Informatique de santé : la NEN 7510 pour médecins, dentistes et pharmaciens

Si vous travaillez dans un cabinet de médecine générale, un cabinet dentaire ou une pharmacie, l'informatique n'est plus un sujet secondaire. Les données de santé sont les données personnelles les plus sensibles qui soient, et le secteur de la santé est une cible prioritaire des rançongiciels. Dans cet article, vous découvrirez comment organiser l'informatique et la sécurité de l'information d'une petite structure de soins, ce que la norme NEN 7510 exige concrètement, comment vous conformer à la Wegiz et pour quels postes prévoir un budget.

Pourquoi l'informatique de santé diffère de celle d'une PME classique

Une PME moyenne peut survivre à un incident cyber au prix d'une perte de productivité et d'une déclaration de sinistre auprès de son assureur. Dans le secteur de la santé, c'est différent. Si le dossier patient ou le HIS (le logiciel métier du cabinet médical) tombe en panne, les consultations ou la délivrance des ordonnances peuvent littéralement s'arrêter. En cas de fuite, il s'agit de données sensibles, pour lesquelles le RGPD impose un régime renforcé. Et si vous utilisez une infrastructure partagée (le LSP, le point d'échange national néerlandais des données de santé, des réseaux de soins, des chaînes de transmission vers la pharmacie ou l'hôpital), votre incident touche directement d'autres acteurs.

Les chiffres le confirment. Z-CERT, le centre d'expertise en cybersécurité du secteur de la santé néerlandais, évalue le niveau de menace lié aux rançongiciels et à l'extorsion par fuite de données comme « élevé ». Dans les établissements de santé européens, une hausse de 25 % des incidents de rançongiciel a été observée en 2024. En 2025, au moins dix grandes organisations de santé néerlandaises ont subi une cyberattaque, dont un incident d'ampleur chez Clinical Diagnostics Nederland, prestataire de la chaîne de soins, au cours duquel les données de 485 000 participants ont fuité.

En résumé : l'informatique de santé est une discipline à part, avec sa propre norme, sa propre législation et sa propre approche.

NEN 7510 : de quoi s'agit-il et qui est concerné ?

NEN 7510 est la norme néerlandaise de sécurité de l'information dans le secteur de la santé. Elle transpose la logique de l'ISO 27001 au monde des soins, avec des mesures de sécurité supplémentaires adaptées au traitement des données médicales.

NEN 7510 est obligatoire pour tous les établissements et professionnels de santé qui traitent des données de patients (électroniques). Le périmètre est plus large que ce que pensent de nombreux cabinets :

• Hôpitaux et cliniques.
• Cabinets de médecine générale et maisons médicales de garde.
• Cabinets dentaires et réseaux de soins bucco-dentaires.
• Pharmacies et cabinets médicaux dispensant des médicaments.
• Établissements de santé mentale, de protection de l'enfance et de soins à domicile.
• Professionnels de santé indépendants qui traitent eux-mêmes des données de patients.

La base légale découle de la Wabvpz (loi néerlandaise portant dispositions complémentaires sur le traitement des données personnelles dans les soins) et de la Wkkgz (loi néerlandaise sur la qualité, les plaintes et les litiges dans les soins). Depuis 2024, les organisations sont auditées selon la nouvelle version NEN 7510-1:2024.

Un détail important : les fournisseurs informatiques qui servent ces structures de santé sont souvent concernés de manière indirecte. Les assureurs santé et les réseaux de coopération régionaux exigent de plus en plus la certification NEN 7510 comme condition pour bénéficier de services ou de financements. Dans la pratique, la NEN 7510 devient ainsi incontournable en 2026 pour pratiquement tout prestataire de soins professionnel.

Ce que la NEN 7510 exige concrètement

La norme s'articule autour d'un système de management de la sécurité de l'information (SMSI, ou ISMS en anglais). Le terme impressionne plus qu'il ne le devrait : il s'agit en réalité d'un ensemble de politiques, de procédures et d'enregistrements que vous tenez à jour de façon cohérente.

