Directive NIS 2 · annexe I
NIS 2 et le secteur de la santé
Hôpitaux, cliniques, laboratoires, industrie pharmaceutique : un des secteurs les plus attaqués par les rançongiciels en France.
Cadre réglementaire vérifié le 5 novembre 2026 · ReCyF v2.5
Qui est concerné ?
Grandes entreprises (250 salariés ou plus, ou CA > 50 M€ et bilan > 43 M€) : entités essentielles. Entreprises moyennes (50 à 249 salariés, ou CA et bilan > 10 M€) : entités importantes.
Sous-secteurs visés
- Prestataires de soins de santé
- Laboratoires de référence de l'UE
- Recherche et développement de médicaments
- Fabrication de produits pharmaceutiques de base
- Fabrication de dispositifs médicaux critiques en situation d'urgence sanitaire
Exemples d'organisations
- Centres hospitaliers et GHT
- Cliniques privées
- Laboratoires de biologie médicale
- Laboratoires pharmaceutiques
- Fabricants de dispositifs médicaux
Les menaces principales
Les objectifs ANSSI à traiter en premier
Sélectionnés au regard des menaces du secteur, parmi les 20 objectifs du ReCyF.
Objectif 4
Intégration de la sécurité numérique dans la gestion des ressources humaines
L'hameçonnage et les accès oubliés d'anciens salariés restent des portes d'entrée majeures.
4.4-EI/EE
Objectif 9
Protection des systèmes d'information contre les codes malveillants
Pièces jointes, clés USB et équipements non maîtrisés restent des vecteurs courants d'infection.
9.6-EI/EE
Objectif 10
Gestion des identités et des accès des utilisateurs aux systèmes d'information
Les comptes partagés, mots de passe par défaut et droits excessifs facilitent la prise de contrôle du SI.
10.A.1-EI/EE10.B.1-EI/EE10.B.2-EI/EE10.C.2-EI/EE
Objectif 13
Continuité et reprise d'activité
Face à un rançongiciel, une sauvegarde hors ligne et testée fait la différence entre quelques jours et plusieurs mois d'arrêt.
13.1-EI/EE13.2-EI/EE13.3-EI/EE13.6-EE
Objectif 14
Réaction aux crises d'origine cyber
Une crise cyber se joue dans les premières heures : sans annuaire papier ni procédure, la réaction est improvisée.
14.1-EI/EE
Points d'attention
Le programme CaRE du ministère de la Santé finance une partie de la sécurisation des établissements.
Les dispositifs biomédicaux non corrigibles relèvent des mesures 5.B.6 et 5.B.9 (mesures de réduction du risque).
Questions fréquentes
Les entités du secteur de la santé sont-elles soumises à NIS 2 ?
Oui, le secteur de la santé est visé par l'annexe I de la directive. Grandes entreprises (250 salariés ou plus, ou CA > 50 M€ et bilan > 43 M€) : entités essentielles. Entreprises moyennes (50 à 249 salariés, ou CA et bilan > 10 M€) : entités importantes.
Quelles mesures prioriser dans le secteur de la santé ?
Commencez par les objectifs ReCyF 4, 9, 10, 13, 14 : ressources humaines, codes malveillants, identités et accès, sauvegardes et continuité, gestion de crise. Ils répondent aux menaces les plus fréquentes du secteur.
Pour commencer
Le référentiel de l'ANSSI est publié depuis le 17 mars 2026.
Vous pouvez commencer l'évaluation dès maintenant : trois minutes pour connaître votre statut, une première séance pour voir vos écarts critiques.
Essai 14 jours, sans carte bancaire · Espace en ligne hébergé en France