NIS2 santé : nouvelles obligations des établissements
NIS2 santé : obligations de cybersécurité des établissements, statut d'entité essentielle ou importante, sanctions et articulation avec le programme CaRE.
La directive NIS2 (Network and Information Security 2) élargit massivement le périmètre européen de la cybersécurité. Pour les établissements de santé, elle formalise des obligations de gouvernance, de gestion des risques et de notification d'incidents. Cet article fait le point sur NIS2 santé : qui est concerné, le statut d'entité essentielle ou importante, les sanctions encourues et l'articulation avec le programme CaRE. Objectif : donner à un directeur ou un DSI une lecture claire du cadre réglementaire en cours de transposition.
NIS2 santé : de quoi parle-t-on exactement ?
NIS2 est la directive européenne (UE) 2022/2555, qui remplace la première directive NIS de 2016. Elle vise à rehausser le niveau de cybersécurité des entités critiques dans toute l'Union.
Le changement d'échelle est net. Là où la première directive ne couvrait qu'environ 500 « opérateurs de services essentiels » en France, NIS2 concernerait près de 15 000 entités réparties sur 18 secteurs, dont la santé, classée parmi les secteurs « hautement critiques » (Annexe I de la directive).
💡 La santé était déjà partiellement couverte par NIS1 via le statut d'opérateur de services essentiels. NIS2 étend le périmètre bien au-delà des seuls grands centres hospitaliers.
Pour approfondir le volet financement et outillage, MetaConnect détaille par ailleurs le programme CaRE dédié à la cybersécurité des établissements de santé.
Où en est la transposition en droit français ?
La date limite de transposition fixée par l'Europe était le 17 octobre 2024. La France ne l'a pas respectée et fait l'objet d'une procédure d'infraction de la Commission européenne.
La transposition passe par la loi Résilience (relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité), qui transpose conjointement NIS2, DORA et la directive REC. Son parcours législatif :
- 12 mars 2025 : adoption par le Sénat en première lecture.
- 2025-2026 : examen par l'Assemblée nationale.
- Promulgation puis décrets d'application attendus pour préciser seuils, secteurs et modalités de contrôle.
⚠️ La date exacte de promulgation et le contenu final des décrets d'application restent à confirmer [à vérifier]. Tant que ces textes ne sont pas publiés, les seuils définitifs et le calendrier de contrôle par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) ne sont pas figés. Suivez les publications officielles sur cyber.gouv.fr.
Pour le suivi, l'ANSSI met à disposition la plateforme MonEspaceNIS2, destinée à l'enregistrement des entités concernées.
Entité essentielle ou importante : votre établissement est-il concerné ?
NIS2 distingue deux statuts, qui déterminent l'intensité des obligations et le niveau des sanctions. Les seuils définitifs seront précisés par les décrets français, mais la logique européenne repose sur la taille et la criticité.
| Critère | Entité essentielle (EE) | Entité importante (EI) |
|---|---|---|
| Taille indicative | ≥ 250 salariés ou CA > 50 M€ | ≥ 50 salariés ou CA > 10 M€ |
| Secteur | Hautement critique (Annexe I) | Critique (Annexes I ou II) |
| Supervision | Contrôles proactifs possibles | Contrôles a posteriori |
| Sanction maximale | 10 M€ ou 2 % du CA mondial | 7 M€ ou 1,4 % du CA mondial |
En pratique, un centre hospitalier, une clinique de taille significative ou un groupe médico-social dépassant ces seuils a de fortes chances d'être classé entité essentielle. Les structures plus petites mais fortement dépendantes des systèmes d'information peuvent relever du statut d'entité importante.
💡 Le raisonnement se fait établissement par établissement. Un DSI de groupe doit cartographier chaque entité juridique, et non raisonner uniquement au niveau consolidé.
Quelles sont les obligations concrètes pour un établissement ?
Les exigences NIS2 se structurent autour de trois grands blocs. Ils recoupent largement les bonnes pratiques déjà portées par le programme CaRE et la PGSSI-S (politique générale de sécurité des systèmes d'information de santé).
- Gouvernance et responsabilité de la direction. L'organe de direction valide et supervise les mesures de gestion des risques. Les dirigeants suivent une formation en cybersécurité et engagent leur responsabilité.
