Cloud : entre opportunités et impératifs de conformité
Le Système d’Information Hospitalier (SIH) est au cœur des parcours de soins, de la facturation et de la coordination ville-hôpital, concentrant des données parmi les plus sensibles qui soient. La transformation de ces systèmes complexes vers le cloud est un enjeu majeur pour les établissements de santé. Comme le souligne Dominique Pon, Directeur Général de La Poste Santé & Autonomie, « avec Numspot, le “move to cloud” peut désormais démarrer pour les établissements de santé mais cela se fera par étape, un SIH étant hautement complexe. »
Ce passage au cloud s’accompagne d’un cadre réglementaire strict. La combinaison du RGPD, de la certification HDS, de la directive NIS2 et de la qualification SecNumCloud redéfinit le niveau d’exigence attendu. Plutôt que des contraintes, ces régulations doivent être vues comme des opportunités. En effet, « pour un DSI, HDS n’est plus un frein mais un accélérateur cloud », affirme Dominique Pon. Elles guident les établissements vers une innovation sécurisée et une meilleure continuité des soins.
Pilotez efficacement la transformation cloud de votre SIH en toute conformité
→ téléchargez notre checklist HDS / NIS2 / SecNumCloud.
Les défis spécifiques d’un SIH à l’ère NIS2
Pour un DSI ou un RSSI d’établissement de santé, les défis se concentrent autour de trois axes :
- la gestion des risques,
- la continuité de soins critiques,
- et la réponse aux incidents.
Un SIH, ce sont plusieurs centaines de logiciels métiers interconnectés (DPI, imagerie, bloc, pharmacie, PMSI, paye, facturation…), dont certains sont hébergés on‑premise et d’autres dans un cloud. Le SIH est donc particulièrement exposé aux risques de sécurité. Et ce risque est d’autant plus important que des données de santé, donc des données personnelles, circulent sur ces applicatifs métiers.
Face à l’augmentation exponentielle des volumes de données de santé, qui accroit la complexité de la gouvernance des données, et aux cyberattaques de plus en plus récurrents et massives, les règlementations se sont durcies pour exiger un niveau de sécurité et de souveraineté élevés.
Certification HDS, NIS2, SecNumCloud… les établissements de santé entrent dans le périmètre des entités essentielles ou importantes, avec des obligations renforcées :
- gestion des risques cybersécurité à l’échelle du SIH,
- protection des systèmes d’information critiques,
- supervision continue,
- capacité à notifier les incidents significatifs dans des délais très courts (24 à 72h selon les cas),
- preuves documentées des mesures de sécurité et de résilience.
Avec ou sans certification : ce que change un cloud HDS souverain
Certification HDS : un socle réglementaire pour l’hébergement de données de santé
La certification HDS est une exigence réglementaire pour toute organisation qui héberge et exploite des données de santé à caractère personnel, qu’il s’agisse d’établissements de santé, d’éditeurs, de laboratoires, de pharmacies ou de prestataires informatiques. Elle encadre l’hébergement d’infrastructures physiques et de SI de santé en termes de sécurité, confidentialité et intégrité des données sensibles.
Basée sur ISO 27001 et complétée par ISO 27018, la certification HDS vise à garantir :
- la sécurité, la confidentialité et l’intégrité des données de santé,
- la qualité et la fiabilité des services d’hébergement
- un cadre de confiance entre patients, professionnels de santé et prestataires,
- une articulation claire avec le RGPD pour simplifier la preuve de conformité.
Souveraineté, SecNumCloud et Cloud Act : la question clé pour NIS2
La directive NIS2, adoptée par l’Union européenne, renforce les exigences de cybersécurité pour les opérateurs de services essentiels, incluant les établissements de santé. Elle impose des normes plus strictes pour la protection des données sensibles et la résilience des infrastructures critiques. Dans ce contexte, le nouveau référentiel HDS s’aligne parfaitement avec les objectifs de NIS2 en renforçant la souveraineté des données :
- hébergement obligatoire dans l’Espace Économique Européen (EEE) ;
- transparence sur les transferts éventuels vers des pays tiers ;
- information des clients en cas d’exposition à une législation extra‑européenne, avec détail des mesures compensatoires.
Pour les établissements de santé, la qualification SecNumCloud ajoute une garantie supplémentaire :
- niveau d’exigence maximal sur la sécurité des services cloud,
- protection renforcée contre les lois extraterritoriales,
- alignement avec les attentes de l’ANSSI pour les données sensibles et stratégiques.
La question pour un DSI de la santé n’est donc plus seulement de faire appel à un hébergeur certifié HDS, mais aussi de s’assurer qu’il offre un niveau de souveraineté juridique fort n’expose pas les données au Cloud Act ou tout autre règlementation extra-européenne.
Simplifier la preuve de conformité via un cloud souverain certifié HDS
L’hébergement de données de santé sur un cloud public de confiance, combinant certification HDS, qualification SecNumCloud et souveraineté européenne, permet à la DSI de :
- réduire le nombre de preuves à produire lors d’un audit (une partie des contrôles étant couverte par les audits HDS, ISO, SecNumCloud),
- démontrer plus facilement la localisation UE des données, la traçabilité native des accès, la journalisation et la gestion des habilitations,
- répondre de manière structurée aux exigences de NIS2 sur la gestion des risques, les mesures techniques et organisationnelles et la notification des incidents.
Conformité, audits et simplification pour les DSI
En s’appuyant sur un fournisseur certifié HDS et bâti sur les plus hautds standards de sécurité comme Numspot, les établissements de santé disposent d’un référentiel de sécurité déjà audité (facilitant la préparation des audits HDS internes, des contrôles CNIL ou ANSSI, et des audits NIS2) et de la preuve de conformité (localisation UE, contrôle des accès, journalisation, sauvegardes, tests PRA) largement documentée et industrialisée.
La migration progressive d’applications métier dans le cloud peut être planifiée sans compromis sur la souveraineté ni sur la sécurité, en cohérence avec les objectifs nationaux de numérique en santé.
Numspot est déjà référencé via le marché C.A.I.H. et opéré par Sopra Steria, ce qui facilite l’accès contractuel pour les établissements publics de santé.
Pour aller plus loin : FAQ sur les exigences règlementaires applicables au secteur de la santé
