Un hôpital moderne exploite rarement moins d'une centaine de fournisseurs externes de logiciels et d'infrastructure : le système d'information hospitalier (SIH), le système d'information de laboratoire (SIL), le PACS de radiologie, le logiciel de prescription, le portail patient, les sauvegardes cloud, les accès de télémaintenance des fabricants de dispositifs médicaux, les prestataires de facturation et des dizaines d'outils SaaS. Chacun de ces fournisseurs est un vecteur d'entrée potentiel – et en même temps un point de défaillance unique. Les plus grands incidents cyber du secteur de la santé de ces dernières années ne provenaient que rarement d'une attaque directe contre l'hôpital lui-même ; ils remontaient à un prestataire compromis, à un système tiers vulnérable ou à un fournisseur cloud dont la panne a paralysé l'activité clinique.

Le risque de chaîne d'approvisionnement et de tiers est ainsi le plus grand angle mort de la gestion des risques de nombreux établissements de santé. Il constitue en même temps une obligation réglementaire expresse – via l'art. 21, par. 2, lit. d NIS2, via l'art. 9 nLPD et l'art. 28 RGPD pour la sous-traitance, ainsi que via les mesures A.5.19 à A.5.23 de l'ISO/IEC 27001:2022.

Cet article couvre :

• Pourquoi les fournisseurs cloud, DEP et MedTech relèvent juridiquement de votre propre responsabilité.
• Comment structurer la due diligence fournisseur avant la signature.
• Comment la hiérarchisation des risques pilote la profondeur de l'examen.
• Quels contrôles contractuels et quels éléments du contrat de sous-traitance sont impératifs.
• Comment intégrer la gestion des fournisseurs au SMSI (A.5.19–A.5.23).
• Comment un séquestre auprès d'un tiers de confiance sécurise la continuité en cas de défaillance d'un fournisseur logiciel critique.
• Comment un vCISO assure la surveillance continue des fournisseurs.

Externaliser une fonction n'externalise jamais la responsabilité. Dans la santé, cela vaut à trois titres. Premièrement, en matière de protection des données : un hôpital ou un cabinet qui fait traiter des données de patients par un prestataire cloud, SIH ou de facturation demeure responsable du traitement au sens de l'art. 5, lit. j nLPD et de l'art. 4, n° 7 RGPD. L'obligation de sécurité des données selon l'art. 8 nLPD et l'art. 32 RGPD reste chez le donneur d'ordre. Une défaillance de sécurité du prestataire est juridiquement votre défaillance.

Deuxièmement, en matière de cybersécurité : dans la mesure où un hôpital relève du champ d'application de la directive NIS2 (directive UE 2022/2555) par un établissement ou des activités dans l'UE, l'art. 21, par. 2, lit. d exige expressément « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». NIS2 est une directive de l'UE que la Suisse n'a pas transposée ; elle ne lie pas directement les hôpitaux purement suisses. Pour ceux-ci s'applique en revanche la loi sur la sécurité de l'information (LSI), avec l'obligation d'annonce auprès de l'OFCS. Les deux régimes doivent être nettement distingués.

Troisièmement, sur le plan opérationnel : une panne du SIH ou du PACS arrête l'activité clinique – avec une pertinence immédiate pour la sécurité des patients. Le risque de tiers n'est donc pas seulement une question de conformité, mais une question de continuité des soins.

La due diligence fournisseur a idéalement lieu avant la signature – et non après le premier incident. Pour les données de santé, un programme d'examen échelonné est recommandé :

• Preuves de sécurité : certificat ISO/IEC 27001:2022 (avec examen de la déclaration d'applicabilité et du périmètre), rapport SOC 2 Type II ou attestation C5. Important : le certificat d'un fournisseur atteste de la maturité du fournisseur. Il ne certifie pas votre propre SMSI.
• Résidence des données : où les données de patients sont-elles stockées et traitées ? Y a-t-il une communication à l'étranger (art. 16 s. nLPD), et existe-t-il un niveau de protection adéquat ou une garantie appropriée ?
• Sous-traitance ultérieure : quels sous-traitants le fournisseur emploie-t-il (hyperscalers, partenaires de support, télémaintenance) ? Chaque sous-traitant ultérieur étend la chaîne.
• Gestion des vulnérabilités : processus de correctifs, rapports de tests d'intrusion, divulgation coordonnée selon l'ISO/IEC 29147 et, pour les produits, une nomenclature logicielle (SBOM) au format CycloneDX ou SPDX.
• Stabilité opérationnelle : solidité financière, RTO/RPO, plan de continuité d'activité, concept de sortie et de restitution des données.