- Gestion des risques cyber. La directive impose un socle de mesures : politique de sécurité, gestion des incidents, continuité et reprise d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, authentification multifacteur, contrôle d'accès.
- Notification des incidents. Le calendrier européen prévoit une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final sous un mois.
Ces obligations touchent directement l'écosystème applicatif : messagerie sécurisée, échanges de documents, briques d'interopérabilité. Sur ce terrain, MetaConnect intervient comme facilitateur d'interopérabilité, avec des services MSSanté opérés dans l'Espace de Confiance de l'ANS, hébergés sur infrastructure certifiée HDS (Hébergeur de Données de Santé) et conformes au RGPD (Règlement général sur la protection des données). MetaConnect n'est pas un prestataire de cybersécurité : la mise en conformité NIS2 relève d'une démarche globale, pilotée par l'établissement.
Sanctions et articulation avec le programme CaRE
Le régime de sanctions constitue l'un des principaux leviers de NIS2. Au-delà des amendes (jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle), la directive prévoit une responsabilité personnelle des dirigeants, pouvant aller jusqu'à une interdiction temporaire d'exercer des fonctions de direction.
Côté santé, NIS2 ne s'applique pas dans le vide. Le programme CaRE (Cybersécurité, accélération et Résilience des Établissements), piloté par l'Agence du Numérique en Santé (ANS) sur la période 2024-2027, finance et outille la montée en maturité cyber des établissements. Il s'organise autour de quatre volets : gouvernance et résilience, ressources et mutualisation, sensibilisation, sécurité opérationnelle. Le CERT Santé assure par ailleurs un appui 24 h/24 en cas d'incident majeur.
💡 Bonne nouvelle pour les DSI : les investissements financés par CaRE (plan de reprise d'activité, MFA, audits) alimentent directement le dossier de conformité NIS2. Les deux cadres se renforcent mutuellement.
L'articulation à retenir : CaRE finance et accompagne, NIS2 impose et sanctionne. Documenter vos travaux CaRE, c'est déjà préparer votre conformité réglementaire.
FAQ
NIS2 s'applique-t-elle à tous les établissements de santé ? Non. L'assujettissement dépend de seuils de taille et de la criticité, précisés par les décrets d'application français [à vérifier]. Les grands hôpitaux relèvent probablement du statut d'entité essentielle ; des structures plus petites mais numériquement dépendantes peuvent être classées entités importantes.
Quelle différence entre entité essentielle et entité importante ? Les entités essentielles font l'objet de contrôles proactifs et de sanctions plus élevées (jusqu'à 10 M€ ou 2 % du CA mondial). Les entités importantes sont contrôlées a posteriori, avec un plafond de sanction inférieur (7 M€ ou 1,4 %).
Sous quel délai faut-il notifier un incident ? Le cadre européen prévoit une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final sous un mois. Les modalités françaises précises seront fixées par voie réglementaire.
Le programme CaRE dispense-t-il des obligations NIS2 ? Non. CaRE est un dispositif d'accompagnement et de financement de l'ANS ; NIS2 est une obligation légale assortie de sanctions. Les deux sont complémentaires : les travaux CaRE nourrissent la conformité NIS2.
Les dirigeants sont-ils personnellement responsables ? Oui. NIS2 place la responsabilité de la gouvernance cyber au niveau de l'organe de direction, avec des sanctions pouvant inclure une interdiction temporaire d'exercer pour les entités essentielles.
NIS2 transforme la cybersécurité des établissements de santé en obligation réglementaire opposable, adossée à des sanctions réelles. La période qui précède les premiers contrôles est le bon moment pour cartographier vos entités, structurer votre gouvernance et fiabiliser vos briques d'échange. MetaConnect accompagne les établissements sur le volet interopérabilité et messageries sécurisées conformes.
Demandez une démonstration MetaConnect
Pour aller plus loin sur la souveraineté des outils numériques en santé, consultez aussi le guide MetaConnect sur l'IA souveraine en santé.
Sources officielles : la directive (UE) 2022/2555 sur EUR-Lex, la page NIS2 de l'ANSSI et la stratégie nationale cybersécurité en santé de l'ANS.
Article rédigé par MetaConnect — à jour de l'état de transposition connu (loi Résilience en cours, décrets attendus) — août 2026.
