Les hôpitaux restent responsables des risques liés à leurs fournisseurs cloud

Le régime de surveillance des tiers critiques de DORA s’applique spécifiquement aux entités financières et aux prestataires TIC désignés comme critiques pour ce secteur. Les hôpitaux ne sont pas directement concernés. Cependant, le schéma qu’il met en lumière s’applique tout autant à la dépendance d’un système de santé vis-à-vis des fournisseurs cloud et IT cliniques : la surveillance réglementaire d’un fournisseur, lorsqu’elle existe, ne transfère jamais la responsabilité du système de santé dans cette relation.

Certains systèmes de santé qui observent cette évolution estiment que la leçon sous-jacente ne les concerne pas, car ils relèvent d’une autre réglementation. Cette hypothèse passe à côté du sujet : le risque de concentration sur un petit nombre de fournisseurs critiques est inhérent à la dépendance à ces fournisseurs, et non une conséquence d’une réglementation précise. Un système de santé peut être totalement hors du champ d’application de DORA et rester dangereusement exposé au même type de défaillance que DORA vise à prévenir.

Résumé Exécutif

Les systèmes de santé qui suivent l’évolution de cadres comme DORA dans les services financiers peuvent en tirer une leçon directe pour leur propre gestion des risques fournisseurs, même sans être concernés : la concentration sur un petit nombre de fournisseurs critiques, et la responsabilité qui en découle, ne disparaît pas parce qu’aucun régulateur externe ne surveille ce fournisseur en particulier. Pour les responsables conformité, la bonne approche consiste à considérer la concentration fournisseur comme un risque à gérer en continu, et non comme une catégorie de conformité réservée à d’autres secteurs.

Points Clés à Retenir

1. Le fait qu’un fournisseur soit soumis à une surveillance externe ne transfère pas la responsabilité du système de santé dans cette relation. L’obligation de comprendre et de gérer le risque incombe au système de santé, quoi qu’il arrive.
2. Les hôpitaux qui dépendent fortement d’un petit nombre de fournisseurs cloud ou IT cliniques portent un risque de concentration, qu’un organisme externe surveille ou non ces fournisseurs.
3. Les régulateurs et les patients attendent de plus en plus des preuves continues de la surveillance des fournisseurs, et non un simple exercice de due diligence lors de la signature du contrat.
4. Tenir un registre des relations fournisseurs et de leur criticité reste pertinent, quelle que soit la réglementation sectorielle, car le risque sous-jacent existe indépendamment de toute réglementation.
5. L’obligation du système de santé de prouver la maîtrise de ses relations fournisseurs ne change jamais, quel que soit le regard extérieur.

Ce que signifie la désignation de tiers critique dans les services financiers

Comprendre pourquoi le mécanisme de DORA existe permet de clarifier pourquoi la leçon sous-jacente s’applique même en dehors du champ de la réglementation. Ce mécanisme offre aux régulateurs une visibilité sur les prestataires dont la défaillance pourrait avoir des conséquences pour de nombreuses entités financières à la fois, en raison de leur impact systémique et de la concentration de la dépendance.

La désignation concerne la concentration systémique, pas le risque individuel d’un fournisseur

Un prestataire est désigné comme critique parce qu’un grand nombre d’entités réglementées en dépendent d’une manière qui pourrait provoquer une perturbation sectorielle. L’exposition propre d’un système de santé à un fournisseur, selon le niveau de dépendance réel, est une question distincte à laquelle aucun mécanisme de désignation, quel que soit le secteur, ne répond à sa place.

Pourquoi votre propre responsabilité ne change jamais

Qu’un régulateur surveille ou non directement un fournisseur, le système de santé qui s’appuie sur ce fournisseur conserve l’entière responsabilité de comprendre ce qui se passe en cas de défaillance. Cela reste vrai quel que soit le secteur d’activité du système de santé.

La surveillance externe d’un fournisseur n’est pas la surveillance de votre contrat

Même lorsqu’un fournisseur fait l’objet d’un contrôle réglementaire poussé dans un autre secteur, ce contrôle porte sur la gestion globale des risques du fournisseur, et non sur le contrat, le plan de sortie ou la dépendance spécifique d’un client. Un système de santé ne peut pas déléguer sa propre due diligence à un régulateur qui n’a jamais examiné la relation réelle avec ce fournisseur.

Le risque de concentration existe indépendamment du périmètre réglementaire

Un système de santé qui dépend d’un petit nombre de fournisseurs pour ses systèmes cliniques, son stockage ou ses communications porte le même risque structurel de concentration qu’une institution financière vis-à-vis de ses prestataires TIC critiques, que la réglementation nomme ou non explicitement ce risque.

À quoi ressemble une bonne gestion des risques fournisseurs, réglementée ou non

Les pratiques qui rendent efficace le régime de gestion des risques tiers de DORA pour les entités financières sont les mêmes qui protègent toute organisation dépendant d’un petit nombre de fournisseurs critiques.

Un registre des relations fournisseurs est un document vivant

Tenir à jour une liste précise des fournisseurs qui soutiennent les fonctions cliniques et administratives, et du degré de criticité de chacun, reste pertinent quelle que soit la réglementation sectorielle, car cet exercice permet d’identifier le risque de concentration avant qu’il ne devienne une crise.

La surveillance doit être continue, pas un exercice ponctuel

Un exercice de due diligence réalisé une seule fois à la signature du contrat n’informe pas le système de santé sur la posture de risque actuelle d’un fournisseur plusieurs années plus tard. Une surveillance continue, même informelle, transforme la relation fournisseur d’une simple hypothèse en un risque réellement géré.

Construire une gestion des risques fournisseurs avant qu’un régulateur ne l’exige

La bonne approche pour un système de santé consiste à développer la même capacité interne qu’une entité financière réglementée : disposer d’une vision actualisée en continu des fournisseurs réellement critiques, du niveau de concentration de cette dépendance et des preuves d’une surveillance continue, le tout dans l’intérêt du système de santé, et non parce qu’une réglementation l’impose.

Comment un Data Control Plane soutient la preuve continue de gestion des risques fournisseurs

Prouver la maîtrise des risques fournisseurs suppose de pouvoir démontrer, en continu, quelles données transitent par quels fournisseurs et canaux, qui y a accédé et dans quelles conditions, plutôt que de se fier aux seules assurances du fournisseur ou à un exercice de due diligence ponctuel.

Le Data Control Plane de Kiteworks applique des contrôles zero-trust à chaque action sur chaque canal, en capturant un journal d’audit infalsifiable et non limité qui s’intègre directement aux outils SIEM, offrant ainsi aux systèmes de santé la preuve de leur propre surveillance fournisseur, indépendamment de tout régime de désignation externe. L’architecture à locataire unique et les clés de chiffrement détenues par le client garantissent en outre que la maîtrise des échanges les plus sensibles ne dépend pas du statut de surveillance d’un tiers.

Les systèmes de santé qui souhaitent découvrir comment la preuve continue soutient leur propre gestion des risques fournisseurs peuvent réserver une démo personnalisée.