NIS2 et hôpitaux : obligations du secteur de la santé

Corbeil-Essonnes en 2022, Versailles la même année, Armentières puis Cannes en 2024 : les rançongiciels ont montré qu’une attaque informatique peut contraindre un hôpital à déprogrammer, à transférer des patients et à revenir au papier. La directive NIS2 doit faire de la cybersécurité hospitalière une obligation encadrée, contrôlée et sanctionnée. Mais au 25 septembre 2026, la loi française de transposition n’est toujours pas adoptée, et c’est le RGPD qui sanctionne : la CNIL a infligé 500 000 € à un hôpital privé le 3 septembre 2026 pour des failles que l’article 21 de NIS2 vise précisément.

Mise à jour du 25 septembre 2026 : l’article affirmait à tort que la transposition française était « intervenue en 2025 ». Il présente désormais l’état réel du projet de loi « résilience » (examen en séance à l’Assemblée nationale annoncé à partir du 7 octobre 2026), la saisine de la CJUE par la Commission contre la France, le régime de signalement déjà applicable (art. L. 1111-8-2 CSP), la sanction CNIL SAN-2026-009 et des sources primaires. Plusieurs références ont été corrigées (art. 23(1) pour l’information des usagers, rôle du CERT Santé, exigences d’authentification).

Où en est NIS2 en France ?

La directive (UE) 2022/2555 devait être transposée au plus tard le 17 octobre 2024. En France, le texte porteur est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose ensemble NIS2, la directive REC (résilience des entités critiques) et la directive accompagnant DORA. Son parcours, vérifié sur les dossiers législatifs :

• 15 octobre 2024 : dépôt au Sénat, procédure accélérée engagée ;
• 12 mars 2025 : adoption par le Sénat en première lecture ;
• 10 septembre 2025 : adoption du texte par la commission spéciale de l’Assemblée nationale ;
• 8 juillet 2026 : la Commission européenne saisit la Cour de justice contre la France (ainsi que l’Irlande, l’Espagne et les Pays-Bas) pour défaut de notification des mesures de transposition ;
• à partir du 7 octobre 2026 : examen en séance publique à l’Assemblée nationale, selon l’ordre du jour relayé par Next le 23 septembre 2026 et le dossier législatif de l’Assemblée.

L’ANSSI le rappelle dans sa FAQ sur l’avancement de la transposition : NIS2 n’entrera en vigueur en France qu’une fois la loi, les décrets et les arrêtés publiés, et la date d’entrée en vigueur ne coïncidera pas avec l’exigibilité de toutes les obligations.

Conséquence pratique pour un hôpital, à la date de cet article :

1. Les obligations nationales issues de NIS2 (enregistrement, mesures, notification à l’ANSSI, sanctions) ne sont pas encore opposables. Une directive non transposée ne crée pas, par elle-même, d’obligations à la charge d’un particulier ou d’une entreprise privée.
2. Le socle ne changera pas. Le périmètre, les dix mesures de l’article 21 et la cinétique de notification de l’article 23 sont fixés par la directive ; la loi désignera l’autorité, calibrera les sanctions et fixera le calendrier. NIS2 étant d’harmonisation minimale (art. 5), le législateur pourra toutefois renforcer certaines exigences.
3. D’autres textes s’appliquent déjà : l’article 32 du RGPD, le signalement des incidents graves de l’article L. 1111-8-2 du code de la santé publique, la certification HDS, et, pour les établissements désignés comme opérateurs de services essentiels, le régime NIS1 de la loi n° 2018-133.

Attendre la loi pour lancer le chantier revient donc à se préparer au texte le moins exigeant du lot, alors que le plus coûteux en cas d’incident — le RGPD — s’applique aujourd’hui.

