NIS2 dans la santé : qui est concerné, de la clinique aux technologies médicales
Sont concernés les prestataires de soins de santé comme les hôpitaux et les cabinets, les entreprises pharmaceutiques et les fabricants de dispositifs médicaux, dès qu'ils ont au moins 50 salariés ou un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun (§ 28 BSIG). La santé figure à l'annexe 1 du BSIG, les technologies médicales à l'annexe 2. Les entreprises concernées s'enregistrent auprès du BSI, prennent des mesures de sécurité et notifient les incidents importants.
Qui est concerné dans la santé
Ces types d'entités sont nommés dans le BSIG. Une entreprise est concernée si elle est en plus assez grande.
§ 28 BSIG · annexes 1 et 2
| Qui | Où dans le BSIG |
|---|---|
| Hôpitaux, cabinets, pharmacies et autres prestataires de soins de santé | Annexe 1 n° 4.1.1 |
| Laboratoires de référence de l'UE | Annexe 1 n° 4.1.2 |
| Entreprises de recherche et développement de médicaments | Annexe 1 n° 4.1.3 |
| Fabricants de produits pharmaceutiques | Annexe 1 n° 4.1.4 |
| Fabricants de dispositifs médicaux considérés comme critiques en cas d'urgence de santé publique | Annexe 1 n° 4.1.5 |
| Tous les autres fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro | Annexe 2 n° 5.1.1 |
Une telle entreprise est une entité importante à partir de 50 salariés, ou avec un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun.
Seules les entreprises de l'annexe 1 peuvent être des entités essentielles : à partir de 250 salariés, ou avec plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan, ou comme exploitants d'une installation critique.
Technologies médicales : annexe 1 ou annexe 2
Les fabricants de dispositifs médicaux au sens du MDR et de dispositifs médicaux de diagnostic in vitro au sens de l'IVDR figurent à l'annexe 2. Ils sont des entités importantes à partir de 50 salariés, même s'ils sont très grands.
Si un produit figure sur la liste des dispositifs médicaux critiques pour les urgences de santé publique selon l'art. 22 du règlement (UE) 2022/123, le fabricant relève de l'annexe 1. À partir de 250 salariés, il est alors une entité essentielle.
NIS2 concerne l'informatique du fabricant : développement, production, ventes, administration. La sécurité des produits eux-mêmes relève du MDR et de l'IVDR.
Annexe 1 n° 4.1.5 · Annexe 2 n° 5.1.1 BSIG
Ce qui est particulier dans la santé
Beaucoup de dispositifs médicaux en réseau ne peuvent pas être mis à jour par l'exploitant. Notez dans la liste de vos actifs quels appareils sont concernés et comment vous les protégez, par exemple dans un segment de réseau séparé.
Les données de santé sont une catégorie particulière de données à caractère personnel (art. 9 RGPD). Un incident peut donc déclencher une notification au BSI et une autre à l'autorité de protection des données.
Pour les hôpitaux agréés, le BSI peut ordonner des preuves au plus tôt à partir du 6 décembre 2030, deux ans plus tard que pour les autres entités essentielles.
Certaines obligations du BSIG ne s'appliquent pas à la gematik et aux exploitants de services de l'infrastructure télématique, pour les services qui y sont nommés.
§ 28(6) n° 2 · § 61(3) BSIG · Art. 9 et 33 RGPD
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Une clinique spécialisée, un grand centre de soins médicaux ou un fabricant de technologies médicales de cette taille est en général une entité importante.
Un cabinet de moins de 50 salariés n'est pas concerné, sauf si son chiffre d'affaires et son total de bilan dépassent tous deux 10 millions d'euros. Les entreprises liées comptent aussi.
Le degré d'approfondissement de chaque mesure dépend du risque, de la taille et du coût.
§ 28(2) et (4) · § 30(1), deuxième phrase, BSIG
Un exemple
Une entreprise fictive : un fabricant d'appareils de diagnostic de laboratoire (diagnostic in vitro) de 120 salariés.
Les dispositifs médicaux de diagnostic in vitro figurent à l'annexe 2 du BSIG. Avec 120 salariés, l'entreprise est une entité importante.
Elle s'enregistre auprès du BSI avec le certificat d'organisation ELSTER qu'elle utilise déjà pour les impôts.
Elle note avec quoi elle travaille : développement, production, gestion de la qualité avec la documentation au titre de l'IVDR, ERP, e-mail et les fournisseurs de composants et d'informatique.
Les mesures en découlent, par exemple des sauvegardes testées pour la documentation et un second facteur pour l'accès à distance.
La gérante suit une formation et approuve les documents.
Comment cela se passe dans le parcours guidé
Dans le parcours guidé sur nisd2.eu, le travail commence par la liste de ce avec quoi votre entreprise travaille.
Une étape vous interroge sur les processus, les logiciels, les appareils, les locaux et les réseaux, et sur qui les fournit. Cela produit la liste de vos actifs.
Une étape consigne votre enregistrement auprès du BSI.
Vos réponses produisent votre plan de réponse aux incidents. Il indique aussi quand vous notifiez en plus l'autorité de protection des données.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte.
Questions fréquentes
Les technologies médicales sont-elles concernées par NIS2 ?
Oui. Les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro figurent à l'annexe 2 du BSIG, les fabricants de dispositifs médicaux critiques à l'annexe 1. Ils sont concernés à partir de 50 salariés ou avec plus de 10 millions d'euros chacun de chiffre d'affaires et de total de bilan.
NIS2 s'applique-t-elle aux cabinets médicaux ?
Aux cabinets assez grands : à partir de 50 salariés ou avec plus de 10 millions d'euros chacun de chiffre d'affaires et de total de bilan. Les cabinets plus petits ne sont pas concernés.
NIS2 s'applique-t-elle aux maisons de soins ?
L'annexe 1 renvoie à la directive 2011/24/UE. Cette directive ne s'applique pas aux services de soins de longue durée (art. 1(3)(a)). Il faut donc vérifier au cas par cas si une maison de soins ou un service de soins est concerné.
À partir de quand le BSI peut-il contrôler un hôpital ?
Le BSI peut ordonner des preuves aux hôpitaux agréés au plus tôt à partir du 6 décembre 2030 (§ 61(3) BSIG). Les autres obligations s'appliquent depuis le 6 décembre 2025.
Sources
- Loi BSI (BSIG) §§ 28, 30, 61, annexes 1 et 2, gesetze-im-internet.de/bsig_2025
- Directive 2011/24/UE, art. 1(3) et art. 3, EUR-Lex
- Règlement (UE) 2022/123, art. 22 ; règlements (UE) 2017/745 (MDR) et 2017/746 (IVDR), EUR-Lex
- Règlement (UE) 2016/679 (RGPD), art. 9 et 33
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
