Hôpitaux, cabinets médicaux, laboratoires, établissements de soins et fournisseurs HealthTech font face à un enchevêtrement réglementaire que peu d'autres secteurs connaissent : la nLPD suisse et – en cas de point de rattachement à l'UE – le RGPD, le régime de notification ISG/BACS suisse, la directive européenne NIS2 pour les entités ayant un établissement dans l'UE, la révision totale prévue de la LDEP (loi sur le dossier électronique du patient), ainsi que, du côté produit, le MDR/IVDR et le Cyber Resilience Act (CRA). S'y ajoute l'AI Act européen dès qu'une IA clinique ou administrative entre en jeu. Choisir un partenaire sécurité et protection des données ne revient donc pas à acheter une prestation isolée, mais la capacité de penser ces exigences de manière intégrée.

Cet article se veut délibérément neutre. Il ne nomme aucun fournisseur précis et ne recommande aucune maison en particulier. L'objectif est de vous donner, en tant que décideur, une grille de lecture propre pour comparer les offres – et de dire honnêtement où un grand fournisseur orienté exploitation convient mieux et où un partenaire spécialisé, à direction juridique, fait valoir sa force.

La question la plus importante d'abord : le partenaire couvre-t-il nLPD/RGPD, NIS2 ou le régime de notification ISG/BACS suisse, la LDEP, le MDR/CRA et l'AI Act européen au sein d'un modèle cohérent – ou traite-t-il chaque sujet isolément ? Dans la santé, ces régimes s'imbriquent : une vulnérabilité dans un dispositif médical est à la fois un enjeu de sécurité des données, un enjeu de notification et potentiellement un enjeu produit. Si ces axes sont conseillés séparément, des lacunes et des doublons apparaissent.

Soyez attentif à une délimitation propre : NIS2 est une directive de l'UE que la Suisse n'a pas transposée. Elle lie principalement les entités disposant d'un établissement ou d'une activité dans l'UE. Un hôpital purement suisse ne relève pas de NIS2, mais des obligations de notification suisses ISG/BACS. Un partenaire sérieux tient ces deux mondes distincts et ne les confond pas en un vague « NIS2 s'applique à tous ». Tout aussi important : les exigences de cybersécurité du MDR/IVDR sont déjà en vigueur, tandis que le CRA s'applique de manière échelonnée en 2026/2027 (vérifier les dates au cas par cas) et que la révision totale de la LDEP est prévue ou en préparation – sans date fixe.

Les données de santé sont des données personnelles particulièrement sensibles. Les questions de maîtrise des données, de sous-traitance, de flux transfrontaliers, de consentement et de protection du secret selon l'art. 321 CP sont au fond des questions juridiques – et non d'abord techniques. Vérifiez donc si votre partenaire apporte une véritable profondeur juridique ou si l'appréciation juridique vous reste sur les bras, à vous ou à votre étude interne.

Un aspect particulier que seules quelques configurations offrent : lorsqu'un conseiller est aussi avocat et conseille en cette qualité, vos déclarations peuvent être soumises au secret professionnel selon l'art. 321 CP. Ce n'est pas une protection générale pour toute activité du cabinet de conseil, mais dans des situations délicates – par exemple lors du traitement d'un incident ou d'une évaluation de risque juridiquement exposée – c'est un avantage réel. Demandez concrètement dans quelles parties du mandat cette protection s'applique et dans lesquelles elle ne s'applique pas.

La santé suisse est multilingue. Qui exploite des sites en Suisse alémanique, en Romandie et au Tessin, travaille avec des partenaires de l'UE ou publie à l'international a besoin de documents, de formations et d'une communication avec les autorités en plusieurs langues. Vérifiez si le partenaire fournit réellement les directives, les analyses d'impact relatives à la protection des données, les contrats de sous-traitance et les formations de sensibilisation en allemand, français et anglais – et de manière professionnellement irréprochable, pas seulement traduits automatiquement.

Le multilinguisme est plus qu'un confort : une déclaration de consentement que le personnel de Romandie ne comprend pas dans sa langue de travail est plus faible, juridiquement et en pratique. Les formations de sensibilisation ne fonctionnent que si elles ont lieu dans la langue des collaborateurs.

Une différence souvent sous-estimée : à la fin, le partenaire livre-t-il seulement un rapport technique de constats – une liste de vulnérabilités avec des scores de gravité – ou un modèle de gouvernance présentable au conseil, qui permet réellement à la direction et au conseil (d'administration ou de fondation) de décider ? Un conseil d'hôpital a besoin de risques exprimés en langage d'affaires et de responsabilité, de mesures priorisées, de responsabilités et d'une décision traçable sur le risque résiduel.

