- Code de la santé publique
- ...
- Partie réglementaire
- Première partie : Protection générale de la santé
- Livre Ier : Protection des personnes en matière de santé
- Titre Ier : Droits des personnes malades et des usagers du système de santé
- Chapitre Ier : Informations des usagers du système de santé et expression de leur volonté
- Section 1 : Principes généraux
Sous-section 4 : Catégories d'incidents, conditions et modalités de mise en œuvre du signalement des incidents significatifs ou graves de sécurité des systèmes d'information
I.-La déclaration des incidents graves de sécurité des systèmes d'information prévue par l'article L. 1111-8-2 est destinée à :
1° Fournir aux autorités compétentes de l'Etat les informations nécessaires pour décider des mesures de prévention en matière de sécurité des systèmes d'information ou permettant d'assurer la continuité de la prise en charge sanitaire ;
2° Aider les établissements de santé, organismes et services exerçant des activités de prévention, de diagnostic ou de soins à prendre toute mesure utile pour prévenir la survenue d'incidents significatifs ou graves de sécurité des systèmes d'information ou en limiter les effets.
II.-Sont considérés comme incidents significatifs ou graves de sécurité des systèmes d'information les événements générateurs d'une situation exceptionnelle au sein d'un établissement, organisme ou service, et notamment :
-les incidents ayant des conséquences potentielles ou avérées sur la sécurité des soins ;
-les incidents ayant des conséquences sur la confidentialité ou l'intégrité des données de santé ;
-les incidents portant atteinte au fonctionnement normal de l'établissement, de l'organisme ou du service ;
-les incidents ayant un retentissement potentiel ou avéré sur l'organisation départementale, régionale ou nationale du système de santé ;
-les incidents susceptibles de toucher d'autres établissements, organismes ou services.
III.-Parmi les incidents graves de sécurité des systèmes d'information, sont jugés significatifs les incidents ayant un retentissement potentiel ou avéré sur l'organisation départementale, régionale ou nationale du système de santé et les incidents susceptibles de toucher d'autres établissements, organismes ou services.
I.-La déclaration des incidents significatifs ou graves de sécurité des systèmes d'information, sans préjudice des autres déclarations obligatoires, est effectuée sans délai par le directeur de l'établissement de santé, de l'organisme ou du service exerçant des activités de prévention, de diagnostic ou de soins, de l'établissement médico-social ou la personne déléguée à cet effet, auprès du groupement d'intérêt public mentionné à l'article L. 1111-24.
Le groupement d'intérêt public assure :
-l'analyse des incidents significatifs ou graves de sécurité des systèmes d'information et la proposition des mesures à prendre pour faire face à cet incident ;
-l'appui de la structure déclarant l'incident. Il peut formuler des recommandations et notamment proposer des mesures d'urgence pour limiter l'impact de celui-ci, des mesures de remédiation ainsi que des mesures destinées à améliorer la sécurité du ou des systèmes d'information concernés ;
-la relation avec l'Agence nationale de sécurité des systèmes d'information, notamment en cas d'incident concernant un opérateur de service essentiel ou qui pourrait avoir un impact de portée nationale ;
-la prévention des incidents, en organisant les retours d'expérience au niveau national, et la proposition de mesures d'aide au traitement des incidents ;
-la gestion et la mise en œuvre du traitement de données à caractère personnel relatif aux signalements, dont les caractéristiques sont précisées par un arrêté du ministre chargé de la santé.
Le groupement d'intérêt public informe sans délai le service du haut fonctionnaire de défense et de sécurité des ministères sociaux de tout signalement analysé. Il informe également sans délai les services compétents de la direction générale de la santé, ainsi que les agences régionales de santé concernées, de tout signalement susceptible d'avoir un impact sanitaire direct ou indirect, notamment en cas de dysfonctionnement de l'offre de soins.
Le groupement d'intérêt public est informé sans délai de la résolution des incidents par l'une des personnes mentionnées au premier alinéa du présent I.
Il établit, au vu des informations communiquées par les établissements et organismes concernés, un rapport annuel à caractère statistique relatif aux signalements anonymisés des incidents de sécurité des systèmes d'information. Ce rapport est rendu public.
II.-Sous réserve des dispositions relatives à la protection du secret de la défense nationale, la déclaration d'un incident significatif ou grave de sécurité mentionné à l'article L. 1111-8-2 est effectuée via le site internet mentionné à l'article D. 1413-58.
Le déclarant fournit toutes les informations dont il dispose au moment de la découverte de l'incident et notamment les informations suivantes :
-les informations permettant d'identifier la structure concernée par l'incident ainsi que le déclarant ;
-la description de l'incident, notamment la date du constat, le périmètre de l'incident, les systèmes d'information et données concernées et l'état de la prise en charge ;
-la description de l'impact de l'incident sur les données, sur les personnes, sur les systèmes d'information et sur la structure ;
-les causes de l'incident, si celles-ci sont identifiées.
Le groupement d'intérêt public mentionné à l'article L. 1111-24 peut demander à la structure concernée par l'incident toute information complémentaire permettant la qualification de l'incident et la mise en place d'une réponse adaptée.
Pour l'application de la présente sous-section, les établissements de santé, les organismes et services exerçant des activités de prévention, de diagnostic ou de soins mentionnés à l'article D. 1111-16-2 et les établissements médico-sociaux sont :
-les établissements de santé ;
-les hôpitaux des armées ;
-les laboratoires de biologie médicale ;
-les centres de radiothérapie ;
-les établissements médico-sociaux.