NIS2 France : santé, cliniques et laboratoires concernés ?
La santé est bien à l'annexe I de NIS2, et pourtant aucune obligation NIS2 n'est opposable en France au 25 octobre 2026. Pendant ce temps, un autre texte français impose déjà le signalement sans délai à cinq catégories de structures, laboratoires de biologie médicale compris. Voici lequel, et quoi faire.
La réponse courte
Deux réponses, et c'est ce qui rend la question NIS2 France santé piégeuse. Sur le fond : oui, la santé figure à l'annexe I de la directive (UE) 2022/2555, parmi les secteurs de haute criticité[5]. Sur le calendrier : non, aucune obligation NIS2 n'est opposable en France au 25 octobre 2026, parce que la loi de transposition n'est pas votée[3].
Et pourtant, un établissement de santé français est déjà l'un des plus encadrés d'Europe sur le sujet. L'article L.1111-8-2 du code de la santé publique institue l'obligation de signalement des incidents de sécurité des systèmes d'information, et son décret d'application du 27 avril 2022 vise cinq catégories de structures — y compris les laboratoires de biologie médicale et les établissements médico-sociaux, que les seuils de taille de NIS2 laisseraient dehors[1]. Autrement dit : la France exige déjà de vous plus que la directive, et par un autre guichet.
Êtes-vous concerné ? Les critères, dans l'ordre
Trois questions, et il faut les prendre dans cet ordre, parce que la première est celle qui vous oblige dès aujourd'hui.
- Relevez-vous du décret n° 2022-715 du 27 avril 2022 ? Il cite les établissements de santé, les hôpitaux des armées, les centres de radiothérapie, les laboratoires de biologie médicale et les établissements médico-sociaux[1]. Aucun seuil de taille, aucune période transitoire : si vous êtes dans cette liste, l'obligation de signalement sans délai vous vise déjà.
- Entrez-vous dans l'une des catégories « santé » de l'annexe I de NIS2 ? Prestataires de soins de santé, laboratoires de référence de l'Union européenne, entités de recherche et développement de médicaments, fabricants de produits et préparations pharmaceutiques, fabricants de dispositifs médicaux[5].
- Dépassez-vous les seuils de taille ? Entité importante : au moins 50 salariés, ou chiffre d'affaires et total de bilan supérieurs à 10 millions d'euros. Entité essentielle : plus de 250 salariés, ou chiffre d'affaires supérieur à 50 millions et bilan supérieur à 43 millions[5].
Le piège du mot « laboratoire ». L'annexe I ne parle pas des laboratoires d'analyses de ville : elle cite les « laboratoires de référence de l'Union européenne »[5]. Un laboratoire de biologie médicale français de trente personnes est donc très probablement hors du champ direct de NIS2 — mais pleinement dans celui du décret de 2022[1]. Conclure « nous ne sommes pas concernés » à la seule lecture de la directive est l'erreur la plus répandue du secteur.
Où en est vraiment le texte français, au 25 octobre 2026
Le dossier législatif du Sénat est sans ambiguïté. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024, avec engagement de la procédure accélérée par le Gouvernement le même jour ; il a été adopté par le Sénat en première lecture le 12 mars 2025 (texte n° 78), puis transmis à l'Assemblée nationale, où la commission spéciale a déposé son texte n° 1779 le 10 septembre 2025[3]. Le dossier ne fait état d'aucune adoption en séance publique à l'Assemblée[3].
Conséquence pratique, et il faut la dire franchement : tant que la loi n'est pas promulguée et que les décrets ne sont pas publiés, il n'existe ni liste nominative d'entités essentielles ou importantes, ni échéance d'enregistrement opposable, ni barème de sanction applicable en droit interne. Méfiez-vous de tout prestataire qui vous vend une amende NIS2 française chiffrée : elle n'existe pas encore.
Ce qui existe déjà mérite en revanche une heure de votre temps : le simulateur de périmètre et le pré-enregistrement volontaire de MonEspaceNIS2, ainsi que le Référentiel Cyber France mis à disposition par l'ANSSI[6]. Pour un établissement, l'intérêt de ce référentiel n'est pas la conformité, c'est le vocabulaire : vos partenaires, votre groupement et vos clients concernés vous interrogeront dans ces termes.