Les deux livrables ont leur raison d'être. Un rapport de constats pur est précieux pour l'équipe technique. Mais lorsque vous devez assumer un devoir de surveillance, bâtir une gouvernance SMSI ou rendre des comptes aux autorités de surveillance, vous avez besoin de la couche de traduction par-dessus. Demandez des exemples de livrables : ressemblent-ils à un journal de pentest, ou à un modèle que vous pouvez porter tel quel devant l'organe ?

Le partenaire revend-il son propre Security Operations Center (SOC), son propre logiciel ou certains produits ? Ce n'est pas mauvais en soi – mais cela crée une incitation structurelle : qui a sa propre solution au portefeuille tend à la recommander même là où un regard neutre aboutirait à une autre conclusion. Un partenaire indépendant, sans SOC propre et sans lien de distribution, peut recommander ce qui est économiquement le plus sensé, y compris des solutions de tiers.

Clarifiez donc ouvertement : le partenaire a-t-il un intérêt financier dans les outils qu'il recommande ? Comment sépare-t-il le conseil de la mise en œuvre ? L'indépendance est un critère de qualité dur, précisément lors du choix de prestataires et d'outils. Elle rend la recommandation crédible.

L'honnêteté fait partie de l'aide à la décision. Si votre besoin premier est l'exploitation continue 24/7 – surveillance permanente, alerte, réponse technique en temps réel aux incidents, tests pratiques sur les dispositifs médicaux, le firmware ou l'IoMT – alors un grand fournisseur orienté exploitation, disposant de son propre SOC managé et d'une équipe de test spécialisée, est le bon choix. Un partenaire boutique à direction juridique ne remplace pas cette exploitation continue.

À l'inverse, le partenaire à direction juridique fait valoir sa force là où comptent la réglementation intégrée, la profondeur juridique, la gouvernance présentable au conseil et la préparation : accompagnement SMSI et ISO 27001, mandats de protection des données, fonction de vCISO, tests d'intrusion et scans de vulnérabilités, gouvernance de l'IA, ainsi que la préparation des interfaces et des voies d'escalade pour le cas d'urgence. La préparation aux rançongiciels signifie ici : exercices sur table, gouvernance et préparation des voies d'escalade, ainsi que la coordination avec des prestataires externes de réponse aux incidents désignés et des assureurs – et non l'exploitation en temps réel elle-même. Pour les tests pratiques de dispositifs, un partenaire sérieux vous oriente vers un partenaire de test spécialisé. En pratique, de nombreuses organisations de santé combinent les deux : l'exploitant pour l'exploitation continue, le partenaire à direction juridique pour la gouvernance, le droit et la préparation.

Utilisez cette checklist lors de l'entretien de sélection :

• Intégration : nLPD/RGPD, ISG/BACS ou NIS2, LDEP, MDR/CRA et AI Act sont-ils pensés dans un seul modèle – et proprement délimités ?
• Profondeur juridique : y a-t-il une véritable compétence juridique, et dans quelles parties du mandat le secret professionnel selon l'art. 321 CP s'applique-t-il ?
• Langues : le partenaire livre-t-il documents et formations de manière professionnellement irréprochable en DE/FR/EN ?
• Gouvernance : recevez-vous un livrable présentable au conseil – ou seulement un rapport technique de constats ?
• Indépendance : le partenaire revend-il son propre SOC, son logiciel ou des produits ?
• Délimitation : l'exploitation continue (SOC, réponse en temps réel, tests de dispositifs) est-elle clairement séparée de la préparation et de la gouvernance ?
• Références : existe-t-il une expérience démontrable dans la santé ?

SIDD se positionne clairement comme un partenaire boutique indépendant à direction juridique : conseil intégré sur nLPD/RGPD, ISG/BACS, le contexte LDEP, MDR/CRA et l'AI Act, avec une profondeur d'avocat, multilingue en DE/FR/EN et des livrables présentables au conseil. Nous n'exploitons pas de SOC propre et ne revendons pas de produits propres ; les tests pratiques de dispositifs, nous les confions à un partenaire de test spécialisé. Une référence dans le domaine de la santé est Openmedical AG (analyse des flux de données nLPD, des milliers de contrats de sous-traitance, pentests). Plus d'informations sous conseil en protection des données, SMSI/ISO 27001 et tests d'intrusion. Pour un entretien de sélection, contactez-nous via le formulaire de contact ; demandez une offre via notre formulaire d'offre.