Secteur santé : certifier la sécurité des données de santé

Le secteur de la santé cumule trois corpus d’exigences, qui ne se recouvrent pas.

Le code de la santé publique impose la certification HDS à tout organisme hébergeant des données de santé à caractère personnel pour le compte d’un tiers. C’est une obligation, pas une démarche volontaire.

Le RGPD s’applique aux données de santé comme données sensibles, avec un régime renforcé : base légale spécifique, analyse d’impact, encadrement de la sous-traitance.

NIS2 classe la santé parmi les secteurs hautement critiques. Établissements de santé, laboratoires et fabricants de dispositifs médicaux entrent dans son champ selon leur taille, avec des obligations de gestion des risques et de notification des incidents.

Ces trois corpus se répondent sans se confondre : un hébergeur certifié HDS n’est pas pour autant conforme à NIS2, et réciproquement.

L’obligation vise celui qui héberge pour le compte d’un tiers. Elle concerne donc les hébergeurs d’infrastructure, les fournisseurs cloud, les éditeurs de logiciels médicaux qui hébergent les données de leurs clients, et les prestataires d’infogérance intervenant sur des systèmes contenant des données de santé.

Un établissement qui héberge ses propres données, pour lui-même, n’est pas soumis à la certification.

Le référentiel distingue six activités d’hébergement, réparties en deux certificats : hébergeur d’infrastructure physique et hébergeur infogéreur. Le périmètre figurant sur le certificat doit correspondre au service réellement rendu, un point que les donneurs d’ordre vérifient de plus en plus.

Confier des données de santé à un prestataire non certifié engage la responsabilité du donneur d’ordre.

ISO/IEC 27001 constitue le socle. Le référentiel HDS s’appuie dessus, et une organisation déjà certifiée mutualise une part importante de l’audit HDS. Pour les établissements de santé non soumis à HDS, c’est la réponse structurée aux obligations de gestion des risques, y compris celles de NIS2.

ISO/IEC 27701 étend ISO 27001 à la protection de la vie privée. Elle organise le traitement des données personnelles, la gestion des droits des personnes et les relations entre responsable de traitement et sous-traitant. Dans un secteur où les données sont sensibles par nature, elle apporte une preuve directement opposable aux exigences du RGPD.

La santé figure parmi les secteurs hautement critiques de NIS2. Les établissements, laboratoires de référence, entités de recherche et développement de médicaments, ainsi que les fabricants de dispositifs médicaux critiques, entrent dans le champ selon leur taille.

Les obligations portent sur la gestion des risques, la continuité d’activité, la sécurité de la chaîne d’approvisionnement et la notification des incidents significatifs : alerte dans les 24 heures, notification complète sous 72 heures.

NIS2 n’impose aucune certification. ISO 27001 en couvre l’essentiel sur le plan organisationnel et apporte une preuve évaluée par un tiers accrédité.

Le parcours est le même que pour toute certification : recevabilité et cadrage du périmètre, audit documentaire, audit sur site, décision par un Certification Manager, puis surveillances annuelles sur un cycle de trois ans.

Deux particularités dans ce secteur. Le périmètre demande une attention particulière, parce que le flux de données de santé traverse souvent plusieurs systèmes et plusieurs prestataires. Et les audits combinés HDS et ISO 27001 réduisent sensiblement la charge quand les deux schémas sont visés.

Certi-Trust certifie HDS et ISO 27001 sous accréditation COFRAC 4-0612. Nous intervenons comme organisme d’évaluation, sans participer à la conception ni à la mise en œuvre de votre système de management, conformément à ISO/IEC 17021-1.

Pour aller plus loin : la certification HDS, ISO 27701, les certifications cloud et NIS2 et ISO 27001.