Directive européenne NIS2 : Guide pratique de conformité pour les organisations pharmaceutiques et des sciences de la vie

La cybersécurité est devenue discrètement l’un des enjeux de conformité les plus pressants de l’industrie pharmaceutique. Les systèmes de production sont perturbés par des ransomwares. Les bases de données des essais cliniques sont ciblées pour le vol de propriété intellectuelle. Les plateformes de sérialisation sont mises hors ligne lors d’une attaque, rompant les chaînes d’approvisionnement du jour au lendemain. L’UE a reconnu ce risque croissant et y a répondu par la Directive NIS2, une mise à niveau significative du cadre Network and Information Security qui a des conséquences directes et de grande portée pour le secteur pharmaceutique.

NIS2 (Directive 2022/2555) est entrée en vigueur le 16 janvier 2023, et les États membres de l’UE devaient la transposer en droit national d’ici le 17 octobre 2024. Pour les fabricants pharmaceutiques, les entreprises de biotechnologie, les fabricants de dispositifs médicaux et les organisations sous contrat opérant dans l’UE, il ne s’agit plus d’une considération future. L’application est active, les obligations sont contraignantes et la direction générale est personnellement tenue responsable.

Ce guide explique ce que NIS2 signifie spécifiquement pour le secteur des sciences de la vie, de la sécurité des systèmes GxP aux obligations de notification en pharmacovigilance.

Pourquoi l’industrie pharmaceutique ne peut pas considérer NIS2 comme une simple réglementation informatique de plus

L’industrie pharmaceutique opère déjà sous l’un des environnements réglementaires les plus exigeants au monde, avec les GMP, GCP, GDP, les lignes directrices ICH, les attentes de l’EMA et les exigences d’intégrité des données qui imposent de fortes demandes aux équipes qualité et informatiques. NIS2 ajoute une nouvelle couche, mais il croise aussi des obligations que les entreprises pharmaceutiques ont déjà.

Un incident de cybersécurité dans une organisation pharmaceutique n’est pas simplement un problème informatique. Il peut déclencher une dérogation GMP si les systèmes d’exécution de la fabrication (MES) sont compromis. Il peut affecter l’intégrité des données électroniques des essais cliniques, soulever des questions de conformité GCP et, dans les pires cas, impacter la sécurité des patients si les systèmes de libération des produits ou les plateformes de surveillance de la chaîne du froid sont désactivés. NIS2 formalise le devoir de protéger ces systèmes et de signaler lorsqu’un incident survient.

Ransomware, vol de PI, attaques sur la chaîne d’approvisionnement, le secteur pharmaceutique est déjà une cible de choix. Voici à quoi ressemble réellement le paysage des menaces.

→ Lire : Cybersécurité dans l'industrie pharmaceutique | 5 menaces que vous ne pouvez pas ignorer

Quelles organisations pharmaceutiques relèvent de NIS2 ?

NIS2 classe les organisations en deux niveaux selon le secteur et la taille.

Entités essentielles dans le secteur pharmaceutique incluent :

1. Fabricants de produits pharmaceutiques et d'API (active pharmaceutical ingredients), en particulier ceux dont la perturbation aurait un impact significatif sur la santé publique
2. Fabricants de dispositifs médicaux critiques (classe IIa, IIb et III selon le MDR de l'UE)
3. Fournisseurs de soins de santé, y compris les hôpitaux, qui gèrent des sites d'essais cliniques

Entités importantes dans le secteur pharmaceutique incluent :

1. Fabricants de dispositifs médicaux en dessous du seuil critique
2. Organisations de fabrication sous contrat (CMO) et organisations de développement et de fabrication sous contrat (CDMO)
3. Organisations de recherche sous contrat (CRO) gérant des données cliniques et les opérations des essais
4. Grossistes et distributeurs pharmaceutiques soumis aux obligations de GDP
5. Instituts de recherche et entreprises de biotechnologie au-dessus du seuil de taille

Le seuil général de taille correspond aux organisations comptant 50 employés ou plus et un chiffre d’affaires annuel supérieur à 10 millions d’euros. Cependant, pour certains secteurs, en particulier ceux dont la perturbation pourrait avoir des conséquences immédiates sur la santé publique, les autorités nationales peuvent appliquer NIS2 indépendamment de la taille.

NIS2 vs obligations réglementaires pharmaceutiques existantes : leurs recoupements

Ce chevauchement est à la fois une opportunité et une responsabilité. Les entreprises pharmaceutiques qui disposent déjà de systèmes de gestion de la qualité matures ont une base sur laquelle s'appuyer. Cependant, la NIS2 exige une gouvernance de la cybersécurité formalisée qui va au‑delà de ce que la plupart des cadres QMS demandent actuellement.