Ce que la France exige déjà de vous, et par quel guichet
| Obligation | Ce qu'elle veut dire concrètement | Source |
|---|---|---|
| Signaler sans délai | Tout incident grave de sécurité des systèmes d'information, par le portail des signalements des évènements sanitaires indésirables | [1] |
| Qualifier la gravité | Trois critères : conséquences potentielles ou avérées sur la sécurité des soins ; atteinte à l'intégrité ou à la confidentialité des données de santé ; impact sur le fonctionnement normal de l'établissement | [1] |
| Déclarer aussi ailleurs | Selon la qualité de l'établissement (OIV, OSE, future entité essentielle ou importante) et la nature de l'incident : ANSSI, CNIL, police ou gendarmerie | [1] |
| Notifier la violation de données | 72 heures après en avoir pris connaissance, auprès de la CNIL, avec information des personnes quand le risque est élevé | [9] |
| S'exercer | Objectif de la feuille de route du numérique en santé : un exercice de crise cyber annuel ou bisannuel dans tous les établissements au plus tard en 2027 | [8] |
Le signalement n'est pas un formulaire qui disparaît dans un tiroir : il déclenche une chaîne. Le CERT Santé de l'Agence du numérique en santé prend en compte le signalement, le qualifie pour le compte des autorités compétentes, propose un appui au traitement, puis alerte selon les cas la Délégation du numérique en santé, le fonctionnaire de sécurité des systèmes d'information des ministères sociaux, la direction générale de la santé via le CORRUSS en cas d'impact sanitaire, les agences sanitaires lors d'un incident majeur touchant la prise en charge des patients, et l'ANSSI pour une structure OIV ou OSE[4]. Le traitement de l'incident, lui, reste de votre responsabilité[4].
Les chiffres du secteur, et ce qu'ils disent de votre risque
En 2025, 764 incidents de sécurité ont été déclarés au CERT Santé, volume quasiment stable sur un an, et 606 structures ont déclaré au moins un incident — le nombre d'acteurs concernés progresse, porté par le médico-social[2]. Deux incidents majeurs seulement ont été recensés, contre trois en 2024[2].
| Année | Signalements | Le fait marquant |
|---|---|---|
| 2023 | 581 | 35 % des signalements avec un impact sur la prise en charge des patients ; 529 audits réalisés et 451 structures alertées d'un risque de compromission[2] |
| 2024 | 749 | Hausse de 29 % sur un an, portée par l'appropriation du dispositif dans le médico-social[2] |
| 2025 | 764 | Rançongiciel en recul de 30 % ; 2 incidents majeurs contre 3 en 2024[2] |
La lecture utile n'est pas « le rançongiciel baisse, respirons ». C'est le déplacement de la menace : les compromissions de comptes, les fuites de données et les escroqueries bancaires de type faux ordre de virement progressent[2]. Ces trois-là ne se traitent pas avec un budget d'infrastructure, mais avec l'authentification multifacteur, la journalisation de la messagerie et une procédure écrite de changement de coordonnées bancaires. C'est une bonne nouvelle pour une clinique de soixante personnes : les contre-mesures sont à sa portée.
Les 5 premières actions
- Tranchez votre périmètre par écrit, sur une page datée. Deux lignes suffisent : « relevons-nous du décret du 27 avril 2022 ? » et « relevons-nous de l'annexe I et des seuils de NIS2 ? ». Signée par la direction, cette page est la première pièce que demandera un partenaire ou un assureur.
- Vérifiez que vous savez signaler avant d'en avoir besoin. Un compte actif sur le portail des signalements, un déclarant nommé, un suppléant, et le numéro à appeler la nuit. Un signalement que personne ne sait déposer à 3 heures du matin n'existe pas[1].
- Activez l'authentification multifacteur sur la messagerie, l'accès distant et les comptes à privilèges. C'est la mesure qui casse la chaîne hameçonnage, puis compte, puis dossier patient — celle qui vise les menaces en progression de 2025[2].
- Sortez une sauvegarde du réseau et testez la restauration ce trimestre. Hors ligne, restaurée pour de vrai, avec la date du test consignée. Une sauvegarde non restaurée n'est pas une sauvegarde.
