NIS2 et santé : quels hôpitaux, cliniques, laboratoires et entreprises pharmaceutiques sont concernés

Dans le secteur de la santé, NIS2 énumère à l’annexe I les prestataires de soins de santé, hôpitaux compris, les laboratoires de référence de l’UE, la R&D sur les médicaments, la fabrication pharmaceutique et les fabricants de dispositifs médicaux critiques, et à l’annexe II les autres fabricants de dispositifs médicaux. Chacun est concerné dès qu’il est au moins de taille moyenne : 50 salariés ou plus, ou un chiffre d’affaires et un total du bilan dépassant tous deux 10 millions d’euros. Les entités plus petites ne sont concernées que si leur autorité les identifie.

Ce guide présente les types d’entités, les cliniques et la radiologie, les laboratoires, les pharmacies, l’industrie pharmaceutique, les fabricants de dispositifs médicaux, le statut d’entité essentielle ou importante, les obligations applicables, ce que le texte laisse ouvert et une liste de contrôle.

Organisation	Entrée NIS2	Si taille moyenne	Si grande
Hôpital, clinique, cabinet de radiologie ou autre cabinet	Annexe I : prestataire de soins de santé	Importante	Essentielle
Laboratoire d’analyses médicales	Annexe I : prestataire de soins de santé	Importante	Essentielle
Laboratoire de référence de l’UE	Annexe I	Importante	Essentielle
Pharmacie	Défendable : annexe I, prestataire de soins de santé (non citée)	Importante	Essentielle
R&D pharmaceutique	Annexe I : R&D sur les médicaments	Importante	Essentielle
Fabricant pharmaceutique	Annexe I : NACE Rév. 2, division 21	Importante	Essentielle
Fabricant d’un dispositif médical critique	Annexe I : liste des dispositifs médicaux critiques en cas d’urgence de santé publique	Importante	Essentielle
Autre fabricant de dispositifs médicaux ou de dispositifs médicaux de diagnostic in vitro	Annexe II, point 5 a)	Importante	Importante
Grossiste ou distributeur de médicaments	Non cité dans le secteur de la santé	Vérifier les autres secteurs	Vérifier les autres secteurs

Les petites entités et les microentités sont hors champ, sauf cas indépendant de la taille, et l’État membre peut identifier n’importe laquelle de ces entités comme essentielle. Est grande une entreprise qui compte 250 salariés ou plus, ou dont le chiffre d’affaires dépasse 50 millions d’euros et le total du bilan 43 millions d’euros.

Quelles entités de santé sont concernées par NIS2 ?

L’annexe I, point 5 (Santé), énumère cinq types d’entités :

• « Prestataires de soins de santé », au sens de l’article 3, point g), de la directive 2011/24/UE relative à l’application des droits des patients en matière de soins de santé transfrontaliers.
• « Laboratoires de référence de l’Union européenne », visés à l’article 15 du règlement (UE) 2022/2371 concernant les menaces transfrontières graves pour la santé.
• « Entités exerçant des activités de recherche et de développement dans le domaine des médicaments », les médicaments étant définis à l’article 1er, point 2), de la directive 2001/83/CE.
• « Entités fabriquant des produits pharmaceutiques de base et des préparations pharmaceutiques au sens de la NACE Rév. 2, section C, division 21 ».
• « Entités fabriquant des dispositifs médicaux considérés comme critiques en cas d’urgence de santé publique (liste des dispositifs médicaux critiques en cas d’urgence de santé publique) au sens de l’article 22 du règlement (UE) 2022/123 ».

L’annexe II, point 5 a), y ajoute les entités fabriquant des dispositifs médicaux et des dispositifs médicaux de diagnostic in vitro, à l’exception de celles qui relèvent de la cinquième entrée de l’annexe I ci-dessus.

Les définitions viennent d’autres textes de l’UE. Un prestataire de soins de santé est « toute personne physique ou morale ou toute autre entité qui dispense légalement des soins de santé sur le territoire d’un État membre ». Cela couvre les prestataires publics et privés, et la directive 2011/24/UE s’applique à la prestation de soins de santé aux patients « indépendamment de leur mode d’organisation, de prestation ou de financement » (article 1(2)). Le critère de taille de l’article 2(1) de NIS2, à savoir être au moins une moyenne entreprise au sens de la recommandation 2003/361/CE, s’applique à chaque entrée.

