également revu les sanctions financières en cas de non-respect des obligations par les entités concernées, qui s’élèvent désormais à 10 millions d’euros ou à 2 % du chiffre d’affaires annuel mondial. Toutefois, au-delà de l’amende, les conseils d’administration et les dirigeants des entreprises peuvent également être tenus personnellement responsables s’ils ne veillent pas au respect des exigences de la directive en matière de cybersécurité.

Un défi pour le secteur de la santé

Les établissements de santé doivent agir rapidement pour se conformer à ces nouvelles exigences. Comme on l’a vu avec d’autres directives européennes telles que le RGPD, ceux qui tardent à s’y conformer risquent de se heurter à des difficultés opérationnelles et réglementaires. L’adoption de la directive NIS 2 renforcera la cybersécurité et offrira une meilleure protection aux systèmes et aux données hautement critiques.

L’identité est la nouvelle clé

Les vulnérabilités liées aux identités des utilisateurs, aux mots de passe et aux droits d’accès sont fréquemment exploitées par les criminels. L’identité numérique constitue désormais le nouveau panneau de contrôle permettant de réguler l’accès aux réseaux, aux systèmes et aux données.

Selon l’ANSSI, les établissements de santé représentaient 10 % des 1 366 incidents signalés à l’autorité en 2025. Les cybercriminels recourent à des menaces courantes telles que les attaques internes, le phishing, l’usurpation d’identité, le vol d’identifiants, les attaques par force brute, le piratage de session, la réutilisation d’identifiants, les ransomwares, etc.

Le champ d’application de l’identité numérique s’est également étendu au-delà des utilisateurs pour inclure les identités des machines et des appareils, ce qui augmente considérablement la surface d’attaque potentielle. Parallèlement, la croissance continue du télétravail, l’adoption du cloud, les déploiements de l’IoT et l’interconnexion des chaînes d’approvisionnement ont introduit une complexité supplémentaire et de nouveaux défis en matière de sécurité.

Il existe toutefois des mesures simples et faciles à mettre en œuvre pour atténuer ces risques :

• Des règles élémentaires de cyberhygiène, notamment l’utilisation de mots de passe forts et la création de comptes utilisateurs individuels
• L’authentification multifactorielle (MFA)
• Des formations régulières à la sécurité destinées aux employés et aux partenaires de la chaîne d’approvisionnement
• Des politiques d’accès basées sur le principe du « privilège minimal »
• Une surveillance continue des activités des utilisateurs
• Des systèmes robustes de gestion des identités et des accès (IAM)

Politiques de gestion des risques

L’article 21 de la directive NIS 2 est l’un des plus importants de cette dernière. Afin de maîtriser les menaces pesant sur les réseaux et les systèmes d’information, les entités concernées doivent prendre les mesures organisationnelles, opérationnelles et techniques nécessaires. Parmi ces mesures techniques, la gestion des identités et des accès (IAM) joue un rôle central pour favoriser une gestion efficace des risques et renforcer la cyber-résilience.

Pour se conformer à la directive NIS2, les établissements de santé doivent mettre en œuvre les bonnes pratiques suivantes :

• Sécurité de la chaîne d’approvisionnement : contrôler l’accès des tiers, n’activer les comptes qu’en cas de nécessité, supprimer rapidement les droits d’accès et tenir à jour des journaux d’audit.
• Cyberhygiène et formation : politiques de mots de passe rigoureuses, authentification unique (SSO), badge et code PIN pour l’authentification multifactorielle (MFA), suppression des comptes génériques et organisation régulière de formations de sensibilisation à la cybersécurité
• Sécurité RH et contrôle d’accès : contrôle d’accès précis basé sur les rôles (RBAC), réduction du « glissement de rôle », retrait rapide des droits d’accès, gestion des accès privilégiés, gestion rigoureuse des appareils mobiles.
• Authentification multifactorielle : MFA systématique pour tous les utilisateurs, utilisation sécurisée du badge et du code PIN pour les postes de travail et les appareils mobiles, adoption de normes modernes telles que FIDO.
• Politiques de cyberhygiène : changements réguliers de mots de passe, limitation des comptes administrateurs, préparation proactive aux incidents, audit rigoureux des accès administratifs.

Accompagnement à la mise en conformité avec la directive NIS2

La mise en conformité avec la directive NIS2 nécessite une stratégie globale de cybersécurité, dans laquelle la gestion des identités et des accès (IAM) joue un rôle central. Une solution IAM robuste, conçue pour les secteurs critiques, peut aider les organisations à renforcer leur sécurité, à gérer efficacement les accès et à se conformer aux exigences de la directive.

La cybersécurité ne doit pas constituer un fardeau pour les professionnels de santé, qui pourraient être tentés de trouver des solutions de contournement s’ils sont confrontés à des procédures fastidieuses dans leurs flux de travail, comme on le constate trop souvent. Le temps qu’ils consacrent aux soins des patients est précieux ; la solution mise en œuvre doit donc offrir un système d’authentification convivial qui renforce la cybersécurité sans nuire à l’efficacité, élimine les risques tels que le partage de mots de passe et propose une authentification flexible sans recourir à des produits tiers.

Prochaines étapes

Bien que la mise en œuvre de la directive NIS 2 ait été reportée, ses exigences sont claires, et les établissements de santé ne devraient pas attendre pour se préparer. L’IAM constituant le fondement d’une stratégie de cybersécurité complète et moderne, une gestion efficace de l’IAM contribue à réduire les cyberrisques, à renforcer la résilience et à favoriser la conformité réglementaire. L’absence de mise en œuvre de politiques, de processus et de technologies adaptés peut exposer les établissements de santé et leurs dirigeants à des amendes, des sanctions, des incidents graves et une atteinte à leur réputation.

En savoir plus sur la préparation à la norme NIS2 avec Imprivata.