Dans un établissement de santé, la difficulté n'est pas de comprendre ce que demande NIS2. Elle est de tenir cette demande au moment de la relève, sur un poste installé dans un couloir et utilisé par sept soignants en une heure. La directive (UE) 2022/2555 cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues et vise le secteur de la santé ; reste à savoir quelle méthode survit au poste de soins, à la rotation en trois-huit et à l'urgence vitale.
Cet article donne une lecture opérationnelle et ne constitue pas un avis juridique. NIS2 est une directive : c'est le texte national de transposition qui en fixe les modalités, et la qualification de votre établissement en entité essentielle ou importante doit être confirmée au regard de cette transposition et avec vos conseils.
Ce qu'il faut retenir du texte, avant d'entrer dans le service
La directive distingue entités essentielles et entités importantes, couvre la santé parmi d'autres secteurs, attend des mesures de gestion des risques mentionnant l'authentification multifacteur ou continue, et demande de traiter le risque lié aux prestataires. Elle n'impose aucune technologie : elle attend une adéquation entre le risque de l'action et le dispositif retenu, et la capacité à le démontrer. Les données de santé relèvent par ailleurs d'une catégorie particulière au titre du RGPD, et les deux cadres se cumulent — voir le RGPD en santé et la comparaison des textes européens.
Le poste de soins, juge de paix de toute politique d'authentification
Le poste partagé
Un chariot de soins, un poste d'unité, un écran d'imagerie : le matériel est mutualisé, la session reste ouverte, et l'identité affichée est celle de la première personne connectée le matin. La traçabilité existe techniquement ; pratiquement, elle désigne quelqu'un qui n'était pas là.
D'où la règle : dissocier l'ouverture du poste de l'identification de l'acte. Le poste peut rester disponible ; ce sont l'accès au dossier patient, la prescription et la validation d'une administration qui doivent porter une identité vérifiée à l'instant où elles ont lieu. Une méthode qui demande dix secondes est adoptée ; celle qui en demande quarante est contournée.
La rotation en trois-huit
La relève crée trois pics d'authentification par jour, sur les mêmes postes, en un temps très court. C'est aussi le moment où les identifiants circulent le plus : un code dit à voix haute pour dépanner un collègue, un poste laissé ouvert « le temps de la transmission ». Le vol ou le partage d'identifiants figure parmi les tout premiers vecteurs d'intrusion recensés par le Verizon DBIR ; à l'hôpital, il relève de l'organisation plus que de la malveillance.
Intérimaires, vacataires, internes
Un intérimaire arrive pour trois nuits, un interne change de service au semestre, un vacataire intervient un jour par semaine. Les symptômes sont connus : comptes créés dans l'urgence, droits recopiés du prédécesseur, désactivation tardive, stock de comptes actifs sans porteur. Une authentification forte ne corrige pas un provisionnement défaillant : elle protège un compte qui n'aurait pas dû rester ouvert.
| Type de compte | Qui l'utilise réellement | Risque dominant | Ce que la traçabilité doit pouvoir montrer |
|---|---|---|---|
| Compte nominatif soignant | Un professionnel, parfois deux en relève | Session laissée ouverte | Qui a consulté ce dossier, à quelle heure |
| Compte de service applicatif | Un logiciel, et des humains en dépannage | Secret partagé et durable | Que l'accès venait bien d'un traitement automatisé |
| Compte d'intérimaire ou de vacataire | Une personne différente selon la période | Compte survivant à la mission | La date de fin de droits et son application effective |
| Compte de bris de glace | N'importe qui, en urgence | Usage hors situation d'urgence | Le motif déclaré et la revue a posteriori |
| Compte de mainteneur biomédical | Un prestataire externe | Accès permanent non fenêtré | La fenêtre d'intervention et l'équipement touché |
Le bris de glace : une exception à concevoir, pas à subir
L'accès en urgence vitale n'est pas négociable : quand un patient arrive inconscient, personne n'attendra la levée d'une habilitation. Le sujet n'est donc jamais de supprimer le bris de glace, mais de le rendre exceptionnel, motivé et revu. Un dispositif défendable repose sur quatre éléments : accès immédiat sans validation préalable, identification réelle de la personne qui l'invoque, motif saisi au moment de l'usage, revue systématique des accès obtenus. Le point faible le plus fréquent est le quatrième : quand personne ne relit les journaux, le bris de glace devient ordinaire.
Maintenance biomédicale et prestataires
Un scanner, un automate de biologie, une pompe à perfusion connectée sont maintenus par leurs fabricants, souvent à distance, sur des équipements dont le système est parfois figé par la certification du dispositif. Les attentes de NIS2 sur les prestataires s'appliquent ici et se heurtent à une réalité : vous ne mettrez pas à jour l'authentification embarquée dans un équipement homologué. La réponse consiste à déplacer le point de contrôle. On n'authentifie pas l'équipement, on authentifie l'intervenant qui atteint le réseau biomédical : accès nominatif, fenêtre alignée sur l'intervention, journal conservé côté établissement. Ces exigences s'inscrivent au contrat de maintenance, seul moment où elles sont négociables.
Les groupements d'établissements
Quand plusieurs établissements partagent une DSI, un dossier patient commun ou une plateforme d'imagerie, deux questions surgissent : un professionnel intervenant sur deux sites a-t-il une identité unique ou deux comptes, et qui répond en cas d'incident sur un système mutualisé ? La convergence des identités est un chantier long, mais elle conditionne toute la traçabilité : deux identités pour une personne, ce sont deux journaux qu'aucune revue ne rapprochera. Une approche sans mot de passe et sans identifiant à mémoriser, telle que la porte HIAsecure avec son 4ᵉ facteur cognitif et un traitement local de la biométrie, réduit le nombre de secrets à distribuer et à révoquer quand un professionnel change de site.
FAQ
Peut-on conserver un poste partagé au poste de soins ?
Oui, à condition de séparer l'accès au poste et l'identification de l'acte. Ce qui doit porter une identité vérifiée, ce sont les consultations de dossier et les actes de prescription ou d'administration, pas l'allumage de l'écran. Une méthode rapide est ici une condition de sécurité.
Le bris de glace est-il compatible avec les attentes de NIS2 ?
Rien n'interdit un accès d'urgence. Ce qui est attendu, c'est qu'il soit encadré : identification réelle de la personne, motif saisi, revue effective des accès obtenus. Un bris de glace jamais relu est plus difficile à défendre que son existence même.
Comment gérer un intérimaire présent trois nuits ?
En traitant le cycle de vie de l'identité plutôt que la seule connexion : date de fin renseignée dès la création, droits attribués par profil et non par recopie, vérification périodique des comptes actifs sans mission. Un enrôlement rapide et sans distribution de matériel simplifie ces arrivées courtes.
Les prestataires de maintenance biomédicale entrent-ils dans le périmètre ?
Les attentes de la directive sur les prestataires les concernent, dans les conditions fixées par la transposition applicable. En pratique, l'établissement agit sur ce qu'il maîtrise : l'accès au réseau, sa nominativité, sa fenêtre temporelle et la conservation des journaux de son côté.
Aller plus loin : SecNumCloud en établissement de santé · eIDAS 2 et la santé · le phishing hospitalier · supprimer les mots de passe