Pourquoi NIS2 concerne la plupart des hôpitaux

Un secteur listé à l’annexe I

NIS2 classe la santé parmi les « secteurs hautement critiques » (annexe I, point 5). Sont visés :

• les prestataires de soins de santé au sens de l’article 3, point g), de la directive 2011/24/UE — ce qui couvre les CH, CHU, établissements privés MCO, SMR, psychiatrie et HAD ;
• les laboratoires de référence de l’UE ;
• les entités exerçant des activités de recherche et de développement de médicaments ;
• les fabricants de produits pharmaceutiques de base et de préparations pharmaceutiques (NACE C21) ;
• les fabricants de dispositifs médicaux considérés comme critiques en cas d’urgence de santé publique.

Les établissements médico-sociaux ne sont pas des « prestataires de soins de santé » par principe : leur situation s’analyse au cas par cas.

Entité essentielle ou entité importante ?

Le critère principal est la taille, appréciée selon la recommandation 2003/361/CE (article 2(1) et article 3 de la directive) :

La plupart des CHU et des CH de taille significative relèveraient des entités essentielles ; une clinique de 50 à 249 salariés, des entités importantes. En dessous de 50 salariés, un établissement reste en principe hors champ, sauf désignation individuelle dans les cas de l’article 2(2) (par exemple, seul fournisseur d’un service essentiel dans l’État membre, art. 2(2)(b), ou entité importante au niveau régional, art. 2(2)(e)). Pour les établissements publics, la règle du contrôle public (art. 3(4) de l’annexe de la recommandation 2003/361/CE) pourrait conduire à les traiter comme de grandes entités quelle que soit leur taille, sous réserve du texte français ; le régime des amendes qui leur sera applicable dépendra aussi de la loi définitive.

Pour la méthode de classement pas à pas : entités concernées par NIS2.

Ce que la sanction du 3 septembre 2026 dit déjà de NIS2

La délibération SAN-2026-009 du 21 juillet 2026, rendue publique le 3 septembre 2026, sanctionne l’Hôpital privé de la Loire de 500 000 €. Au cours de l’été 2025, un attaquant s’est connecté au dossier patient informatisé avec les identifiants d’un seul compte et en a extrait les données de 524 867 patients et de 202 246 tiers de confiance. D’après le communiqué de la CNIL, la formation restreinte a retenu trois manquements à l’article 32 du RGPD et un manquement à l’article 34.

Les trois premiers correspondent à une mesure de l’article 21(2) de NIS2 ; le quatrième relève du seul RGPD :

La leçon est simple : pour un hôpital, la sanction de ces failles n’attend pas NIS2. La CNIL les sanctionne déjà sur le fondement du RGPD, et les exigences se recoupent largement : l’un protège les données personnelles, l’autre la continuité du service, mais les mesures techniques sont les mêmes. L’analyse détaillée de la décision figure dans notre guide RGPD à l’hôpital.

Les dix mesures de l’article 21 appliquées à l’hôpital

L’article 21(2) fixe dix mesures minimales, à mettre en œuvre selon une approche « tous risques » et proportionnée. Notre checklist NIS2 les détaille ; voici leur traduction hospitalière.

a) Analyse des risques et politique de sécurité des SI

Cartographier les actifs critiques : SIH, DPI, PACS, biologie, pharmacie, équipements biomédicaux connectés, gestion technique du bâtiment. EBIOS Risk Manager, la méthode de l’ANSSI, est adaptée à l’exercice (analyse de risques EBIOS et ISO). Livrables attendus : une cartographie à jour et une PSSI approuvée par la direction.

b) Gestion des incidents

Détection, qualification, escalade, retour d’expérience. Le cas de l’Hôpital privé de la Loire montre que la détection est le maillon faible : sans alerte sur les volumes de consultation anormaux, une exfiltration dure des jours.

c) Continuité des activités et gestion de crise

Un plan de continuité (PCA) et un plan de reprise (PRA) testés, des sauvegardes isolées et restaurables, et un mode dégradé papier documenté service par service. La question à trancher par écrit : combien de temps chaque service peut-il fonctionner sans DPI, sans résultats de biologie numériques, sans PACS ?

