Cybersécurité, conformité SI et protection des données de santé : audit, conseil, formation et assistance technique pour la pharma et la biotech

Cadre réglementaire et normatif de la cybersécurité en santé industrielle

Données personnelles, données de santé et hébergement

Le règlement (UE) 2016/679 (RGPD) s'applique à tout traitement de données à caractère personnel. Les données de santé et les données génétiques relèvent de catégories particulières, soumises à un régime plus strict. Pour un site pharmaceutique, biotechnologique ou de dispositifs médicaux, les traitements concernés sont ceux de la pharmacovigilance, de la matériovigilance, des essais cliniques, des ressources humaines et de la relation avec les professionnels de santé. Le responsable de traitement tient un registre et mène une analyse d'impact (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé : la CNIL publie la liste des traitements pour lesquels elle est requise.

En cas de violation de données, le responsable de traitement notifie la CNIL (Commission nationale de l'informatique et des libertés) au plus tard 72 heures après en avoir pris connaissance lorsque la violation présente un risque pour les droits et libertés des personnes, et informe les personnes concernées si le risque est élevé (articles 33 et 34 du RGPD, détaillés sur la page de la CNIL consacrée aux violations). Par ailleurs, l'hébergement de données de santé à caractère personnel pour le compte de tiers suppose une certification HDS (hébergeur de données de santé), fondée sur un référentiel de l'Agence du numérique en santé, à consulter dans sa version en vigueur. Optédif ne traite pas de données de patients et n'héberge aucune donnée de santé : nos exercices reposent sur des données synthétiques.

NIS2 : un périmètre large, une transposition française incomplète

La directive (UE) 2022/2555, dite NIS2, impose des mesures de gestion des risques de cybersécurité et des obligations de notification d'incidents aux entités qu'elle couvre. Son annexe I (secteurs hautement critiques) vise, pour la santé, les entités qui fabriquent des produits pharmaceutiques de base et des préparations pharmaceutiques, celles qui exercent des activités de recherche et de développement de médicaments, ainsi que les fabricants de dispositifs médicaux jugés critiques en cas d'urgence de santé publique. Son annexe II (autres secteurs critiques) vise, au titre de la fabrication, les fabricants de dispositifs médicaux et de dispositifs de diagnostic in vitro.

L'échéance de transposition était fixée au 17 octobre 2024. En France, le projet de loi dit « Résilience », qui doit la transposer, n'était pas adopté à la date de rédaction de cette page (octobre 2026), son examen à l'Assemblée nationale ayant été reporté. Nous ne disons donc pas à une entité si elle est assujettie : cette qualification dépend du texte français final, de la taille et de l'activité, et relève de votre conseil juridique. Nous pouvons en revanche analyser avec vous les mesures de sécurité que NIS2 et les référentiels courants attendent déjà, et l'ANSSI publie ses informations sur le sujet.

Systèmes informatisés GxP, intégrité des données et dispositifs médicaux

L'annexe 11 du volume 4 d'EudraLex (version de janvier 2011) encadre les systèmes informatisés utilisés dans les activités soumises aux BPF : gestion du risque, accès physiques et logiques, sauvegarde, continuité, gestion des incidents, piste d'audit. La cybersécurité en est une condition : un compte compromis ou partagé détruit l'attribution d'un enregistrement à son auteur, donc l'intégrité des données. Le document PIC/S PI 041-1 traite des bonnes pratiques de gestion et d'intégrité des données. Un projet de révision de l'annexe 11 et du chapitre 4 a fait l'objet d'une consultation en 2025, et l'annexe 22 sur l'intelligence artificielle est en projet, non adoptée à ce jour.

Pour les dispositifs médicaux, le règlement (UE) 2017/745 fixe en annexe I des exigences générales de sécurité et de performance qui touchent à la sécurité informatique des dispositifs. Le groupe de coordination MDCG a publié le guide MDCG 2019-16 (révision 1) sur la cybersécurité, qui n'a pas de valeur juridique contraignante. L'articulation avec le règlement (UE) 2024/2847 sur la cyber-résilience des produits comportant des éléments numériques est à examiner produit par produit avec votre responsable réglementaire.

Référentiels et méthodes de sécurité

ISO/IEC 27001, ISO/IEC 27005 et EBIOS Risk Manager

La norme ISO/IEC 27001 définit un système de management de la sécurité de l'information. Son édition de 2022 a remplacé celle de 2013 et regroupe 93 mesures de sécurité en quatre thèmes. Elle peut donner lieu à une certification, délivrée par un organisme de certification accrédité : une analyse d'écarts ou un audit à blanc conduit par Optédif n'est pas un audit de certification et n'en tient pas lieu. La norme ISO/IEC 27005 décrit la gestion des risques liés à la sécurité de l'information.

La méthode EBIOS Risk Manager, publiée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) en 2018, procède en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Dans un contexte pharmaceutique, elle gagne à être rapprochée de la gestion du risque qualité de l'ICH (International Council for Harmonisation, Conseil international d'harmonisation des exigences techniques relatives à l'enregistrement des médicaments à usage humain) Q9(R1) : les événements redoutés sont alors des événements de production et de qualité, comme l'altération d'une recette de fabrication, la perte de traçabilité d'un lot ou l'indisponibilité d'un système de libération. Cette lecture commune évite que l'informatique et l'assurance qualité conduisent deux analyses qui ne se parlent pas.

IEC 62443 et la sécurité des réseaux industriels

La série ISA/IEC 62443 traite de la sécurité des systèmes d'automatisation et de contrôle industriels. Elle distingue les exigences adressées à l'exploitant (programme de sécurité), aux prestataires de services, aux intégrateurs de systèmes et aux fabricants de composants. Deux notions structurent l'approche : les zones, qui regroupent des actifs de même exigence de sécurité, et les conduits, qui encadrent les flux entre zones. Les niveaux de sécurité, de 1 à 4, expriment la robustesse attendue face à des attaquants de capacité croissante.