La santé n’est pas nouvelle : NIS1 visait déjà les « établissements de soins de santé (y compris les hôpitaux et les cliniques privées) », avec la même définition. NIS2 remplace l’identification nationale par le critère de taille et ajoute les laboratoires de référence de l’UE, l’industrie pharmaceutique et les fabricants de dispositifs médicaux.

Les cliniques privées et les cabinets de radiologie sont-ils concernés ?

Oui, s’ils sont au moins de taille moyenne. Une clinique ou un cabinet de radiologie qui dispense légalement des soins de santé est un prestataire de soins de santé, quelle que soit sa forme juridique. Le critère de taille tranche ensuite :

• Effectif : avec 50 personnes ou plus, en unités de travail annuel (UTA), vous êtes concerné.
• Données financières : avec un effectif inférieur, vous êtes tout de même concerné si le chiffre d’affaires et le total du bilan dépassent tous deux 10 millions d’euros. L’imagerie médicale exige beaucoup de capitaux : un cabinet de 35 personnes qui réalise 12 millions d’euros de chiffre d’affaires, avec un total du bilan de 11 millions d’euros, est une moyenne entreprise.
• Groupe : les entreprises liées sont comptées intégralement, les entreprises partenaires au prorata. Un cabinet détenu par un grand groupe d’imagerie peut être une grande entreprise sur la base des chiffres du groupe.
• Détention publique : le contrôle par un organisme public ne fait pas, à lui seul, d’une clinique une grande entreprise ; l’article 2(1) écarte cette règle de la recommandation.

En dessous du seuil, un cabinet est hors champ, sauf si l’État membre l’identifie au titre de l’article 2(2) : comme seul prestataire d’un service essentiel, lorsqu’une perturbation du service « pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique », en raison d’un risque systémique important, ou pour son importance au niveau national ou régional. Les entités critiques au sens de la directive CER sont concernées quelle que soit leur taille (article 2(3)). L’autorité nationale tranche ces cas. Aucune règle de NIS2 ne fixe un nombre de lits ou un volume de patients.

Vérifiez que votre loi nationale est en vigueur : le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de communication des mesures de transposition. Le vérificateur de champ d’application NIS2 donne une première réponse à partir du secteur, de l’effectif et du chiffre d’affaires.

Les laboratoires sont-ils concernés ?

Il existe trois voies, et la plupart des laboratoires relèvent de la deuxième.

1. Laboratoire de référence de l’UE. La Commission les désigne par acte d’exécution pour appuyer les laboratoires nationaux de référence en matière de diagnostic, de méthodes d’essai et de surveillance des maladies. Un laboratoire ne le devient pas du seul fait qu’il effectue des travaux de niveau référence.
2. Prestataire de soins de santé. Un laboratoire d’analyses médicales qui dispense légalement des soins de santé à des patients, comme des examens de diagnostic, répond à la définition, sous réserve du critère de taille. Le laboratoire d’un hôpital fait partie de l’hôpital.
3. R&D sur les médicaments. Un laboratoire qui mène cette recherche relève de l’entrée R&D. L’annexe II vise aussi la recherche en tant que secteur (point 7).

Les pharmacies sont-elles concernées ?

Certaines peuvent l’être, bien que NIS2 ne les cite pas. La directive 2011/24/UE définit les soins de santé comme des services de santé fournis par des professionnels de la santé, « y compris la prescription, la délivrance et la fourniture de médicaments et de dispositifs médicaux », et compte les pharmaciens parmi les professionnels de la santé. Au vu de ce libellé, une pharmacie qui délivre légalement des médicaments peut répondre à la définition de prestataire de soins de santé.

Elle doit encore être au moins de taille moyenne. Une pharmacie isolée reste souvent sous le seuil d’effectif comme sous le seuil financier. Une société qui exploite une chaîne de pharmacies, ou qui est liée à un groupe plus important, peut les dépasser. Vérifiez comment votre loi nationale et votre autorité appliquent la définition avant de conclure que vous êtes concerné ou non.

Les entreprises pharmaceutiques sont-elles concernées ?

