Cybersécurité des dispositifs médicaux : les règles en clair

Une pompe à insuline connectée, un moniteur de chevet relié au réseau de l’hôpital, une application de télésurveillance : ces dispositifs médicaux contiennent du logiciel, donc ils peuvent être attaqués comme n’importe quel appareil connecté. La cybersécurité des dispositifs médicaux regroupe les exigences qui s’imposent aux fabricants, aux établissements et aux utilisateurs pour qu’une faille ne mette en danger ni le patient ni ses données. Voici ce que dit le règlement européen, ce que recommandent l’ANSM et la Commission, et ce que cela change pour vous.

Pourquoi la cybersécurité d’un dispositif médical est-elle un sujet à part ?

Parce qu’une faille ne menace pas seulement des données. Elle peut modifier le fonctionnement de l’appareil. L’ANSM l’écrit sans détour : l’exploitation d’une vulnérabilité peut atteindre directement la sécurité des soins et la santé des patients.

L’agence distingue deux notions souvent confondues. La sûreté vise les erreurs accidentelles, comme une panne ou une mauvaise manipulation. La sécurité vise les actions intentionnelles, c’est-à-dire créées pour nuire. Son exemple, le piratage d’une pompe à perfusion avec prise de contrôle à distance peut conduire à une délivrance non voulue de produit ou à une modification des débits.

Le document de l’ANSM rappelle aussi des cas réels. En 2015, le système informatique du service de radiothérapie de Valence a été piraté et les séances ont été stoppées pendant 24 heures. En 2016, une faille a été identifiée dans une pompe à insuline, qui aurait pu permettre de la contrôler à distance. Sur des dispositifs implantables connectés, des failles ont conduit la FDA américaine à ordonner une mise à jour logicielle.

Que dit le règlement européen aux fabricants ?

Le règlement (UE) 2017/745, applicable depuis mai 2021, demande de développer les logiciels « conformément à l’état de l’art », en tenant compte de la gestion des risques et de la sécurité de l’information (annexe I, point 17.2). Le fabricant doit aussi énoncer les exigences minimales de sécurité informatique nécessaires au bon fonctionnement du logiciel (point 17.4).

Le mot « cybersécurité » n’y figure pas explicitement, relève l’ANSM. Ce sont ces exigences de sécurité de l’information et de gestion des risques qui en tiennent lieu.

Exigence	Ce que le texte demande	À qui elle s’adresse
Annexe I, point 17.1	Garantir répétabilité, fiabilité et performances, et réduire les risques en cas de défaut	Fabricants
Annexe I, point 17.2	Développer selon l’état de l’art : gestion des risques, sécurité de l’information, vérification et validation	Fabricants
Annexe I, point 17.4	Énoncer les exigences minimales : matériel, réseaux, mesures de sécurité informatique dont la protection contre l’accès non autorisé	Fabricants, puis utilisateurs via la notice
Vigilance	Signaler tout incident grave et toute mesure corrective de sécurité	Fabricants

Le règlement est complété par des normes techniques, dont l’IEC 81001-5-1 sur la sécurité dans le cycle de vie des logiciels de santé, l’IEC/TR 60601-4-5 ou la série UL 2900, que des organismes comme LCIE proposent d’évaluer. Elles ne remplacent pas le marquage CE, qui reste la condition d’accès au marché européen.

Que recommandent l’ANSM et la Commission européenne ?

L’ANSM a publié le 23 septembre 2022 des recommandations destinées aux fabricants de dispositifs médicaux et de dispositifs de diagnostic in vitro qui intègrent du logiciel. Côté européen, le guide MDCG 2019-16 (révision de juillet 2020) explique comment appliquer l’annexe I. Ce sont des guides, pas des textes de loi : le MDCG précise lui-même que ses vues ne sont pas juridiquement contraignantes.

Étape de vie du logiciel	Ce que recommande l’ANSM
Conception	Analyse de risques cyber intégrée à celle du dispositif, contrôle des accès, authentification, journalisation, fonctionnement en mode dégradé
Développement	Règles de programmation, vérification, démarrage sécurisé, protection de l’intégrité des données sensibles
Mise en service	Gestion des paramétrages initiaux, protection de l’intégrité du dispositif
Après commercialisation	Suivi permanent des vulnérabilités, mise à jour sécurisée avec authentification forte, plan d’action en cas d’alerte
Fin de vie	Anticiper la fin de support des composants tiers, transférer puis effacer les données de façon sécurisée

L’ANSM illustre le décalage de rythme. Un système d’exploitation vit en moyenne 6 à 8 ans, un dispositif médical peut en durer 10. Elle juge inacceptable qu’un fabricant empêche un hôpital de mettre à jour son parc informatique parce que son logiciel ne fonctionne que sur un système obsolète.