d) Sécurité de la chaîne d’approvisionnement

Éditeurs de SIH, hébergeurs, prestataires biomédicaux, télémaintenance, sous-traitants RH et paie : l’article 21(2)(d) vise la sécurité des relations avec chaque fournisseur direct, et l’article 21(3) impose de tenir compte de leurs vulnérabilités et de leurs pratiques de développement. Voir sous-traitance et sécurité sous NIS2 et RGPD.

e) Sécurité de l’acquisition, du développement et de la maintenance

Intégrer la sécurité dès l’achat ou la conception (portail patient, téléconsultation, logiciels développés en interne), y compris la gestion et la divulgation des vulnérabilités.

f) Évaluation de l’efficacité des mesures

Audits, indicateurs, tests d’intrusion : la directive n’impose pas de fréquence, mais une politique et des procédures d’évaluation.

g) Cyberhygiène et formation

Toute personne accédant au SIH est concernée : médecins, soignants, administratifs, biomédicaux, prestataires. Formation traçable, contenus adaptés au métier (programme de sensibilisation).

h) Cryptographie et chiffrement

Politiques d’usage du chiffrement au repos (bases DPI, PACS, sauvegardes) et en transit (VPN, TLS, messagerie sécurisée de santé).

i) Ressources humaines, contrôle d’accès et gestion des actifs

Moindre privilège, profils par métier et rattachement à l’équipe de soins au sens de l’article L. 1110-12 du CSP, revues périodiques, retrait des accès au départ. C’est exactement le grief central de la sanction SAN-2026-009.

j) Authentification multifacteur et communications sécurisées

Au titre de la PGSSI-S, les services numériques en santé doivent recourir à une authentification à deux facteurs depuis le 1er juin 2022, en particulier pour les accès à distance, et à un niveau de garantie « substantiel » depuis le 1er janvier 2026 (FAQ ANS). La carte CPS et l’e-CPS sont des moyens d’identification à deux facteurs ; le point faible habituel reste l’accès des utilisateurs externes. Voir notre guide authentification forte (MFA).

Notifications d’incident : trois circuits à préparer

Déjà applicable : le signalement au CERT Santé

L’article L. 1111-8-2 du CSP, précisé par le décret n° 2022-715 du 27 avril 2022, impose aux établissements de santé, hôpitaux des armées, centres de radiothérapie, laboratoires de biologie médicale et établissements médico-sociaux de signaler sans délai à l’agence régionale de santé les incidents graves de sécurité des SI : ceux qui ont des conséquences, potentielles ou avérées, sur la sécurité des soins, sur l’intégrité ou la confidentialité des données de santé, ou sur le fonctionnement normal de l’établissement. Le signalement se fait sur le portail des signalements et est traité opérationnellement par le CERT Santé de l’Agence du numérique en santé (cadre législatif, CERT Santé). Selon le CERT Santé, des déclarations complémentaires peuvent être dues à l’ANSSI (entités régulées), à la CNIL et aux services de police ou de gendarmerie.

Déjà applicable : la notification à la CNIL

Toute violation de données personnelles doit être notifiée à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (art. 33(1) du RGPD), à moins qu’elle ne soit pas susceptible d’engendrer un risque — hypothèse rare pour des données de santé. Si le risque est élevé, les personnes doivent être informées (art. 34(1)) — toutes les personnes concernées, y compris les tiers de confiance, comme l’a rappelé la sanction du 3 septembre 2026.

Après la transposition : la cinétique NIS2

Pour un incident « important » au sens de l’article 23(3), l’article 23(4) prévoit :

• dans les 24 heures : une alerte précoce au CSIRT ou à l’autorité, indiquant si l’incident est présumé malveillant ou susceptible d’avoir un impact transfrontière ;
• dans les 72 heures : une notification d’incident avec une évaluation initiale (gravité, impact, indicateurs de compromission si disponibles) ;
• le cas échéant, un rapport intermédiaire à la demande du CSIRT ou de l’autorité, et un rapport d’avancement si l’incident est toujours en cours à l’échéance du rapport final ;
• au plus tard un mois après la notification des 72 heures : un rapport final (description détaillée, cause probable, mesures d’atténuation).