Oui, au titre de deux entrées de l’annexe I, si l’entreprise est au moins de taille moyenne :

• Recherche et développement dans le domaine des médicaments : les médicaments sont des substances présentées comme traitant ou prévenant des maladies humaines, ou administrées en vue d’établir un diagnostic médical ou de restaurer, corriger ou modifier des fonctions physiologiques. Au vu de son libellé, cette entrée atteint les entreprises de biotechnologie et les sociétés de recherche sous contrat (CRO) qui mènent cette R&D.
• Fabrication relevant de la division 21 de la NACE : le critère est l’activité. Un façonnier qui fabrique des préparations pharmaceutiques est couvert au même titre que le titulaire de la marque.

Une entreprise qui se contente de détenir des autorisations de mise sur le marché, de commercialiser ou de distribuer des médicaments ne figure pas dans la liste du secteur de la santé ; vérifiez les autres entrées des annexes avant de conclure que vous êtes hors champ.

Les fabricants de dispositifs médicaux sont-ils concernés ?

• Annexe I, dispositifs critiques. En vertu de l’article 22 du règlement (UE) 2022/123, le groupe de pilotage exécutif sur les pénuries de dispositifs médicaux, institué au sein de l’Agence européenne des médicaments, adopte une liste des dispositifs médicaux critiques en cas d’urgence de santé publique dès qu’une urgence de santé publique est reconnue. Vérifiez auprès de l’Agence si une liste est en vigueur et si vos dispositifs y figurent.
• Annexe II, point 5 a). Les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro. À partir de la taille moyenne, ce sont des entités importantes, sauf si l’État membre les identifie comme essentielles.

L’article 21 couvre les systèmes que le fabricant utilise pour ses activités et ses services, ce qui n’est pas la même chose que la sécurité du dispositif qu’il vend.

Une entité de santé est-elle essentielle ou importante ?

L’article 3 fixe le statut. Une entité est essentielle si elle est :

• une grande entité de l’annexe I, comme un grand hôpital ou un grand fabricant pharmaceutique ;
• identifiée comme essentielle par son État membre au titre de l’article 2(2), points b) à e) ;
• une entité critique au sens de la directive CER ;
• si l’État membre le prévoit, un opérateur de services essentiels identifié au titre de NIS1 avant le 16 janvier 2023.

Toute autre entité concernée est importante : les entités de l’annexe I de taille moyenne et les fabricants de dispositifs de l’annexe II.

Les deux catégories ont les mêmes obligations. La différence tient à la supervision et aux amendes. Les entités essentielles sont soumises à une supervision proactive, y compris des inspections sur place et des audits (article 32) ; les entités importantes sont supervisées a posteriori (article 33). Pour une violation de l’article 21 ou 23, les amendes maximales doivent s’élever à au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et à au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (article 34). Voir entités essentielles et entités importantes.

Les États membres devaient établir la liste de leurs entités au plus tard le 17 avril 2025, et les entités doivent signaler toute modification de leurs informations dans un délai de deux semaines. Si vous êtes concerné et pas encore enregistré, enregistrez-vous maintenant.

Qu’exige NIS2 d’un hôpital, d’un laboratoire ou d’une entreprise pharmaceutique ?

• Direction (article 20). L’organe de direction approuve les mesures, en supervise la mise en œuvre, peut être tenu responsable des violations de l’article 21 par l’entité, et ses membres doivent suivre une formation. Voir la responsabilité de la direction au titre de NIS2.
• Mesures (article 21). Des mesures appropriées et proportionnées, selon une approche « tous risques », dont dix mesures minimales. Voir les dix mesures de l’article 21.
• Notification (article 23). Pour un incident important, une alerte précoce au CSIRT ou à l’autorité compétente dans les 24 heures après en avoir eu connaissance, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois après cette notification. Voir le calendrier de notification des incidents NIS2.

Les données de santé sont une catégorie particulière de données à caractère personnel au sens de l’article 9 du RGPD. Une attaque par rançongiciel contre un hôpital est généralement à la fois un incident NIS2 et une violation de données à caractère personnel, à notifier à des autorités différentes selon des délais différents : voir NIS2 et RGPD.

Ce que NIS2 laisse ouvert dans un hôpital ou une usine pharmaceutique

L’article 21 demande une gestion des actifs et un traitement des vulnérabilités. Il ne dit pas quoi faire d’un scanner, d’un analyseur de laboratoire ou d’un automate de production qui exécute un logiciel que seul le fabricant peut mettre à jour. En pratique, ce sont souvent les systèmes les plus difficiles à corriger et les plus faciles à atteindre par l’accès à distance des fournisseurs.

