NIS2 et dispositifs médicaux : fabricants essentiels ou importants ?

Un client vous envoie son certificat ISO 13485 et demande : « Nous sommes donc couverts ? » C'est un fabricant de diagnostic in vitro de la région lyonnaise, 180 salariés. Le certificat ne dit rien de NIS2.

La réglementation produit et la cybersécurité de l'organisation sont deux régimes distincts. Le MDR et l'IVDR encadrent le dispositif. NIS2 encadre l'entreprise qui le fabrique. Si vous accompagnez des fabricants de dispositifs médicaux sous NIS2, vous devez savoir, client par client, dans quelle annexe il se trouve. Cela fixe le modèle de supervision, le plafond d'amende et la pression d'audit.

Pharma et dispositifs médicaux : deux annexes

NIS2 (directive (UE) 2022/2555) place les entités life sciences à deux endroits.

Annexe I, secteur 5 (santé) couvre notamment :

• les fabricants de produits pharmaceutiques de base et de préparations pharmaceutiques ;
• les entités exerçant des activités de recherche et développement de médicaments ;
• les laboratoires de référence de l'UE ;
• les fabricants de dispositifs médicaux considérés comme critiques en cas d'urgence de santé publique, c'est-à-dire figurant sur la liste prévue à l'article 22 du règlement (UE) 2022/123.

Annexe II, secteur 5 (fabrication de certains produits critiques) couvre les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro qui ne figurent pas sur cette liste d'urgence.

Essentielle ou importante : la taille tranche

Selon l'article 3, une grande entité d'un secteur de l'annexe I est essentielle. Une entité moyenne de l'annexe I est importante. Toute entité entrant dans le champ de l'annexe II est importante.

Client	Annexe	Classement typique
Grand fabricant pharmaceutique	I	Essentielle
Société moyenne de R&D de médicaments	I	Importante
Grand fabricant de dispositifs de la liste d'urgence	I	Essentielle
Fabricant de DIV de taille moyenne	II	Importante
Grand fabricant de dispositifs médicaux courants	II	Importante

La taille découle de la recommandation 2003/361/CE : moyenne signifie au moins 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires ou de total de bilan. Les petites et microentreprises sont en principe exclues, avec des exceptions étroites.

Ne supposez pas qu'un fabricant de dispositifs relève de l'annexe I. La plupart non. La liste d'urgence ne devient pertinente qu'après reconnaissance d'une urgence de santé publique ; le client type relève de l'annexe II.

France : la loi n'est pas encore en vigueur

La France n'a pas achevé la transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, était inscrit à l'ordre du jour de l'Assemblée nationale le 7 octobre 2026. À la date de rédaction, son adoption définitive n'est pas confirmée : considérez-le comme non en vigueur. La Commission a saisi la Cour de justice de l'UE le 8 juillet 2026 pour défaut de transposition.

Concrètement : l'ANSSI reste l'autorité de référence, et le référentiel ReCyF donne déjà la direction (voir la loi NIS2 française et le ReCyF). Mais vos clients ne sont pas à l'abri. Un fabricant français qui vend à un client soumis à NIS2 dans un autre État membre reçoit les exigences par contrat, au titre de la chaîne d'approvisionnement. Et un groupe avec une usine en Allemagne ou en Italie est déjà directement concerné là-bas. Pour savoir quelle autorité supervise quelle entité, voir l'article 26.

Que la loi française soit adoptée ou non, les obligations de fond ne changent pas : article 21 pour les mesures, article 23 pour la notification. Les deux catégories ont les mêmes devoirs ; ce qui diffère, c'est la supervision et les sanctions. Les entités essentielles font l'objet d'une supervision proactive, les entités importantes d'une supervision réactive. L'article 34 prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions ou 1,4 % pour les entités importantes.

Une supervision réactive n'est pas une supervision indulgente. Quand le fabricant d'une pompe à perfusion connectée subit un rançongiciel, « importante » ne console guère.

Ce que révèle un audit chez un client life sciences

Les systèmes qualité sont matures. La gouvernance de sécurité, rarement.

Réseaux OT et laboratoires. Lignes de production, salles blanches et instruments tournent sur des systèmes anciens impossibles à patcher au rythme IT. La segmentation est la mesure réaliste. Voir NIS2 pour l'industrie : la frontière IT/OT.

Systèmes validés. La validation des systèmes informatisés fige les versions logicielles. Les équipes y voient une raison de ne pas patcher. NIS2 attend un processus documenté de gestion des vulnérabilités avec mesures compensatoires, pas du silence.

Risque fournisseurs. Façonniers, CRO, LIMS en cloud et éditeurs relèvent de l'article 21, paragraphe 2, point d). Un accord qualité n'est pas une évaluation de sécurité.

Responsabilité de la direction. L'article 20 rend l'organe de direction responsable de l'approbation et du suivi des mesures. Le responsable qualité ne peut pas signer à sa place.

Sécurité produit n'est pas sécurité d'entreprise. Les exigences MDR et IVDR sur la cybersécurité du dispositif portent sur le cycle de vie du produit. Elles ne fournissent ni processus d'incident pour le réseau de l'entreprise, ni enregistrement, ni alerte précoce sous 24 heures.

La notification s'ajoute à la matériovigilance

Un incident significatif déclenche une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Ces délais sont distincts des déclarations de matériovigilance. Un même événement peut déclencher les deux.

Construisez un seul playbook : qui décide du caractère significatif, qui notifie l'autorité, qui fait la déclaration de vigilance. Testez-le une fois. Détail des délais dans NIS2 : 24 heures, 72 heures, 1 mois.

Où en sont les autres États

L'Allemagne, l'Italie, la Pologne et les Pays-Bas ont des lois en vigueur ; la France et l'Espagne ont été saisies devant la CJUE en juillet 2026. Un fabricant multi-sites peut relever de plusieurs régimes à la fois.

À faire ce mois-ci

1. Listez les personnes morales. NIS2 s'applique par entité, pas par marque de groupe.
2. Classez chaque entité selon les annexes I et II, puis appliquez le critère de taille.
3. Vérifiez si un produit figure sur la liste d'urgence.
4. Confirmez l'enregistrement dans chaque pays où l'entité opère.
5. Cartographiez les écarts face aux dix mesures de l'article 21, en commençant par la chaîne d'approvisionnement et la gestion des vulnérabilités.

Pour un point de départ rapide et défendable, commencez par une évaluation de maturité. Lancez le Quick Scan NIS2 gratuit et vous obtenez une analyse des écarts à présenter à la direction.

Classez le client, trouvez les écarts, traitez d'abord chaîne d'approvisionnement et vulnérabilités. C'est là que les fabricants perdent le plus de points d'audit.