Audit NIS2 en santé : cadrer votre mise en conformité

Passer d’environ 500 à près de 15 000 organisations concernées : voilà le saut que représente la directive NIS2 en France. Pour un hôpital ou une clinique, la question n’est plus de savoir si le texte s’applique, mais comment le traduire en décisions concrètes et en actions mesurables. C’est précisément ce que prépare notre audit de sécurité informatique, qui part de votre existant pour dégager des priorités claires et un diagnostic exploitable.

La santé figure parmi les secteurs hautement critiques visés par le texte, aux côtés de l’énergie, des transports ou des infrastructures numériques. Un audit de conformité NIS2 ne se limite donc pas à cocher des cases réglementaires : il structure votre gouvernance, votre gestion des risques et votre capacité à répondre aux incidents. Selon Numeum, près de 15 000 entités seraient concernées en France, dont une large part n’était pas régulée sous la directive NIS d’origine.

NIS2, ce qui change vraiment pour les établissements de santé

NIS2 remplace la première directive NIS de 2016 et élargit fortement le périmètre. Le principe reste simple : on croise votre secteur d’activité avec votre taille. Les établissements de santé relèvent de l’annexe I, celle des secteurs hautement critiques. À partir de là, votre statut dépend de vos effectifs et de votre chiffre d’affaires.

La directive distingue deux catégories, les entités essentielles et importantes. Les entités essentielles réunissent les grandes structures (à partir de 250 salariés ou 50 M€ de chiffre d’affaires). Les entités importantes couvrent les structures moyennes (à partir de 50 salariés ou 10 M€). Le niveau de contrôle et les sanctions diffèrent selon la catégorie. Réaliser un audit NIS2 permet d’abord de trancher cette question de statut, puis d’évaluer l’écart avec les exigences attendues.

Le règlement DORA, propre au secteur financier, suit une logique proche : preuve que l’Union européenne muscle ses critères de cybersécurité sur l’ensemble des secteurs jugés critiques, pas seulement la santé.

Pourquoi lancer un diagnostic de maturité avant tout le reste

Beaucoup de directions cherchent à acheter des outils avant de savoir ce qui leur manque. C’est l’erreur classique. Un audit de maturité inverse la logique : il photographie l’existant, puis hiérarchise les chantiers. Vous évitez ainsi d’investir dans une brique technique alors que le vrai trou se situe dans la gouvernance ou la gestion des fournisseurs et prestataires.

Un audit sérieux produit des livrables exploitables : une cartographie de votre niveau de conformité, une liste détaillée des écarts organisationnels, techniques et documentaires, un plan d’action priorisé et une estimation des charges. Pour un établissement de santé, ce diagnostic s’articule naturellement avec une analyse des risques pour votre SI, socle commun à NIS2 et au RGPD, pour identifier les points faibles avant qu’ils ne deviennent des incidents.

Ce que couvre concrètement la démarche

Un audit NIS2 n’est pas un questionnaire rempli en une après-midi. Il combine une revue documentaire, des entretiens ciblés avec la direction, la DSI et les équipes métiers, et une évaluation des dispositifs existants au regard des mesures attendues. En France, l’ANSSI a publié le Référentiel Cyber France le 17 mars 2026, qui liste les recommandations à mettre en œuvre pour atteindre les objectifs de la directive.

Les points examinés recoupent les obligations centrales du texte :

• La gouvernance de la cybersécurité et l’implication des dirigeants
• La gestion des risques et la cartographie des actifs essentiels
• La détection, la journalisation et la réponse aux incidents
• La continuité d’activité, avec des plans de reprise et de continuité (PCA/PRA)
• La sécurité de la chaîne d’approvisionnement, des réseaux et des prestataires

Sur ce dernier point, un établissement qui externalise son hébergement ou une partie de ses infrastructures cloud doit s’assurer que son partenaire tient sa part du contrat. C’est un sujet où nos audits et conseils pour systèmes d’information apportent une lecture concrète, adaptée au contexte hospitalier et à ses contraintes opérationnelles.

NIS2, HDS et RGPD : trois cadres qui se parlent

Un établissement de santé ne part jamais de zéro. Il gère déjà l’hébergement de données de santé (HDS) et le RGPD. NIS2 ne remplace rien : il s’ajoute et recoupe une bonne partie de l’existant. Le RGPD protège les données personnelles, NIS2 protège la sécurité des systèmes d’information critiques. Un même incident peut d’ailleurs devoir être notifié à la CNIL et à l’ANSSI, avec des délais et des autorités distincts.

