Healthcare-cio 2026 : orchestrer ePA, EHDS et NIS2 simultanément

19.03.2026

7 min de lecture

EHDS, DMP, NIS2 : trois réglementations qui vont transformer en profondeur le numérique en santé d’ici 2029. Et trois réglementations dont la mise en œuvre incombera souvent à une seule et même personne dans de nombreux établissements : le DSI. Celui qui n’orchestrera pas stratégiquement cette triple charge perdra non seulement sa conformité, mais aussi sa marge de manœuvre pour les cinq prochaines années.

L’essentiel en bref

DMP : 40 % en phase pilote, pénalités à partir de 2026. Jusqu’à 2 % de décote sur la facturation par cas pour les établissements qui ne se digitalisent pas dans les délais (enquête éclair DKI, mars 2026).
EHDS : échange des données patients à l’échelle européenne d’ici 2029. Le règlement est en vigueur depuis mars 2025. HL7 FHIR devient la norme d’interopérabilité obligatoire.
NIS2 : obligation de déclaration depuis décembre 2025. Les établissements de santé et fabricants de MedTech de plus de 50 salariés doivent signaler les incidents cyber sous 24 heures. Aucun délai de transition.
Réalité budgétaire : le fonds KHZG épuisé. Les 4,3 milliards d’Euro de subventions sont attribués. Ce qui vient maintenant doit être financé sur le budget opérationnel.
Le DSI stratégique orchestre au lieu de réagir. Celui qui traite le DMP, l’EHDS et la NIS2 comme trois projets distincts échouera. Les synergies résident dans des architectures communes.

Trois réglementations, une seule fenêtre temporelle

Cette simultanéité n’a rien de fortuit. L’Europe digitalise son système de santé à marche forcée, et l’Allemagne doit rattraper son retard. L’indice Digital-Health de la Fondation Bertelsmann place l’Allemagne à la 16ᵉ place sur 17 pays de l’OCDE. Ces trois réglementations visent à combler ce retard par des obligations contraignantes.

Pour le DSI d’un hôpital de taille moyenne (400 à 800 lits), cela signifie : un budget informatique qui n’a pas augmenté, une équipe qui n’a pas grossi, et trois chantiers réglementaires majeurs à boucler avant 2029. Le pilote du DMP est déjà en cours, l’EHDS impose des standards d’interopérabilité, et la NIS2 exige des structures de cybersécurité que la plupart des établissements n’ont pas.

2026

Pénalités DMP + NIS2

2027

AI Act Haut Risque

2029

EHDS Utilisation Primaire

DMP : les bases techniques encore fragiles

L’enquête éclair DKI de mars 2026 révèle que 40 % des établissements sont en phase pilote, et 90 % ont commencé la mise en œuvre technique. Pourtant, 43 % n’envisagent un déploiement à l’échelle de l’hôpital qu’à partir du troisième trimestre 2026. Dans le même temps, les décotes pour non-digitalisation s’appliquent depuis janvier : jusqu’à 2 % par cas facturé si cinq services numériques obligatoires ne sont pas commandés.

Pour le DSI, le DMP n’est pas un projet terminé. Il en constitue la pierre angulaire, sur laquelle s’appuieront l’EHDS et la NIS2. Celui qui finalise aujourd’hui l’intégration du DMP dans son SGL doit demain ouvrir ces mêmes interfaces pour l’échange transfrontalier de données de l’EHDS. Et après-demain, s’assurer que ces interfaces sont sécurisées conformément à la NIS2. Ces trois réglementations ne sont pas des voies parallèles. Elles forment les couches d’un même système.

EHDS : l’interopérabilité devient obligatoire

L’Espace européen des données de santé exige que les données des patients soient disponibles dans des formats structurés et interopérables. HL7 FHIR s’impose comme la norme contraignante. D’ici mars 2029, les résumés de patients et les e-prescriptions devront être accessibles au-delà des frontières. D’ici 2031, s’y ajouteront l’imagerie médicale et les lettres de sortie.

La question stratégique pour le DSI : dois-je investir maintenant dans une mise à niveau du SIS qui ne gère que le DMP, ou dans une architecture basée sur FHIR, capable de répondre simultanément aux exigences du DMP et de l’EHDS ? La solution moins coûteuse à court terme (un correctif pour le DMP) deviendra plus onéreuse à moyen terme, car elle devra être repensée en 2028. La stratégie « FHIR-first » coûte plus cher au départ, mais évite une seconde refonte.