- Programmez votre exercice de crise en mode dégradé. Une demi-journée, un scénario de chiffrement, un compte rendu et trois actions d'amélioration : c'est exactement ce que la feuille de route attend de tous les établissements d'ici 2027[8].
Pour comparer avec un pays qui, lui, a terminé sa transposition, voyez notre guide NIS2 Pays-Bas : santé et laboratoires sous la Cyberbeveiligingswet, et le cas belge dans NIS2 Belgique : santé, hôpitaux et laboratoires. Pour un secteur français non listé mais atteint par ses clients, le raisonnement est détaillé dans NIS2 France : les cabinets d'avocats sont-ils concernés ?. Et pour trancher votre cas en dix minutes : le test NIS2 gratuit.
Chez CyberNovaLabs.io
Nous ne vendons pas de conformité au kilo. Nous travaillons aux Pays-Bas, en Belgique, en France et au Luxembourg, et pour les éditeurs et prestataires qui veulent parler aux établissements de santé, nous prenons les rendez-vous : critères de qualification écrits avant le lancement, paiement au rendez-vous ou au forfait, sans engagement de durée. Nos repères côté France sont rassemblés sur la prise de rendez-vous B2B à Paris.
Parler de vos rendez-vous dans la santé
Sources
- Portail du CERT Santé (ANS) — Le cadre législatif et les déclarations (14/04/2026)
- Portail du CERT Santé (ANS) — L'Observatoire des incidents (11/05/2026)
- Sénat — Dossier législatif : projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
- Portail du CERT Santé (ANS) — Les services : qualification des incidents et appui à la réponse
- Directive (UE) 2022/2555 (NIS2) — annexes I et II
- ANSSI — MonEspaceNIS2
- ANS / CERT Santé — Rapport public de l'Observatoire des signalements d'incidents de sécurité des SI 2025 (PDF)
- Ministère de la Santé — Feuille de route du numérique en santé 2023-2027 (PDF)
- CNIL — Notifier une violation de données personnelles
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Cyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
Lire l'article →3 novembre 2026 · 9 min de lectureAI Act : ce que les PME doivent savoir en 2026
Applicable depuis le 2 août 2026, l'AI Act tient en trois obligations pour une PME qui achète de l'IA. Les règles lourdes de l'annexe III, elles, attendront le 2 décembre 2027. Voici les dates, les plafonds d'amende réellement opposables à une PME, et qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg.
Lire l'article →26 octobre 2026 · 7 min de lectureFuites de donnees : 47 entites belges touchees en 2026 (24/10)
Une veille sur le dark web, confirmee par le Centre pour la Cybersecurite Belgique, compte au moins 47 entites belges victimes d'une fuite de donnees depuis janvier 2026. Les signalements d'incidents recus par le CCB depassent deja l'annee 2025 complete. Voici la lecture utile pour une PME des quatre pays, et la liste a traiter cette semaine.
Lire l'article →26 octobre 2026 · 8 min de lectureNIS2 Pays-Bas : industrie et production sont-elles concernées ?
Aux Pays-Bas, NIS2 s'appelle la Cyberbeveiligingswet et elle est en vigueur depuis le 15 août 2026. Pour une usine, le critère n'est pas « je fabrique quelque chose » : six catégories précises de l'annexe II décident, puis la taille. Ce guide donne la grille, l'autorité compétente, le guichet d'enregistrement et les délais.
Lire l'article →24 octobre 2026 · 8 min de lectureNIS2 Luxembourg : transport et logistique sont-ils concernés ?
La loi luxembourgeoise ne met pas les transporteurs routiers dans le champ de NIS2. Elle y met les autorités routières, les exploitants de systèmes de transport intelligents, l'aérien, le ferroviaire, les ports — et, par l'annexe II, les services d'expédition. Voici comment trancher votre cas, avec les articles, l'autorité et les délais réels.
Lire l'article →23 octobre 2026 · 7 min de lectureLogiciel signé Siemens détourné : l'alerte ClickFix (19/10/2026)
Un exécutable Siemens authentique, signature valide, utilisé comme cheval de Troie : la faille corrigée le 15 octobre est exploitée depuis. Le correctif prend une minute ; la leçon sur vos règles d'autorisation est plus longue à tirer.
Lire l'article →