Systèmes GxP critiques directement impactés par la NIS2

Les organisations pharmaceutiques s'appuient sur des systèmes numériques interconnectés qui sont désormais explicitement inclus dans le périmètre de la NIS2. Ceux‑ci comprennent :

1. Systèmes d'exécution de la fabrication (MES) — contrôlent directement la fabrication par lots et sont soumis à l'Annexe 11 des BPF ; une attaque par ransomware affectant le MES peut arrêter la production et entraîner des non‑conformités aux BPF
2. Systèmes de gestion de l'information de laboratoire (LIMS) — contiennent les données d'analyses et les décisions de libération ; l'intégrité des données LIMS est une préoccupation directe pour l'intégrité des données.
3. Systèmes électroniques de gestion des documents (EDMS) — contiennent les SOP, les protocoles de validation et les dossiers réglementaires.
4. Dossiers maîtres d'essai électroniques (eTMF) — documentation des essais cliniques que les autorités peuvent inspecter à tout moment
5. Bases de données de pharmacovigilance — les interruptions ou violations des systèmes PV peuvent retarder les soumissions ICSR et les rapports PSUR/PBRER.
6. Plateformes de sérialisation et de traçabilité — requises en vertu de la Directive européenne sur les médicaments falsifiés ; une défaillance de cybersécurité ici a des conséquences directes sur la chaîne d'approvisionnement et la conformité
7. ERP et systèmes de gestion de la chaîne d'approvisionnement — régissent les achats, la distribution et le contrôle des stocks

Chacun de ces systèmes doit désormais être évalué, protégé et couvert par un plan documenté de réponse aux incidents conformément à la NIS2.

Chaque outil SaaS GxP dont vous dépendez est désormais une surface de risque NIS2.

Voici comment évaluer les fournisseurs avant qu'ils ne deviennent votre responsabilité.

→ Lire : Choisir le bon fournisseur SaaS GxP | Guide complet

L'obligation de déclaration des incidents — ce que cela signifie pour l'industrie pharmaceutique

La NIS2 introduit un processus structuré de déclaration des incidents en trois étapes que les organisations pharmaceutiques doivent suivre lorsqu'un incident important se produit :

Étape 1 — Alerte précoce (dans les 24 heures) : Informer le CSIRT national compétent ou l'autorité compétente pertinente qu'un incident de cybersécurité significatif s'est produit ou est suspecté.

Étape 2 — Notification de l'incident (dans les 72 heures) : Soumettre une notification complète incluant la nature de l'incident, les systèmes affectés, l'évaluation initiale de l'impact et les indicateurs de compromission.

Étape 3 — Rapport final (dans un mois) : Fournir un rapport d'incident complet couvrant la cause profonde, les actions de remédiation entreprises et toute implication transfrontalière ou en santé publique.

Pour le secteur pharmaceutique, un incident significatif est celui qui cause ou risque de causer une perturbation grave des opérations — ce qui, dans ce secteur, peut signifier un retard de libération de lots, des données cliniques compromises ou une interruption du signalement en pharmacovigilance. Il convient de noter que la notification d'incident au titre de NIS2 s'exécute en parallèle, mais ne remplace pas, les obligations existantes telles que les délais de soumission des ICSR en vertu du droit de la pharmacovigilance, la notification des incidents GDP ou la gestion des écarts GMP.

Responsabilité de la direction : ce que les dirigeants pharmaceutiques doivent désormais assumer

NIS2 impose une responsabilité juridique directe aux organes de gouvernance, ce qui, dans une entreprise pharmaceutique, signifie le conseil d'administration, le CEO, le Chief Quality Officer et les dirigeants équivalents. En vertu de NIS2, ces personnes doivent :

1. Approuver formellement les mesures de gestion des risques cybersécurité de l'organisation
2. Superviser la mise en œuvre et maintenir une vigilance continue
3. Suivre régulièrement des formations en cybersécurité pertinentes pour leur rôle

Si un incident significatif survient et qu'il peut être démontré que la haute direction n'a pas mis en œuvre des mesures adéquates ou a ignoré des risques connus, les autorités nationales peuvent tenir ces personnes personnellement responsables. Dans les cas graves, des interdictions temporaires d'exercer des fonctions de direction peuvent être imposées.

Pour les entreprises des sciences de la vie, cela place la cybersécurité au même niveau que les GMP et l'intégrité des données en tant que question de gouvernance au niveau du conseil, et non comme quelque chose pouvant être entièrement délégué à l'informatique ou au CISO.

