Sécurité des dispositifs médicaux connectés à l'hôpital

Pompes à perfusion, moniteurs de constantes, systèmes d'imagerie, pousse-seringues : l'hôpital compte aujourd'hui des milliers d'objets connectés médicaux. Cette flotte élargit la surface d'attaque et complique la mission des DSI et RSSI. La sécurité des dispositifs médicaux connectés repose sur quatre leviers concrets : cartographier le parc, segmenter le réseau, maîtriser le cycle de vie et appliquer le cadre réglementaire. Ce guide fait le point, à jour d'août 2026, sur les risques et les mesures applicables en établissement de santé.

Pourquoi l'IoMT crée-t-il un risque spécifique ?

L'IoMT (Internet of Medical Things, ou Internet des objets médicaux) désigne l'ensemble des dispositifs médicaux (DM) communicants raccordés au système d'information de santé. Contrairement à un poste bureautique, un DM connecté cumule plusieurs contraintes qui en font une cible sensible.

• Surface d'attaque étendue : chaque équipement expose des ports, des protocoles et parfois des interfaces sans fil. Multipliés par des centaines d'appareils, ces points d'entrée deviennent difficiles à superviser.
• Obsolescence logicielle : un dispositif reste en service dix ans ou plus, bien au-delà du support de son système d'exploitation. Les correctifs ne peuvent pas toujours être appliqués sans revalidation du marquage CE.
• Cloisonnement insuffisant : historiquement, de nombreux équipements biomédicaux partagent le même réseau que la bureautique, sans isolation.
• Criticité clinique : une indisponibilité peut interrompre une prise en charge. L'ANSM rappelle que la disponibilité et l'intégrité sont les critères de sécurité prioritaires pour ces dispositifs.

⚠️ Un dispositif peut être « sûr » (fiable face aux pannes accidentelles) sans être « sécurisé » (résistant aux actions malveillantes). L'ANSM distingue clairement sûreté et sécurité dans ses recommandations de 2022.

Cartographier le parc avant toute décision

On ne protège pas ce que l'on ne connaît pas. La cartographie des équipements est le préalable à toute stratégie de sécurité IoMT. Elle consiste à recenser chaque dispositif connecté, ses caractéristiques et son exposition.

Un inventaire exploitable documente au minimum :

1. L'identification de l'appareil (fabricant, modèle, version logicielle).
2. Le système d'exploitation embarqué et son statut de support.
3. Les flux réseau émis et reçus, ainsi que les protocoles utilisés.
4. La criticité clinique et le service utilisateur.
5. Le responsable de maintenance (interne ou fabricant).

Cette base sert ensuite à prioriser les remédiations et à alimenter l'analyse de risques. Elle rapproche deux mondes longtemps séparés dans l'établissement : l'ingénierie biomédicale et la direction des systèmes d'information.

💡 Croisez l'inventaire biomédical (GMAO) avec la découverte réseau. Les écarts entre les deux sources révèlent souvent des équipements connectés non déclarés, donc non supervisés.

Comment segmenter le réseau des dispositifs médicaux ?

La segmentation réseau limite la propagation d'une attaque. Elle consiste à isoler les dispositifs médicaux dans des zones dédiées, distinctes de la bureautique et des serveurs administratifs. L'ANSM recommande pour les dispositifs connectés une isolation logique ou physique, un filtrage des flux et une compatibilité avec les solutions de pare-feu.

Niveau	Principe	Bénéfice
Macrosegmentation	Séparer le réseau biomédical du réseau bureautique	Réduit l'exposition globale du parc
Microsegmentation	Isoler par type d'équipement ou par service	Confine une compromission à une zone restreinte
Filtrage des flux	N'autoriser que les communications légitimes	Bloque les mouvements latéraux
Supervision	Détecter les comportements anormaux	Accélère la réponse à incident

La segmentation n'est pas qu'un projet technique : elle suppose une gouvernance partagée entre biomédical, DSI et RSSI, et une interopérabilité maîtrisée entre les briques du SI. C'est précisément là que MetaConnect intervient comme facilitateur d'interopérabilité conforme, en aidant les établissements à raccorder proprement l'existant aux services socles sans multiplier les expositions.

Gérer le cycle de vie et les responsabilités

La sécurité d'un DM connecté se joue sur toute sa durée de vie. L'ANSM décrit cinq phases : conception, développement, mise en service, surveillance après commercialisation et fin de vie. Deux principes structurent la répartition des rôles.

