De nouvelles réglementations européennes (EHDS, NIS-2, règlement sur l'IA et CRA) bouleversent complètement les règles d'approvisionnement informatique dans les hôpitaux. Ceux qui achètent de nouveaux systèmes doivent penser à la protection des données, à la sécurité informatique et à la conformité légale dès le départ. Par conséquent, les achats passent d'une simple fonction de commande à un acteur décisionnel clé pour la sécurité juridique au quotidien de la clinique.
Les points clés en un coup d'œil :
- EHDS & MyHealth@EU : Des normes européennes harmonisées obligent les cliniques à adapter leurs systèmes pour l'échange de données transfrontalier.
- Directive NIS-2 : Pratiquement tous les hôpitaux devront prouver leur cybersécurité, et ce, non seulement au sein de leur propre établissement, mais également auprès des prestataires de services externes et des fournisseurs de logiciels.
- Règlement sur l'IA : l'IA médicale est presque toujours considérée comme une technologie à haut risque. Cela entraîne des obligations strictes de contrôle et de documentation pour les opérateurs.
- Loi sur la résilience cybernétique (CRA) : Les fabricants doivent garantir les mises à jour de sécurité. Les cliniques doivent exiger cela de manière contraignante avant l'achat.
- Réinventer les achats : Droit et informatique doivent se réunir tôt, les fournisseurs être rigoureusement contrôlés et les contrats sécurisés sur le long terme.
Les exigences européennes obligent les cliniques à disposer d'un espace de données et d'une cybersécurité.
Selon les informations contenues dans le texte, l'Espace européen des données de santé (EEDS) établit pour la première fois des règles du jeu contraignantes pour l'échange de données de santé dans l'UE. Pour les hôpitaux, cela signifie concrètement que leur informatique devra à l'avenir interagir de manière transparente avec les réseaux de données européens tels que MyHealth@EU et satisfaire à des exigences strictes en matière de protection d'accès et de formats de données.
Parallèlement, la directive NIS 2 resserre l'étau sur la sécurité informatique. Selon le communiqué de presse, cela concernera à l'avenir la quasi-totalité des hôpitaux, quelle que soit leur taille. La cybersécurité devient ainsi une affaire de direction et une obligation organisationnelle. Particulièrement sensible : la responsabilité ne s'arrête pas à sa propre porte, mais inclut toute la chaîne d'approvisionnement numérique, du fournisseur de logiciels au prestataire externe.
Exigences strictes pour l'intelligence artificielle et les produits numériques
Selon les dispositions de la proposition, le règlement européen sur l'IA classe généralement les systèmes d'IA médicale comme des applications à haut risque. Pour les cliniques, cela signifie qu'elles ne sont plus seulement des utilisatrices, mais qu'elles ont des obligations en tant qu'exploitantes. Elles doivent garantir la transparence, la qualité des données et une supervision humaine en cours d'exploitation. Seuls les produits entièrement certifiés peuvent être achetés.
En complément, le Cyber Resilience Act (CRA) responsabilise les fabricants de matériel et de logiciels. Selon le communiqué de presse, les fournisseurs devront fournir des mises à jour de sécurité pour leurs produits tout au long de leur cycle de vie. Les acheteurs des hôpitaux devront donc examiner attentivement, avant même la conclusion d'un contrat, si un fournisseur est capable d'assumer ces tâches continues, afin d'éviter d'éventuels pièges en matière de responsabilité.
L'achat en clinique comme nouvel instrument de pilotage stratégique
Pour gérer ce règlement au quotidien, les auteurs conseillent un changement de cap clair dans le département des achats. Le savoir-faire juridique et technique doit être présent dès le premier jour de la planification des besoins. Des contrôles de conformité stricts, des preuves de sécurité et des garanties de mise à jour claires doivent devenir la norme dans chaque procédure d'attribution.
Selon les rapports, les contrats d'achat classiques ne suffisent plus. Les contrats doivent prévoir des obligations à long terme – telles que des obligations claires de notification en cas d'urgence, des droits d'audit et des scénarios de sortie réglementés. Avec des directives internes claires et des listes de contrôle, l'approvisionnement passe ainsi du goulot d'étranglement bureaucratique à un levier central pour une numérisation sécurisée des cliniques.