NIS2 · SANTÉ · FRANCE
NIS2 santé : préparer les contrôles sans reconstruire la preuve après l’incident.
En France, l’ANSSI indique encore en 2026 que la transposition NIS2 est en cours. Les futures entités essentielles et importantes sont néanmoins invitées à préparer dès maintenant leur sécurité et leur capacité à démontrer ce qui a été fait.
8 min · mis à jour 1 octobre 2026
La première question est l’assujettissement réel de l’entité.
NIS2 couvre de nombreux secteurs mais l’assujettissement dépend du type d’activité, du secteur ou sous-secteur, de critères de taille et de situations particulières prévues par les textes. L’ANSSI rappelle qu’il appartient à l’entité de déterminer si elle entre dans une catégorie régulée en s’appuyant sur les définitions applicables.
Dans la santé, il faut donc éviter les raccourcis du type « tout établissement est automatiquement NIS2 ». La qualification doit partir de l’entité, de ses activités et des critères applicables au moment de l’analyse.
Préparer NIS2 suppose de relier gouvernance, systèmes et justification.
Depuis mars 2026, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF) comme document de travail pour préparer les objectifs de sécurité associés à NIS2. Il insiste notamment sur le recensement des activités, services et systèmes d’information ainsi que sur la justification du périmètre retenu.
- Identifier les activités et services concernés.
- Relier les systèmes d’information qui les supportent.
- Attribuer les responsabilités de sécurité et de décision.
- Documenter les mesures, exceptions et analyses de risque.
- Organiser la qualification et le traitement des incidents.
- Conserver les éléments nécessaires à un contrôle ou à une revue après incident.
La difficulté opérationnelle vient des changements et des incidents.
Le périmètre n’est pas stable : nouvelles applications, prestataires, flux, infrastructures et changements organisationnels modifient les faits sur lesquels repose l’analyse. Un outil purement documentaire montre mal ce qui doit être réexaminé lorsqu’un fait change.
NELSPACE peut relier changement de contexte, exigences à revoir, actions, responsables, pièces et validations. NELSIA peut compléter ce dispositif lorsque les usages d’IA doivent eux-mêmes être contrôlés.
La preuve doit se construire pendant le travail.
Après un incident, la valeur d’un dossier dépend de la capacité à retrouver rapidement le système concerné, la décision prise, la personne qui l’a validée, les mesures appliquées et leur version. Une chronologie et des justificatifs construits au fil du processus réduisent la dépendance à une reconstruction tardive.
Cette traçabilité n’est pas une certification NIS2. Elle fournit un dossier plus exploitable pour les équipes sécurité, juridiques et de contrôle.
Sources officielles
Cette page présente une information générale et une méthode de travail. Elle ne constitue pas un avis juridique sur votre situation.
Du texte à votre cas