Certification et mise en œuvre des obligations de sécurité : l’expérience des Hospices civils de Lyon

Résumé

Depuis quelques années, les hôpitaux français connaissent de profondes transformations organisationnelles en vue de faciliter la continuité des soins et d’améliorer les échanges entre les professionnels de « ville » et l’hôpital. La « transformation numérique » est un levier essentiel de cette évolution du système de santé. Mais les cyberattaques et les vols de données sont autant d’événements qui pénalisent les hôpitaux dans la réalisation de leurs missions. Ainsi, la sécurisation des services numériques évolue vers une gouvernance attentive aux risques qui les empêcherait d’atteindre leurs objectifs, d’une part, et à la conformité aux règles et réglementations, d’autre part. Cette stratégie d’anticipation reconnaît également l’humain comme maillon essentiel de la chaîne de sécurisation. La conformité aux règles et aux réglementations relève de certifications telles que celles requises pour mener des activités d’hébergement de données de santé. Elle peut aussi simplement suivre des obligations réglementaires de cybersécurité comme en ce qui concerne les opérateurs de services essentiels. Cet article s’attache à inventorier et détailler la logique portée par les différentes approches de certification des établissements de santé et les obligations réglementaires de cybersécurité.