« Le grand défi consiste à réunir techniquement et réglementairement les données issues de différents secteurs. »

– Sebastian C. Semler, directeur général de la TMF e.V. (Symposium national sur la santé numérique, 2025)

NIS2 : la cybersécurité devient une responsabilité de direction

La loi de transposition de la directive NIS2 est entrée en vigueur le 6 décembre 2025 – sans période de transition. Les hôpitaux et les fabricants de MedTech comptant au moins 50 salariés sont classés comme « entités importantes ». Le délai d’enregistrement auprès du BSI a expiré le 6 mars 2026. Ceux qui ne se sont pas enregistrés enfreignent déjà la loi en vigueur.

Les exigences sont substantielles : une gestion documentée des risques informatiques incluant une évaluation de la chaîne d’approvisionnement, une obligation de signalement des incidents cyber dans un délai de 24 heures, une formation personnelle des dirigeants en cybersécurité et un système d’information pour les patients concernés. Amende en cas de manquement : jusqu’à 10 millions d’euros.

Pour le DSI, cela signifie que la cybersécurité n’est plus un sujet annexe qu’il traite en marge de ses activités quotidiennes. C’est une responsabilité de direction assortie d’une responsabilité personnelle des dirigeants. La panne de la TI en février 2026, lorsqu’une alerte d’un détecteur de fumée à Francfort a paralysé l’ensemble de l’infrastructure télématique pendant huit heures, montre que la surface d’attaque s’élargit avec chaque nouvelle interface numérique.

La stratégie d’orchestration : des synergies plutôt que des silos

Le DSI stratégique ne traite pas le DMP, l’EHDS et la NIS2 comme trois projets distincts, mais comme un programme d’architecture unique avec trois couches de conformité. Les synergies sont considérables :

Couche de données commune : FHIR, en tant que format unifié, répond à la fois aux exigences de connexion au DMP et à l’échange de données de l’EHDS. Un seul format, deux réglementations.

Gestion des risques commune : La NIS2 impose une gestion des risques informatiques. Le règlement IA (à partir de 2027) exige une gestion des risques spécifique à l’IA. Les deux peuvent être intégrés dans un cadre conforme à la norme ISO 27001, qui couvre également les exigences du MDR pour les dispositifs médicaux connectés.

Infrastructure commune : La connexion sécurisée à l’infrastructure télématique (DMP), aux passerelles EHDS et aux systèmes de déclaration NIS2 peut reposer sur la même architecture réseau. Construire trois infrastructures distinctes triple les coûts et la complexité.

Le KHZG a alloué 4,3 milliards d’euros, mais les fonds sont répartis. Ce qui vient maintenant – conformité EHDS, mise en œuvre de la NIS2, gouvernance de l’IA – doit être financé sur le budget opérationnel. Pour le DSI, c’est un argument de poids en faveur de la stratégie d’orchestration : un programme intégré n’est pas seulement plus élégant sur le plan technique, il est aussi 30 à 40 % moins coûteux que trois projets parallèles distincts.

Questions fréquentes

Quelles sont les échéances clés pour les DSI du secteur de la santé ?

2026 : pénalités de numérisation du DMP + enregistrement NIS2 (déjà échu). 2027 : exigences à haut risque de l’AI Act (août). 2029 : utilisation primaire de l’EHDS – résumés patients échangeables dans toute l’UE. 2031 : imagerie médicale et comptes-rendus de sortie.

Les établissements de santé peuvent-ils mettre en œuvre les trois régulations dans un seul programme ?

Oui, et ils le devraient. FHIR, en tant que format de données commun, sert à la fois le DMP et l’EHDS. Une gestion intégrée des risques selon la norme ISO 27001 couvre NIS2, l’AI Act et le MDR. L’infrastructure pour la connexion au TI, les passerelles EHDS et les systèmes de déclaration peut être construite conjointement.

Que risque-t-on en cas de violation de NIS2 ?

Des amendes pouvant aller jusqu’à 10 millions d’Euro. La direction générale engage sa responsabilité personnelle pour le respect des règles. Les incidents cybernétiques doivent être signalés dans un délai de 24 heures. Depuis le 6 décembre 2025, la loi de transposition de NIS2 s’applique sans période de transition.

Où se situe l’Allemagne dans le comparatif international ?

16ᵉ place sur 17 dans l’indice de santé numérique de la Fondation Bertelsmann. Seulement 43 % des institutions allemandes sont connectées à la colonne vertébrale nationale selon Black Book Research (moyenne UE : 58 %, Finlande : 97 %).