Dans un atelier pharmaceutique, ces principes se heurtent à des contraintes particulières. Les équipements sont qualifiés et leur état validé ne se modifie pas sans maîtrise des changements. Les automates ont une durée de vie longue, les correctifs ne s'appliquent pas sans évaluation, et les fenêtres d'arrêt sont rares. La segmentation, la gestion des accès distants des constructeurs et le durcissement des postes de supervision doivent donc être pensés avec l'assurance qualité et les équipes de validation, et non seulement avec l'informatique.

Continuité d'activité, incidents et violations de données

La norme ISO (International Organization for Standardization, Organisation internationale de normalisation) 22301 décrit un système de management de la continuité d'activité. Pour un site de production, la question est concrète : combien de temps un atelier peut-il fonctionner sans son MES (Manufacturing Execution System, système d'exécution de la production), comment remet-on en service un système qualifié, et qui décide de la reprise ? Les sauvegardes n'ont de valeur que si leur reprise est testée. Un incident cyber qui touche un système GxP (Good x Practice, ensemble des bonnes pratiques de fabrication, de laboratoire, cliniques et de distribution) est aussi un événement qualité : il se traite comme une déviation dans le système qualité pharmaceutique, avec évaluation de l'impact sur les produits, les données et les lots concernés, et il peut, si des données personnelles sont touchées, déclencher la procédure de notification décrite plus haut.

Rôles et responsabilités entre exploitant et prestataire

Ce qui incombe à l'exploitant

L'établissement pharmaceutique ou le fabricant de dispositifs reste responsable de ses systèmes : définition des besoins, validation, gestion des accès, approbation des enregistrements, décision de mise en production, notification des violations à la CNIL en tant que responsable de traitement. Ces responsabilités ne se déplacent pas vers un prestataire. La certification des lots relève de la personne qualifiée de l'établissement, qui doit pouvoir se fier à des données dont l'intégrité est protégée, ce qui fait de la sécurité des systèmes un sujet de qualité autant que d'informatique.

Ce qu'on attend d'un prestataire

Le guide des BPF consacre un chapitre aux activités externalisées, et l'annexe 11 attend un accord formel avec les prestataires de services, précisant les responsabilités de chacun. En pratique, un prestataire intervenant sur des systèmes GxP travaille avec des comptes nominatifs ouverts par le client, sans compte partagé, signe un accord de confidentialité avant d'accéder à des procédés ou à des dossiers, et ne signe, n'approuve ni ne libère aucun enregistrement à la place du client. La question des accès distants, des postes utilisés et de la journalisation de ses actions fait partie du contrat, non d'un usage informel.

Les fonctions concernées

La cybersécurité d'un site de santé industrielle mobilise des fonctions qui se parlent rarement : le RSSI et le responsable des systèmes d'information, le responsable de l'informatique industrielle, le responsable assurance qualité des systèmes informatisés, le DPO, les directeurs de site, et les achats qui choisissent les fournisseurs. Notre travail consiste souvent à construire un langage commun entre ces fonctions et à écrire ce qui n'était jusque-là qu'une pratique orale.

Certains thèmes de cette catégorie portent sur des outils du marché, tels que KnowBe4, Splunk ou Tenable. Ils sont cités comme outils du thème : Optédif n'est ni partenaire, ni revendeur, ni intégrateur certifié de ces marques, et les marques citées appartiennent à leurs propriétaires. Nous les abordons pour ce qu'ils permettent (sensibilisation des utilisateurs, centralisation et analyse des journaux, suivi des vulnérabilités), toujours rattachés à un besoin et à une procédure de votre site.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous réalisons des audits documentaires et organisationnels avec analyse d'écarts, des revues d'architecture et de configuration par échantillon avec votre accord, du conseil de gouvernance, la conception d'architectures cibles et de politiques de sécurité, le déploiement de mesures dans votre environnement selon vos procédures de changement, de l'assistance technique sous notre responsabilité et notre encadrement, avec des livrables définis, et de la formation en intra-entreprise. Les exemples de nos pages sont construits et ne rapportent aucun résultat réel.

Chaque mission commence par un échange de cadrage, puis par un accord de confidentialité et un périmètre écrit, avant tout accès à vos documents ou à vos systèmes. Nous répondons sous 48 heures ouvrées à une première demande et nous établissons le devis après cet échange. Les livrables sont des documents que vos équipes relisent, approuvent et font vivre dans leur propre système qualité.

Ce que nous ne faisons pas

• Nous ne conduisons pas de test d'intrusion sur le système réel d'un client et nous ne sommes pas prestataire d'audit qualifié par l'ANSSI.
• Nous n'hébergeons aucune donnée de santé et nous ne sommes pas hébergeur certifié HDS.
• Nous ne conduisons pas d'audit de certification ISO/IEC 27001 et nous ne certifions personne.
• Nous ne dispensons ni les examens, ni les titres CISA, CISSP (Certified Information Systems Security Professional, certification en sécurité des systèmes d'information) ou de DPO : ils sont délivrés par leurs organismes titulaires.
• Nous ne disons pas si une entité est assujettie à NIS2, et nous ne notifions pas une violation à votre place.
• Nous ne signons, n'approuvons ni ne libérons aucun enregistrement, et nous ne partageons aucun compte.

Références officielles

• CNIL : violations de données personnelles
• ANSSI : méthode EBIOS Risk Manager
• ANSSI : prestataires d'audit de la sécurité des systèmes d'information (PASSI)
• Commission européenne : EudraLex, volume 4 (BPF)
• Directive (UE) 2022/2555 (NIS2)