NIS2 et PSSI : sécuriser le système d’information de santé en conformité

Un hôpital qui subit une attaque par rançongiciel voit ses blocs opératoires ralentir et ses dossiers patients devenir inaccessibles. Ce scénario n’est plus rare, et le régulateur européen en tire les conséquences. La directive NIS2 (Network and Information Security), couplée à une PSSI solide, devient le cadre de référence pour les établissements de santé. La première brique concrète reste souvent notre accompagnement à la mise en œuvre de la PSSI.

La santé fait partie des secteurs classés critiques par la directive NIS2. Une politique de sécurité des systèmes d’information écrite, validée et suivie n’est plus une option, elle devient une obligation réglementaire. Selon un décryptage juridique, la France fait passer le nombre d’entités régulées d’environ 500 sous NIS1 à près de 15 000 avec la nouvelle directive.

Ce que la directive NIS2 change pour les hôpitaux

La directive NIS (network and information security) de deuxième génération remplace un dispositif qui visait quelques centaines d’opérateurs par une réglementation qui couvre un large périmètre d’application, entreprises comme organisations publiques. La santé, l’énergie, les transports et l’eau figurent parmi les secteurs prioritaires de cette réglementation européenne. Pour un établissement de soins, l’entrée en vigueur du texte signifie une chose simple : les mesures de cybersécurité passent du registre de la recommandation à celui de l’obligation légale, avec des sanctions en cas de manquement.

Le changement de niveau est net. L’organisation professionnelle Numeum confirme que près de 15 000 entités seraient concernées en France, réparties sur 18 secteurs d’activité. Beaucoup d’acteurs découvrent qu’ils entrent dans le périmètre alors qu’ils n’étaient pas visés auparavant par la directive NIS. Les établissements de santé, eux, savent depuis longtemps qu’ils manipulent des données sensibles, mais la démarche de mise en conformité impose désormais un niveau de formalisation supérieur.

La PSSI, socle documentaire de la conformité NIS2

La PSSI (politique de sécurité des systèmes d’information) est le document cadre qui décrit l’ensemble de vos règles de sécurité : gestion des accès, mots de passe, journalisation, sauvegardes, plan de continuité d’activité. Elle fixe les rôles, les responsabilités et les mesures de gestion des risques. Sans elle, impossible de démontrer une gouvernance de la sécurité structurée face à un auditeur ou à l’ANSSI.

Pour un hôpital, la PSSI doit coller aux réalités du terrain : postes partagés dans les services, équipements biomédicaux connectés au réseau, accès distants des prestataires et partenaires. Une politique copiée-collée d’un autre secteur d’activité ne tient pas face à ces contraintes. C’est pourquoi nous partons toujours des fondements de la PSSI avant d’écrire la moindre règle, en croisant vos enjeux métiers avec les objectifs de sécurité fixés par la directive européenne.

Qui est concerné et selon quels seuils

Le texte distingue deux catégories d’entités : essentielles et importantes. Le classement dépend du secteur, de l’effectif et du chiffre d’affaires. Une entité est essentielle si elle emploie au moins 250 personnes ou dépasse 50 millions d’euros de chiffre d’affaires. En dessous, à partir de 50 salariés ou 10 millions d’euros, elle relève des entités importantes.

La plupart des établissements de santé de taille significative basculent dans la catégorie essentielle. Certaines structures publiques entrent aussi dans le champ d’application. Le premier réflexe utile consiste à faire l’exercice par entité juridique, pas par groupe, pour éviter les erreurs de classement. La PSSI reste attendue quel que soit le statut, comme le rappelle notre analyse de la PSSI obligatoire pour les établissements de santé.

Les obligations concrètes à intégrer dans votre PSSI

NIS2 ne se limite pas à demander un document. La directive attend des mesures vérifiables, mises en œuvre et documentées. Votre politique doit donc décrire une gestion des risques actualisée régulièrement, une journalisation exploitable, des procédures de sauvegarde et un plan de gestion de crise. Elle doit aussi préciser qui fait quoi en cas d’incidents de sécurité.

Le régime de notification est strict. Un cabinet spécialisé détaille trois étapes : une alerte précoce dans les 24 heures suivant la détection, une notification complète sous 72 heures, puis un rapport final sous un mois. La responsabilité remonte au niveau de la direction, qui doit approuver les mesures et se former à la gestion des risques. Ces obligations se traduisent directement en chapitres concrets de votre PSSI :

• Gestion des risques documentée et mise à jour régulièrement.
• Journalisation et conservation des logs horodatés et centralisés.
• Procédures de notification des incidents alignées sur les délais réglementaires.
• Gouvernance avec responsabilité et formation des dirigeants.
• Sécurisation des accès réseau et des systèmes critiques.