NIS2 définit aussi, à l’article 6, point 6), un incident comme un événement compromettant « la disponibilité, l’authenticité, l’intégrité ou la confidentialité » des données stockées, transmises ou faisant l’objet d’un traitement, ou des services. Un résultat d’analyse ou un dossier de lot modifié est un incident même si rien n’est à l’arrêt, et un test de restauration qui vérifie seulement que le système redémarre prouve la disponibilité, pas l’intégrité.

Une approche raisonnable consiste à rattacher chaque service clinique ou de production à ses systèmes, à repérer les points de défaillance uniques et à consigner ce que vous ne pouvez pas corriger, et pourquoi :

REGISTRE DES DISPOSITIFS CLINIQUES ET OT (une fiche par dispositif ou système)
Dispositif / système   : [scanner, PACS, analyseur de laboratoire, MES, ...]
Service assuré         : [radiologie, laboratoire d'urgence, libération de lots]
Emplacement / segment  : [site, salle, segment réseau]
Fabricant / modèle     : [fournisseur, modèle, version logicielle]
Qui peut corriger      : [nous / fournisseur seul / personne, fin de support]
Dernière mise à jour   : [date, version]
Accès à distance       : [aucun / VPN fournisseur / cloud fournisseur ;
                          approuvé par]
Données détenues       : [images, résultats, dossiers de lot,
                          données personnelles]
Contrôle d'intégrité   : [comment un enregistrement modifié serait détecté]
Repli en cas de panne  : [procédure papier, autre site, autre fournisseur]
Décision sur le risque : [accepté / atténué par ... ; propriétaire ; revue]

En pratique, décidez aussi à l’avance ce que signifie pour vous une « perturbation opérationnelle grave » (article 23(3)) : interventions annulées, admissions réorientées, lot arrêté. La décision de notifier ne doit pas attendre l’analyse forensique. Sur la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle, les preuves sont collectées à partir de vos systèmes, et les exceptions, comme les dispositifs que seul le fournisseur peut corriger, sont examinées par une personne. Un audit de sécurité montre où vous en êtes ; le programme est présenté sur la page conformité NIS2.

Liste de contrôle NIS2 pour le secteur de la santé

• Rattachez chaque entité juridique à une entrée de l’annexe I ou de l’annexe II, en utilisant la définition à laquelle renvoie l’annexe.
• Calculez la taille avec les entreprises liées et partenaires, en vérifiant les données financières autant que l’effectif.
• Vérifiez une éventuelle identification par votre autorité, le statut d’entité critique au sens de CER et l’historique NIS1.
• Enregistrez-vous et signalez les modifications dans un délai de deux semaines.
• Consignez l’approbation des mesures de l’article 21 par l’organe de direction et la formation de ses membres.
• Constituez le registre des dispositifs, y compris ceux que seul le fournisseur peut corriger.
• Mettez en place la chaîne de notification à 24 heures, 72 heures et un mois, avec la notification RGPD en parallèle.
• Intégrez des clauses de sécurité et de notification des incidents dans les contrats de dispositifs, de logiciels et de cloud.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 20, 21, 23, 32, 33 et 34, annexe I, point 5, et annexe II, point 5, EUR-Lex. Texte des articles : article 2, article 3, article 23.
• Directive 2011/24/UE relative à l’application des droits des patients en matière de soins de santé transfrontaliers, article 1(2) et article 3, points a), f) et g), EUR-Lex.
• Règlement (UE) 2022/2371 concernant les menaces transfrontières graves pour la santé, article 15, EUR-Lex.
• Directive 2001/83/CE instituant un code communautaire relatif aux médicaments à usage humain, article 1er, EUR-Lex.
• Règlement (UE) 2022/123 relatif à un rôle renforcé de l’Agence européenne des médicaments, articles 2, 21 et 22, EUR-Lex.
• Recommandation 2003/361/CE de la Commission (définition des PME), annexe, EUR-Lex.
• Directive (UE) 2016/1148 (NIS1), annexe II, EUR-Lex.
• Règlement (UE) 2016/679 (RGPD), article 9, EUR-Lex.
• La Commission saisit la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026, Commission européenne.

Questions fréquentes