L’article 23(1) ajoute que l’entité informe, le cas échéant et sans retard injustifié, les destinataires de ses services des incidents importants susceptibles de nuire à la fourniture de ces services. Les délais ne sont pas alignés sur ceux du RGPD : caler la procédure interne sur le plus court (signalement sans délai au CERT Santé, puis 24 heures) évite d’arbitrer en pleine crise. Voir notre procédure de notification d’une cyberattaque.

Articulation avec HDS, le RGPD et le programme CaRE

HDS : nécessaire pour l’hébergeur, insuffisant pour l’hôpital

La certification HDS (art. L. 1111-8 du CSP) s’impose à quiconque héberge des données de santé pour le compte d’un tiers. Elle vise l’activité d’hébergement ; NIS2 vise l’établissement tout entier (gouvernance, formation, crise, terminaux, détection). Un hébergeur certifié rapproche de la conformité sans la garantir : voir notre guide hébergement de données de santé (HDS).

CaRE : un financement conditionné à des résultats

Le programme CaRE (Cybersécurité accélération et Résilience des Établissements), lancé le 18 décembre 2023, prévoit 750 M€ d’ici 2027. Il finance les établissements à l’atteinte d’objectifs vérifiés par audit, par domaines successifs : d’abord l’exposition sur internet et la sécurisation des annuaires techniques (Active Directory, 65 M€), puis la formalisation et le test des plans de continuité et de reprise (45 M€, domaine ouvert le 16 juillet 2025). Ces chiffres proviennent de sources sectorielles concordantes ; la page officielle du programme sur esante.gouv.fr n’a pas pu être consultée pour cette mise à jour. Les deux premiers domaines recouvrent directement les mesures a), c) et i) de l’article 21.

ISO 27001, SecNumCloud

ISO 27001 structure la gouvernance ; SecNumCloud qualifie les offres cloud les plus sensibles. Aucune de ces démarches ne dispense de NIS2, mais elles fournissent la preuve documentaire qu’un contrôle demandera.

Gouvernance : la responsabilité des dirigeants

L’article 20(1) impose aux organes de direction d’approuver les mesures de gestion des risques, de superviser leur mise en œuvre, et prévoit qu’ils peuvent être tenus responsables des manquements. L’article 20(2) leur impose de suivre une formation. Pour les seules entités essentielles, l’article 32(5)(b) permet à l’autorité, en dernier recours, de demander l’interdiction temporaire d’exercer des fonctions de direction.

À l’hôpital public, cela vise d’abord le directeur, président du directoire ; dans le privé, les mandataires sociaux. Mesures qui documentent la diligence :

1. inscrire la cybersécurité comme point récurrent du directoire (et une information régulière de la CME) ;
2. faire approuver la PSSI et le plan de traitement des risques par la direction générale ;
3. organiser une formation des dirigeants, tracée ;
4. présenter un tableau de bord sécurité à la gouvernance ;
5. consigner chaque décision d’acceptation de risque.

Détails dans notre article sur la responsabilité des dirigeants sous NIS2.

Que faire avant la promulgation

1. Qualifier le périmètre : entité essentielle ou importante, entité par entité juridique ; se pré-enregistrer auprès de l’ANSSI.
2. Corriger d’abord ce que la CNIL sanctionne déjà : MFA pour les accès externes, habilitations par équipe de soins, détection sur le DPI.
3. Écrire l’écart aux dix mesures de l’article 21 et le faire arbitrer par la direction.
4. Préparer les trois circuits de notification (CERT Santé, CNIL, puis ANSSI) avec un seul déclencheur interne.
5. Exercer : un exercice de crise cyber sur table, direction comprise, éprouve la chaîne de décision et le délai de 24 heures.