Pour un petit cabinet de santé, cela se résume à :

• Une politique de sécurité de l'information. Un document qui précise qui est responsable, ce que vous protégez et comment.
• Une analyse des risques. À quels risques votre cabinet est-il exposé (rançongiciel, perte d'un appareil, menace interne, défaillance d'un fournisseur) et que faites-vous pour y remédier ?
• La gestion des accès. Qui peut consulter quelles données de patients ? Distinguez le médecin, l'assistant(e), l'infirmier(ère) de pratique en santé mentale et le personnel administratif. Revue annuelle des accès.
• Des procédures de gestion des incidents. Que faire en cas d'incident de sécurité, qui prévient qui, comment l'enregistrer ?
• La sensibilisation. Tous les collaborateurs suivent régulièrement une formation sur le phishing, l'hygiène des mots de passe et le traitement des données de patients.
• La sauvegarde et la restauration. Sauvegarder de manière démontrable et tester régulièrement que vous pouvez restaurer un dossier.
• La gestion des fournisseurs. Éditeur du HIS, logiciel de gestion de pharmacie, logiciel de gestion du cabinet dentaire, hébergement de la messagerie : tous avec un contrat de sous-traitance et une évaluation périodique.

Pour un petit cabinet, le SMSI peut rester simple, pourvu qu'il soit proportionné et efficace. Inutile de bâtir le SMSI d'un hôpital. Pour aller plus loin, lisez notre guide complet de l'ISO 27001 pour les PME ; la démarche est très proche.

Combien coûte la certification NEN 7510 ?

Pour les petites structures de santé, le coût total de la certification NEN 7510 la première année se situe grosso modo entre 3 000 et 8 000 €. Ce montant comprend les frais d'audit, le temps de préparation et un éventuel accompagnement externe pour la mise en place du SMSI. Les audits de surveillance des années suivantes coûtent généralement entre 1 500 et 2 500 € par an pour un petit cabinet.

Un parcours de certification dure en général 4 à 8 mois à compter du début de la mise en œuvre pour une petite structure de santé. Cela inclut la rédaction de la politique, l'analyse des risques, la formation de sensibilisation et la constitution du dossier documentaire.

Méfiez-vous des acteurs qui promettent une « conformité NEN 7510 complète » pour quelques centaines d'euros par mois. Le contenu du SMSI relève de votre propre responsabilité, pas de celle d'un outil ou d'un fournisseur.

La Wegiz : la standardisation des échanges de données

Outre la NEN 7510, la Wegiz (loi néerlandaise sur l'échange électronique de données dans les soins) est en vigueur depuis le 1er juillet 2023. Il s'agit d'une loi-cadre : elle ne fixe pas elle-même ce qui doit obligatoirement se faire par voie numérique, mais habilite le ministre à imposer des échanges de données spécifiques par AMvB (décret d'application).

Le premier décret porte sur le transfert des informations de médication. Un décret sur les transmissions infirmières est attendu en 2026. Pour les médecins généralistes, la Wegiz signifie qu'à terme les données transmises à la pharmacie et à l'hôpital devront passer par des profils standardisés (normes Nictiz). Il en va de même pour les pharmacies ; pour les dentistes, la loi joue un rôle moins direct, mais elle les concerne indirectement via leurs partenaires de la chaîne de soins.

Concrètement : vérifiez que votre HIS, votre logiciel de pharmacie ou votre logiciel de gestion de cabinet évolue avec les standards de la Wegiz. Les éditeurs qui prennent du retard sur ce point deviendront un boulet d'ici quelques années.

Le poste de travail sécurisé pour le secteur de la santé

Le poste de travail moderne d'un cabinet de santé associe le HIS ou le logiciel de gestion du cabinet à Microsoft 365 ou Google Workspace, en appui pour l'administration et la communication. Qu'est-ce qui rend un tel poste conforme à la NEN 7510 ?