Les simples auto-déclarations (questionnaires de sécurité fournisseur remplis sans vérification externe) ne suffisent plus pour les fournisseurs de santé critiques. Exigez des preuves objectives et documentez l'évaluation. La documentation fait partie de votre obligation de rendre compte.

Une centaine de fournisseurs ne peuvent pas tous être examinés à la même profondeur. La hiérarchisation des risques pilote l'effort selon la criticité. Un modèle à trois niveaux éprouvé pour les établissements de santé :

• Niveau 1 – critique : fournisseurs dont la défaillance arrête immédiatement l'activité clinique, ou qui ont un accès direct à de grands volumes de données de santé sensibles (SIH, SIL, PACS, raccordement DEP, plateforme cloud primaire). Due diligence complète, audit ou revue de preuves annuel, prévoyance de continuité (séquestre), contrôles contractuels stricts.
• Niveau 2 – important : fournisseurs ayant accès aux données de patients mais sans arrêt opérationnel immédiat en cas de défaillance (facturation, portail patient, logiciels spécialisés). Due diligence standardisée, revue de preuves périodique.
• Niveau 3 – support : fournisseurs sans accès aux données de patients et sans pertinence pour l'activité clinique (facility, outils bureautiques généraux). Examen léger, auto-évaluation suffisante.

Le classement devrait combiner au moins deux axes : la sensibilité au regard de la protection des données (quelles données de santé et en quelle quantité) et la criticité opérationnelle (quelles conséquences une panne aurait sur les soins). La hiérarchisation est documentée dans le registre des fournisseurs et révisée au moins une fois par an – en particulier lorsqu'un fournisseur prend en charge de nouvelles catégories de données ou fonctions.

Le contrat est l'instrument de pilotage le plus important pour le risque de tiers. Pour les fournisseurs de santé, deux niveaux contractuels doivent être nettement séparés : le contrat de sous-traitance selon l'art. 9 nLPD et l'art. 28 RGPD, et les clauses générales de sécurité et de niveau de service.

Selon l'art. 9 nLPD, le contrat de sous-traitance doit notamment prévoir que le sous-traitant n'agit que sur instruction, garantit la sécurité des données selon l'art. 8 nLPD, ne recourt à des sous-traitants ultérieurs qu'avec autorisation et restitue ou efface les données à la fin du mandat. Selon l'art. 28 RGPD, pour les traitements concernant l'UE s'ajoutent d'autres contenus obligatoires (assistance pour les droits des personnes concernées, pour les AIPD, pour les obligations d'annonce). Un contrat NIS2 ou un contrat fournisseur général n'est pas automatiquement un contrat de sous-traitance valable. Les deux doivent être modélisés séparément.

En complément, le contrat devrait contenir : des délais d'annonce d'incident avec une définition claire de la notion d'incident à annoncer, un droit d'audit ou d'inspection (ou le droit de mandater un tiers indépendant), des SLA de correctifs et de vulnérabilités, l'autorisation de sous-traitance ultérieure assortie d'une obligation de répercussion identique, des exigences de chiffrement et d'accès, ainsi que des clauses de sortie avec restitution des données, effacement sécurisé et assistance à la migration. N'acceptez pas les contrats standards sans examen. Votre propre bibliothèque de clauses avec des positions de référence crée une sécurité de négociation.