Cette convergence est une bonne nouvelle pour vos équipes. Les mesures techniques exigées (analyse de risques, contrôle des accès, gestion des incidents) servent les deux réglementations à la fois. Un audit bien mené capitalise sur vos acquis HDS et ISO 27001 plutôt que de dupliquer les efforts. Pour les structures engagées dans le programme CaRE, ce diagnostic alimente directement la trajectoire de résilience attendue par les tutelles.

Sanctions et calendrier : où en est la France

Le régime de sanctions marque une rupture nette avec la directive NIS d’origine. Les entités essentielles risquent jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial, les entités importantes 7 M€ ou 1,4 %, avec une responsabilité personnelle possible des dirigeants. Les délais de notification sont serrés : selon Legiscope, une alerte précoce est attendue sous 24 heures, une notification sous 72 heures et un rapport final sous un mois.

Côté transposition, la France a manqué l’échéance européenne du 17 octobre 2024. Le texte national, la loi Résilience, poursuit son parcours parlementaire, avec un examen attendu courant 2026. En attendant l’entrée en vigueur formelle, l’ANSSI encourage une démarche proactive et le pré-enregistrement des entités concernées. Attendre le vote pour commencer serait un mauvais calcul : une mise en conformité solide et efficace demande souvent 12 à 24 mois, et les cybermenaces n’attendent pas le calendrier législatif pour se manifester.

Comment choisir votre approche d’audit

Toutes les démarches ne se valent pas. Un auto-diagnostic en ligne donne une première base, mais reste limité pour un environnement hospitalier complexe. Un cabinet de conseil généraliste couvre le volet réglementaire sans toujours maîtriser les contraintes de continuité des soins. Le tableau ci-dessous situe les options.

Comment choisir un prestataire pour un audit NIS2 ?

Le choix du prestataire compte autant que la méthode. Un audit NIS2 en établissement de santé touche à des systèmes qui ne peuvent pas s’arrêter : dossier patient, imagerie, biologie, supervision des blocs. Un prestataire qui ne connaît que la théorie réglementaire risque de proposer des recommandations difficiles à appliquer sans perturber l’activité de soin. Quelques critères aident à trancher : la connaissance réelle du secteur santé et de ses contraintes (HDS, continuité des soins, criticité des équipements biomédicaux), la capacité à s’appuyer sur vos certifications existantes plutôt qu’à repartir de zéro, et un accompagnement qui va au-delà du rapport d’audit — jusqu’à la mise en œuvre des actions correctives.

C’est le positionnement de gplexpert sur ce sujet : nous intervenons déjà auprès d’établissements de santé sur la sécurité des systèmes, l’infogérance et la DSI externalisée, ce qui nous permet d’évaluer votre niveau de conformité avec une lecture opérationnelle, pas uniquement documentaire. Concrètement, cela veut dire des recommandations qui tiennent compte de vos équipes, de votre budget et de vos contraintes de continuité, et un suivi dans la durée plutôt qu’un audit ponctuel suivi de silence. L’objectif n’est pas de vous remettre un rapport de plus, mais de vous aider à avancer, étape par étape, vers un niveau de conformité tenable.

Pour transformer les conclusions de l’audit en organisation durable, l’étape suivante consiste souvent à formaliser les règles internes et à renforcer la gouvernance. C’est l’objet de la mise en œuvre de la politique de sécurité (PSSI), qui donne un cadre écrit à vos pratiques et à vos processus internes.

Conclusion

La bascule de 500 à près de 15 000 entités concernées change l’échelle du sujet pour toutes les entreprises du secteur santé. Un audit de maturité NIS2 reste le point de départ le plus rationnel : il clarifie votre statut, chiffre les écarts et fixe une trajectoire réaliste, en s’appuyant sur vos acquis HDS et RGPD plutôt qu’en repartant de zéro. Commencez maintenant, car les délais de mise en conformité se comptent en mois, pas en semaines, et les cybermenaces sur les infrastructures numériques de santé progressent plus vite que les calendriers réglementaires.

Notre connaissance fine du système d’information de santé nous permet de relier sécurité, exigences réglementaires et continuité des soins, sans jargon inutile — et d’anticiper les contrôles plutôt que de les subir. Pour cadrer votre projet et renforcer la confiance de vos patients comme de vos clients internes, appuyez-vous sur notre audit de sécurité informatique et obtenez un plan d’action priorisé.