Le guide européen, lui, pose deux principes de conception, la sécurité dès la conception (« security by design ») et la défense en profondeur, et détaille ce que le fabricant doit fournir : documentation, notice et informations aux établissements de santé.

Et les établissements de santé, que doivent-ils faire ?

Le règlement ne leur impose rien directement, ses obligations légales visant les fabricants. Le guide MDCG parle en revanche de responsabilité partagée et attend de l’exploitant du dispositif qu’il suive les consignes du fabricant, applique les correctifs prévus, forme son personnel et signale sans délai tout événement de sécurité suspecté.

• isoler le dispositif d’internet s’il n’en a pas besoin pour fonctionner ;
• installer les correctifs selon les instructions du fabricant ;
• ne jamais modifier le dispositif (logiciel tiers, correctif non validé) sans consigne publiée du fabricant ;
• contacter le fabricant si la documentation de sécurité manque.

Les établissements relèvent par ailleurs d’autres cadres. Ils doivent signaler leurs incidents graves au CERT Santé, comme nous l’expliquons dans notre article sur les cyberattaques à l’hôpital. La directive européenne NIS 2, qui range la santé parmi les secteurs hautement critiques, est encore en cours de transposition en France, selon l’ANSSI.

Dernier texte à connaître : le règlement européen sur la cyber-résilience (2024/2847) exclut les dispositifs médicaux déjà couverts par des règlements spécifiques de l’Union, comme le précise EUR-Lex. Le règlement 2017/745 reste donc la référence.

Qu’est-ce que la cybersécurité des dispositifs médicaux change pour le patient ?

Dans la plupart des cas, rien à régler vous-même : la sécurité se joue chez le fabricant et dans l’établissement. Le guide européen attend toutefois des patients quelques gestes simples : suivre la notice, installer les mises à jour demandées et signaler tout comportement anormal.

• garder le logiciel de l’appareil et de l’application à jour ;
• utiliser des mots de passe suffisamment complexes ;
• désactiver les fonctions que vous n’utilisez pas ;
• sécuriser le téléphone ou la tablette qui sert d’interface, et sauvegarder vos données.

Ne modifiez jamais un réglage de votre dispositif de votre propre initiative. En cas de doute ou de comportement inhabituel, contactez le service ou le professionnel qui vous suit, et le 15 en cas d’urgence.

La notice doit d’ailleurs vous indiquer que tout incident grave doit être notifié au fabricant et à l’autorité compétente. Vous pouvez signaler un événement indésirable que vous suspectez d’être lié à un dispositif médical sur le portail officiel, indique l’ANSM. Pour distinguer les objets réellement médicaux des autres, notre article sur les objets connectés de santé fait le tri.

Questions fréquentes sur la sécurité des dispositifs médicaux

Un dispositif médical peut-il vraiment être piraté ?

Des vulnérabilités ont été identifiées, et l’ANSM en cite des exemples sur une pompe à insuline et sur des dispositifs implantables, corrigés pour certains par une mise à jour logicielle. L’enjeu des règles actuelles est de réduire ce risque dès la conception.

Mon application de santé est-elle un dispositif médical ?

Certaines, oui : les logiciels et applications que leur fabricant destine à des fins médicales sont qualifiés de dispositifs médicaux et marqués CE, d’après l’ANSM. Beaucoup d’applications de bien-être n’en sont pas. Nos critères pour choisir une application santé fiable aident à les distinguer.

Que doit faire un fabricant quand une faille est découverte ?

L’ANSM recommande un suivi permanent des vulnérabilités, la diffusion de bulletins de sécurité pour les failles critiques et un plan d’action documenté. Après une attaque, le dispositif doit rester sûr pour le patient, avec un mode dégradé si besoin, par exemple un débit préprogrammé et une alerte pour une pompe à insuline.

Qui surveille ces dispositifs en France ?

Les dispositifs sont marqués CE au titre des règlements européens et entrent dans le champ de surveillance de l’ANSM. Les fabricants doivent lui signaler les incidents graves, et les professionnels comme les patients peuvent le faire.