• Le fabricant intègre la sécurité dès la conception (analyse de risques ISO 14971 combinée aux méthodes SSI), fournit les mises à jour et documente les hypothèses de sécurité de l'environnement. Il ne peut pas déléguer la sécurité intrinsèque du dispositif à l'établissement.
• L'exploitant (l'établissement) applique les mesures organisationnelles : contrôle des accès, journalisation, gestion des correctifs, plan de continuité et de reprise.

La fin de vie mérite une attention particulière : un dispositif dont le logiciel n'est plus maintenu doit faire l'objet de mesures compensatoires (isolation renforcée, surveillance accrue) ou d'un remplacement planifié.

💡 Intégrez une clause de cybersécurité dès l'appel d'offres : durée de support logiciel, engagements de correctifs, transmission du SBOM (Software Bill of Materials, l'inventaire des composants logiciels). Ces exigences se négocient à l'achat, difficilement après.

Quel cadre réglementaire s'applique ?

Plusieurs textes encadrent la sécurité des dispositifs médicaux connectés en France et en Europe.

• Le règlement européen (UE) 2017/745 (MDR) impose aux fabricants des exigences de cybersécurité pour le marquage CE des dispositifs intégrant du logiciel.
• Les recommandations de l'ANSM (2022) précisent les attentes en matière de sécurité pour les dispositifs médicaux intégrant du logiciel.
• La PGSSI-S (Politique Générale de Sécurité des Systèmes d'Information de Santé), portée par l'ANS (Agence du Numérique en Santé), fixe les référentiels de sécurité opposables et les guides de bonnes pratiques pour les établissements.
• Le RGPD s'applique dès qu'un dispositif traite des données de santé : base légale, registre des traitements et implication du DPO (délégué à la protection des données) sont requis.

Côté hébergement, les données de santé traitées via ces dispositifs doivent, le cas échéant, reposer sur une infrastructure certifiée HDS (Hébergement de Données de Santé). MetaConnect opère ses briques d'interopérabilité sur une infrastructure certifiée HDS, en France.

Pour aller plus loin sur la trajectoire nationale de cybersécurité hospitalière, consultez notre analyse du programme CaRE pour la cybersécurité des établissements de santé.

FAQ

Qu'est-ce que l'IoMT ? L'IoMT (Internet of Medical Things, ou Internet des objets médicaux) regroupe les dispositifs médicaux communicants raccordés au système d'information : pompes, moniteurs, systèmes d'imagerie ou pousse-seringues connectés. Ces équipements échangent des données cliniques et techniques sur le réseau de l'établissement.

Pourquoi les dispositifs médicaux connectés sont-ils vulnérables ? Leur durée de vie dépasse souvent le support logiciel de leur système d'exploitation, ce qui laisse des vulnérabilités non corrigées. S'y ajoutent une surface d'attaque étendue et, historiquement, un cloisonnement réseau insuffisant vis-à-vis de la bureautique.

La segmentation réseau suffit-elle à sécuriser l'IoMT ? Non. La segmentation limite la propagation d'une attaque, mais elle se combine à la cartographie, à la supervision, à la gestion des correctifs et à une gouvernance partagée entre biomédical, DSI et RSSI. Aucune mesure isolée ne constitue une protection complète.

Qui est responsable de la sécurité d'un dispositif médical connecté ? La responsabilité est partagée. Le fabricant intègre la sécurité dès la conception et fournit les mises à jour ; l'établissement, en tant qu'exploitant, applique les mesures organisationnelles. Selon l'ANSM, le fabricant ne peut pas déléguer la sécurité intrinsèque du dispositif à son environnement d'exploitation.

Le RGPD s'applique-t-il aux données des dispositifs médicaux ? Oui, dès qu'un dispositif traite des données de santé. L'établissement doit définir une base légale, tenir un registre des traitements et associer son DPO. L'hébergement de ces données peut relever d'une infrastructure certifiée HDS.

Sécuriser l'IoMT, un chantier d'interopérabilité maîtrisée

La sécurité des dispositifs médicaux connectés n'est pas un projet ponctuel mais une démarche continue : cartographier, segmenter, maîtriser le cycle de vie et documenter la conformité. Elle exige de rapprocher biomédical, DSI et RSSI autour d'une architecture claire et d'un raccordement propre aux services socles. En tant que facilitateur d'interopérabilité conforme, hébergé sur infrastructure certifiée HDS, MetaConnect accompagne les établissements dans cette trajectoire. Pour approfondir les enjeux d'architecture souveraine, consultez aussi notre guide de l'IA souveraine en santé et notre offre MSSanté opérée dans l'Espace de Confiance de l'ANS.

Demandez une démonstration MetaConnect

Article rédigé par MetaConnect — à jour des recommandations ANSM (2022) et du cadre PGSSI-S / MDR (UE) 2017/745 — août 2026.