Ce qu’il faut retenir

• La loi française de transposition n’est pas adoptée au 25 septembre 2026 : examen en séance à l’Assemblée nationale annoncé à partir du 7 octobre 2026, saisine de la CJUE par la Commission le 8 juillet 2026. Les obligations nationales NIS2 ne sont pas encore opposables, mais leur contenu est fixé par la directive.
• Presque tous les établissements de soins de 50 salariés ou plus seront concernés : entités essentielles pour les grands établissements, importantes pour les moyens.
• Les failles visées par l’article 21 sont déjà sanctionnées par la CNIL : 500 000 € contre l’Hôpital privé de la Loire pour absence de MFA externe, habilitations sans équipe de soins et absence de détection.
• Deux circuits de notification s’appliquent dès aujourd’hui (CERT Santé sans délai, CNIL sous 72 heures), un troisième viendra avec NIS2 (alerte à 24 heures).
• HDS et CaRE aident, sans remplacer : l’un vise l’hébergeur, l’autre finance des objectifs précis.

FAQ

NIS2 s’applique-t-elle déjà aux hôpitaux français ?

Pas encore en droit interne : au 25 septembre 2026, la loi de transposition n’est pas adoptée et ses décrets n’existent pas. En revanche, l’article 32 du RGPD, le signalement des incidents graves (art. L. 1111-8-2 CSP) et, pour les opérateurs de services essentiels, le régime NIS1 s’appliquent déjà, et couvrent l’essentiel des mesures techniques.

Un cabinet médical libéral est-il concerné par NIS2 ?

En principe non : sous 50 salariés et sous les seuils financiers, il reste hors champ, sauf désignation individuelle au titre de l’article 2(2), peu probable en pratique. Le cabinet médical reste soumis au RGPD et au code de la santé publique, y compris aux exigences d’authentification de la PGSSI-S.

La certification HDS suffit-elle pour être conforme à NIS2 ?

Non. HDS certifie l’activité de votre hébergeur, pas votre établissement. NIS2 couvre la gouvernance, la formation des dirigeants, la gestion de crise, la détection, les terminaux et la chaîne d’approvisionnement.

Faut-il notifier une cyberattaque à la fois à la CNIL et au CERT Santé ?

Oui, dès lors que l’incident est grave au sens de l’article L. 1111-8-2 du CSP et qu’il constitue une violation de données personnelles. Les deux signalements ont des finalités différentes (continuité des soins d’un côté, droits des personnes de l’autre) et ne se remplacent pas. Après la transposition, l’alerte à l’ANSSI sous 24 heures s’y ajoutera pour les entités régulées.

---

Vous êtes DSI, RSSI ou DPO d’un établissement de santé ? Nous suivrons l’examen du projet de loi à l’Assemblée et la publication des décrets. Recevez nos analyses conformité chaque semaine.

Sources : Directive (UE) 2022/2555 (NIS2), EUR-Lex — Sénat, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — Assemblée nationale, dossier législatif — ANSSI, FAQ NIS2 : avancement de la transposition — Commission européenne, IP/26/1499, saisine de la CJUE contre l’Irlande, l’Espagne, la France et les Pays-Bas — Next, « La transposition de NIS2 est enfin à l’ordre du jour de l’Assemblée nationale », 23 septembre 2026 — Banque des Territoires (Localtis), CSNP et blocage de l’article 16 bis, 18 mars 2026 — CNIL, sanction de 500 000 € contre l’Hôpital privé de la Loire, 3 septembre 2026 — Délibération SAN-2026-009 du 21 juillet 2026 (Légifrance) — CERT Santé, cadre législatif et déclarations (art. L. 1111-8-2 CSP, décret n° 2022-715) — ANS, FAQ PGSSI-S sur la double authentification — Article L. 1110-12 du code de la santé publique (Légifrance)

Thiébaut Devergranne est docteur en droit (Paris II), titulaire du CAPA, et travaille depuis plus de vingt ans sur le droit des technologies, dont six années au sein des services du Premier ministre (SGDN/DCSSI). Il a fondé donneespersonnelles.fr et Legiscope. Cet article présente l’état du droit au 25 septembre 2026 et ne constitue pas un conseil juridique individualisé ; il sera mis à jour après l’examen du projet de loi par l’Assemblée nationale.