• La MFA partout. Y compris pour le HIS lui-même et pour l'accès à distance. Voir Déployer la MFA dans votre entreprise.
• Les rôles et les droits. Distinguez le médecin, l'assistant(e), l'infirmier(ère) de pratique et le personnel administratif. Chacun reçoit les droits minimaux qu'exige son rôle.
• La sécurité des terminaux. Chaque appareil (PC de bureau, ordinateur portable, tablette) est géré avec chiffrement, application des correctifs et supervision centralisée. Pour en savoir plus : gestion des terminaux et MDM.
• Une communication sécurisée. L'e-mail classique n'est pas acceptable pour des données de patients. Utilisez ZorgMail, une solution de messagerie sécurisée ou des portails sécurisés. Pour la communication interne, pas de WhatsApp avec des données de patients : utilisez des canaux qui répondent de manière démontrable aux exigences.
• Une sauvegarde avec copie immuable. Sauvegarde quotidienne, au moins 30 jours de rétention, test de restauration annuel et une copie immuable ou hors ligne contre les rançongiciels. Voir la stratégie de sauvegarde complète pour les PME.
• Le cloisonnement des données de patients. Les dossiers restent dans le HIS, pas sous forme de copies éparpillées dans la messagerie ou OneDrive.

Pour la plupart des petits cabinets, tout cela est réalisable sans refondre entièrement l'infrastructure ; c'est avant tout une question de bonne politique et de bonne gestion. Pour aller plus loin : aménager un poste de travail moderne pour les PME.

Les rançongiciels dans la santé : pourquoi ils font si souvent mouche

Les groupes de rançongiciels choisissent des victimes pour lesquelles le temps vaut de l'argent et dont la disponibilité conditionne, indirectement, des vies humaines. Cela fait du secteur de la santé une cible où la propension à payer est élevée.

Les points de la chaîne d'attaque sur lesquels vous pouvez agir sont prévisibles :

• L'intrusion par phishing : à traiter avec une formation de sensibilisation et un filtrage avancé des e-mails.
• Les déplacements au sein du réseau : à traiter avec la segmentation, le principe du moindre privilège et des solutions EDR.
• Le chiffrement des sauvegardes : à traiter avec une copie immuable et une sauvegarde hors ligne.
• L'exfiltration de données à des fins d'extorsion : à traiter avec des contrôles DLP et de la supervision.

Le nœud du problème : chacune de ces couches est faible si vous n'en mettez en place qu'une seule. Pour approfondir l'approche, consultez la protection contre les rançongiciels pour les PME.

NIS2 et le secteur de la santé

NIS2 (transposée aux Pays-Bas par la Cyberbeveiligingswet, la loi néerlandaise sur la cybersécurité) touche le secteur de la santé plus fortement que beaucoup d'autres. Les établissements de santé qualifiés d'entités essentielles ou importantes y sont soumis, avec des obligations en matière de gestion des risques, de notification des incidents et de redevabilité. La NEN 7510 constitue une bonne base pour NIS2, mais ne couvre pas automatiquement toutes ses obligations.

Pour un petit cabinet de médecine générale ou un cabinet dentaire, la qualification d'entité essentielle n'est généralement pas en jeu ; pour les chaînes de pharmacies et les groupements de soins, elle l'est. Un doute ? Consultez notre guide complet de NIS2 pour les PME.

Un plan pragmatique pour un petit cabinet de santé

Si vous ne pouvez pas encore démontrer votre conformité à la NEN 7510 :

1. État des lieux initial. Passez la norme en revue avec un pilote externe ou interne. Pour chaque mesure, notez : conforme, partiellement conforme, non conforme. Chaque non-conformité devient une action.
2. Politique et analyse des risques. Formalisez la politique de sécurité de l'information, identifiez les risques et associez-y des mesures.
3. Gains rapides sur le plan technique. MFA partout, correctifs à jour, gestionnaire de mots de passe, EDR ou détection managée. Voir la checklist cybersécurité pour les PME.
4. Sauvegarde et test de restauration. Rétention, copie immuable, exercice démontrable.
5. Sensibilisation. Tout le monde, chaque année, de manière démontrable. Les simulations de phishing en font partie.
6. Audit des fournisseurs. Éditeur du HIS, messagerie, logiciel de gestion du cabinet, radiologie dentaire, logiciel de pharmacie : tous avec un contrat de sous-traitance à jour et une évaluation périodique.
7. Parcours de certification. Choisissez un organisme certificateur et planifiez l'audit.

Cela peut sembler beaucoup, mais la plupart de ces étapes relèvent d'une mise en place unique ; ensuite, il s'agit d'un rythme annuel.