La gestion des fournisseurs n'est pas un projet ponctuel mais un processus continu du SMSI. L'ISO/IEC 27001:2022 traduit le risque de tiers à travers cinq mesures connexes :

• A.5.19 – Sécurité de l'information dans les relations avec les fournisseurs : les processus et politiques fondamentaux de gestion des risques découlant des relations fournisseurs.
• A.5.20 – Sécurité de l'information dans les accords conclus avec les fournisseurs : l'ancrage contractuel des exigences de sécurité – le pont direct vers le contrat de sous-traitance et les clauses de sécurité.
• A.5.21 – Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC : le pilotage de l'ensemble de la chaîne, y compris les sous-fournisseurs et la provenance des composants (SBOM).
• A.5.22 – Surveillance, revue et gestion des changements des services fournisseurs : la surveillance continue – revues de preuves, contrôle des SLA, réaction aux changements chez le fournisseur.
• A.5.23 – Sécurité de l'information pour l'utilisation de services cloud : la mesure centrale pour les scénarios DEP et cloud – délimitation des responsabilités, résidence des données, sortie.

Qui met en œuvre ces mesures de manière opérationnelle satisfait simultanément le cœur des exigences NIS2 relatives à la chaîne d'approvisionnement et des obligations de sous-traitance de la nLPD. Le registre des fournisseurs, la hiérarchisation, les dossiers de due diligence et la matrice de contrôle contractuel sont les artefacts démontrables qu'un auditeur souhaite voir.

Le risque de tiers le plus grave n'est pas la fuite de données, mais la défaillance totale d'un fournisseur logiciel critique : insolvabilité, cessation d'activité, rachat avec arrêt du produit ou litige contractuel escaladé. Si le SIH ou un module clinique spécialisé se retrouve soudain sans support du fabricant, la continuité des soins est menacée.

Un séquestre de logiciel et de données auprès d'un tiers de confiance répond précisément à ce scénario. Auprès d'un agent dépositaire neutre sont déposés le code source, les instructions de compilation, la documentation et – dans le modèle étendu – des exports de données actuels. Des événements déclencheurs définis (insolvabilité, absence de support, rupture de contrat) donnent à l'hôpital un accès encadré pour poursuivre l'exploitation avec un partenaire tiers ou réaliser une migration ordonnée. La vérification est décisive : un dépôt qui n'a jamais été contrôlé quant à son exhaustivité et à sa capacité de fonctionnement est sans valeur le moment venu.

SIDD propose un rôle fiduciaire pour les données de santé et les logiciels de santé critiques : nous concevons le modèle de séquestre et de continuité, définissons les déclencheurs et les droits d'accès et mettons en place la vérification périodique du dépôt. Plus d'informations sous Tiers de confiance. La prestation est un module à prix fixe ; les conditions sont précisées sur demande après un cadrage.

SIDD met en place pour les établissements de santé un programme de gestion du risque de tiers de bout en bout : du registre des fournisseurs avec hiérarchisation des risques aux dossiers de due diligence et à la bibliothèque de contrats de sous-traitance et de contrôles contractuels, jusqu'à l'ancrage dans le SMSI selon les mesures A.5.19–A.5.23. Nous combinons à cet effet une profondeur juridique (art. 8 et 9 nLPD, art. 28 et 32 RGPD, logique de chaîne d'approvisionnement NIS2, LSI/OFCS) avec une compétence d'examen technique : tests d'intrusion et analyses de vulnérabilités servent de preuves objectives – voir SMSI & ISO 27001 et test d'intrusion.

Pour que la gestion des fournisseurs ne s'endorme pas après le projet, notre CISO/RSI externe assure la surveillance continue des fournisseurs : revues de preuves périodiques, contrôle des SLA et des correctifs, re-hiérarchisation en cas de changement, tenue du registre et préparation des preuves d'audit fournisseur. Plus d'informations sous CISO/RSI externe. Lorsqu'un avocat de SIDD conseille en qualité d'avocat, vos indications peuvent être couvertes par le secret professionnel selon l'art. 321 CP.

Écrivez-nous via /kontakt pour un premier entretien sans engagement ou demandez sous /offerte une proposition sur mesure. Pour des modules clairement délimitables – registre des fournisseurs, bibliothèque de contrats de sous-traitance, mise en place d'un séquestre – vous recevez après un appel de cadrage une offre écrite avec options à prix fixe.