Construire une PSSI alignée NIS2 en milieu hospitalier

Le point de départ n’est pas la rédaction, mais l’état des lieux. Une PSSI crédible s’appuie sur une cartographie précise des risques réels : où sont stockées vos données patients, quels comptes disposent de privilèges, quels accès distants restent ouverts sur votre réseau. C’est le rôle de notre analyse des risques SI, qui alimente ensuite chaque mesure de la politique.

Côté méthode, vous n’êtes pas seuls dans cette démarche. Le 17 mars 2026, l’ANSSI a présenté le référentiel ReCyF en version de travail, avec un principe de proportionnalité : le niveau d’effort attendu s’adapte à la maturité et aux ressources de chaque organisation. Un établissement déjà certifié ISO 27001 retrouve une bonne partie des exigences dans ses référentiels existants. Un établissement moins avancé peut commencer par les mesures les plus utiles et les moins coûteuses. La PSSI sert de fil conducteur entre ces deux situations.

Sanctions et calendrier : où en est la France en 2026

Les montants sont dissuasifs. Pour les entités essentielles, les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel. Pour les entités importantes, le plafond est de 7 millions d’euros ou 1,4 % du chiffre d’affaires. Les structures publiques échappent aux amendes, mais restent exposées aux injonctions et astreintes.

Le calendrier français reste mouvant. La loi de transposition de la directive, dite loi Résilience, a été adoptée au Sénat en mars 2025 et poursuit son parcours législatif. En attendant son application définitive, l’ANSSI a annoncé une période d’accompagnement d’environ trois ans avant les premières sanctions, mais l’enregistrement des entités reste encouragé dès maintenant. Comme le note Numeum, cette montée en charge représente une réelle opportunité pour la filière cybersécurité, appelée à accompagner ces milliers d’entités dans leur mise en conformité. Autrement dit, anticiper la rédaction de votre PSSI vous place en position favorable lors des premiers contrôles.

Comment gplexpert vous accompagne dans la conformité NIS2

La conformité NIS2 ne se résume pas à cocher une liste de mesures techniques. C’est une démarche qui touche à la fois l’organisation, la gouvernance et le système d’information dans son ensemble. Chez gplexpert, nous accompagnons les établissements de santé à chaque étape de cette mise en œuvre :

• Diagnostic et cartographie des risques. Avant toute action, nous identifions vos systèmes critiques, vos flux de données patients et vos points d’exposition sur le réseau, pour prioriser les mesures qui ont un impact réel sur votre niveau de sécurité.
• Rédaction et déploiement de la PSSI. Nous construisons une politique adaptée à votre activité, alignée sur les exigences de la directive et sur les référentiels de l’ANSSI, puis nous vous aidons à la faire vivre au sein de vos équipes.
• Gestion des risques et plan de continuité. Nous formalisons vos procédures de sauvegarde, votre plan de reprise d’activité et votre plan de gestion de crise, pour que les équipes sachent réagir dès les premières heures d’un incident.
• Supervision et détection. Notre SOC/NOC surveille en continu vos systèmes d’information pour repérer les signaux faibles avant qu’un incident de sécurité ne devienne une crise.
• Hébergement certifié HDS. Vos données de santé restent protégées dans un environnement conforme, ce qui simplifie une partie de votre dossier de conformité.
• Suivi réglementaire. Nous suivons l’évolution de la transposition de la directive au niveau national et l’actualité de l’Union européenne, pour ajuster votre PSSI si le texte ou les délais bougent.

Nos clients dans le secteur de la santé retrouvent dans cette démarche un partenaire dédié, capable de parler à la fois le langage technique des équipes IT et celui, plus stratégique, des directions générales. Contactez-nous pour un premier échange sur votre niveau de maturité actuel.

Conclusion

La directive NIS2 transforme la cybersécurité en obligation opposable pour les établissements de santé, et la PSSI en est la pièce maîtresse. Le chiffre à retenir est parlant : près de 15 000 entités françaises basculent dans ce régime, contre 500 auparavant sous l’ancienne directive NIS. Le bon réflexe n’est pas d’attendre la promulgation définitive de la loi Résilience, mais de cartographier vos risques et d’écrire une politique qui tient face à un audit. Notre équipe combine hébergement certifié HDS, supervision continue et gouvernance de sécurité pour maintenir la continuité des soins tout en répondant aux obligations réglementaires. Pour avancer sereinement, appuyez-vous sur notre expertise sur la PSSI obligatoire dans la santé.