Questions fréquentes sur l'informatique et la NEN 7510 dans la santé

La NEN 7510 est-elle obligatoire pour mon cabinet de médecine générale, mon cabinet dentaire ou ma pharmacie ? Oui. Aux Pays-Bas, la NEN 7510 est obligatoire pour tous les établissements et professionnels de santé qui traitent des données de patients électroniques. Cela comprend les cabinets de médecine générale, les cabinets dentaires, les pharmacies, les hôpitaux, les établissements de santé mentale, les soins à domicile et la protection de l'enfance. Les professionnels de santé indépendants qui traitent eux-mêmes des données de patients sont également concernés. Dans la pratique, les assureurs santé et les réseaux de coopération exigent souvent la certification.

Combien coûte la certification NEN 7510 pour un petit cabinet ? Pour une petite structure de santé, le coût total de la première année se situe grosso modo entre 3 000 et 8 000 €, audit, préparation et éventuel accompagnement externe compris. Ensuite, un audit de surveillance annuel coûte généralement entre 1 500 et 2 500 €. Le parcours dure en général 4 à 8 mois.

Quelle est la différence entre la NEN 7510 et l'ISO 27001 ? La NEN 7510 est la norme néerlandaise de sécurité de l'information dans la santé, avec des mesures supplémentaires spécifiquement adaptées au traitement des données médicales. L'ISO 27001 est la norme internationale de sécurité de l'information en général. Pour le secteur de la santé néerlandais, c'est la NEN 7510 qui fait référence. Les organisations actives à l'international ou rattachées à un groupe peuvent combiner les deux.

Qu'est-ce que la Wegiz et concerne-t-elle mon cabinet ? La Wegiz, la loi néerlandaise sur l'échange électronique de données dans les soins (en vigueur depuis le 1er juillet 2023), est une loi-cadre qui permet de rendre obligatoires certains échanges électroniques de données. Le premier décret d'application porte sur le transfert des informations de médication ; un décret sur les transmissions infirmières est attendu en 2026. Pour les médecins généralistes, les pharmacies et les hôpitaux, cela signifie que les données doivent transiter par des profils standardisés. Pour les cabinets dentaires, son impact est plus indirect.

En tant que médecin généraliste ou dentiste, puis-je envoyer des données de patients par e-mail classique ? Non, pas sans mesures complémentaires. L'e-mail classique n'offre pas une sécurité démontrable suffisante pour des données sensibles. Utilisez ZorgMail, une solution de messagerie sécurisée conforme aux exigences ou un portail patient sécurisé.

Quels sont les principaux risques informatiques pour le secteur de la santé en 2026 ? Les rançongiciels restent la menace numéro un. S'y ajoutent les attaques de la chaîne d'approvisionnement via les prestataires de la chaîne de soins (l'incident Clinical Diagnostics de 2025 a touché 485 000 personnes), le phishing visant les collaborateurs, la perte ou le vol d'appareils contenant des données de patients en local, et une gestion des fournisseurs défaillante qui laisse s'infiltrer des vulnérabilités via le HIS ou le logiciel de gestion du cabinet.

Conclusion

L'informatique de santé n'est pas un sujet secondaire. La NEN 7510 est obligatoire et appliquée de plus en plus strictement lors des audits et des partenariats, la Wegiz renforce les exigences en matière d'échange de données et la menace des rançongiciels reste élevée. Pour autant, l'essentiel de la mise en place est tout à fait gérable pour un petit cabinet si vous l'abordez comme un rythme annuel plutôt que comme un projet ponctuel.

En tant que partenaire informatique, TRON Group accompagne médecins généralistes, dentistes, pharmacies et groupements de soins pour trouver un équilibre réaliste entre conformité NEN 7510 et pratique quotidienne : état des lieux initial, poste de travail géré, communication sécurisée, supervision EDR et audit périodique des fournisseurs inclus. Vous voulez savoir où en est votre cabinet et quelle est la prochaine étape ? Découvrez notre approche de l'informatique pour le secteur de la santé ou appelez-nous au +31 85 303 5869 pour un échange sans engagement. Moving IT Forward, y compris dans les soins primaires et secondaires.