Liste de contrôle NIS2 spécifique à la pharma

1.  Déterminer si votre organisation est qualifiée d'entité Essentielle ou Importante en vertu de la loi de transposition de votre État membre.
2.  S'enregistrer auprès de l'autorité nationale compétente si nécessaire
3.  Attribuer au niveau du conseil la responsabilité de la gestion des risques cybersécurité
4.  Réaliser une évaluation formelle des risques couvrant tous les systèmes informatisés pertinents pour les GxP (MES, LIMS, eTMF, bases de données PV, ERP)
5.  Cartographier les exigences de sécurité NIS2 par rapport à l'annexe 11, ICH Q9 et aux contrôles du QMS existants, identifier les écarts
6.  Établir ou mettre à jour une procédure de réponse aux incidents de cybersécurité alignée sur les délais de notification 24 heures/72 heures/1 mois
7.  Évaluer le risque cyber des tiers et de la chaîne d'approvisionnement, y compris les CMOs, CDMOs, CROs et les fournisseurs de services cloud
8.  Mettre en place l'authentification multifactorielle sur tous les points d'accès aux systèmes critiques
9.  Revoir la documentation CSV/CSA pour s'assurer que les exigences de sécurité sont intégrées dans les cycles de validation
10.  Mettre à jour vos plans de continuité d'activité et de reprise après sinistre pour traiter spécifiquement les perturbations liées à la cybersécurité
11.  Fournir une formation documentée en cybersécurité à l'ensemble du personnel, avec un contenu spécifique aux rôles pour la haute direction
12.  Considérer l'interaction entre la notification d'incident NIS2 et les obligations existantes de notification en pharmacovigilance, GDP et écarts GMP

Sanctions et application

Les autorités nationales disposent désormais de pouvoirs de supervision actifs. Les entités essentielles sont soumises à une supervision proactive (ex ante) ; des audits et inspections peuvent avoir lieu à tout moment sans attendre un incident. Les entités importantes sont soumises à une supervision réactive (ex post), généralement déclenchée par un incident ou des preuves de non-conformité.

Les amendes administratives maximales sont :

1. Entités essentielles : jusqu'à €10,000,000 ou 2% du chiffre d'affaires mondial annuel total (selon le montant le plus élevé)
2. Entités importantes : jusqu'à €7,000,000 ou 1.4% du chiffre d'affaires mondial annuel total (selon le montant le plus élevé)

Au-delà des pénalités financières, une constatation de non-conformité à NIS2 par un régulateur pourrait soulever des préoccupations lors des inspections GMP ou GDP, en particulier lorsque le manque de cybersécurité affecte directement l'intégrité des données ou de la chaîne d'approvisionnement.

Le point de départ pratique

Pour la plupart des organisations pharmaceutiques, la première étape la plus efficace est une évaluation structurée des écarts qui cartographie les contrôles actuels de cybersécurité par rapport aux exigences NIS2 et recoupe les obligations GxP existantes. De nombreux éléments constitutifs — gestion des risques, contrôle des changements, qualification des fournisseurs, validation et formation — existent déjà au sein d'un QMS bien géré. La tâche consiste à les étendre et à les formaliser pour répondre aux exigences spécifiques de NIS2.

Engager tôt le dialogue avec votre autorité nationale compétente est également conseillé. Plusieurs États membres de l'UE ont publié des orientations sectorielles pour les organisations de santé et pharmaceutiques, et certains proposent des outils d'auto-évaluation pour aider à déterminer l'applicabilité et le périmètre.

FAQ

1. NIS2 s'applique-t-elle aux entreprises pharmaceutiques ?

Oui. Les fabricants pharmaceutiques, les fabricants de dispositifs médicaux, les CMO, CDMO et CRO opérant dans l'UE sont couverts par NIS2 en tant qu'entités Essentielles ou Importantes, en fonction du secteur et de la taille.

2. Quelle est la relation entre NIS2 et l'annexe 11 des GMP en pharma ?

NIS2 et l'annexe 11 se recoupent significativement — les deux traitent de la sécurité des systèmes informatisés, des contrôles d'accès et de l'intégrité des données. NIS2 étend ces obligations à la gouvernance formelle de la cybersécurité, à la notification des incidents et à la responsabilité au niveau du conseil.

3. Quels systèmes GxP sont les plus à risque au titre de NIS2 ?

Les systèmes d'exécution de la fabrication (MES), les LIMS, les bases de données de pharmacovigilance, les eTMF, les plateformes de sérialisation et les systèmes ERP sont tous dans le périmètre et doivent être couverts par des mesures documentées de sécurité et de réponse aux incidents.

4. Quels sont les délais de déclaration NIS2 pour un incident cyber ?

Les organisations doivent soumettre une alerte précoce dans les 24 heures, une notification complète de l’incident dans les 72 heures, et un rapport final détaillé dans le mois suivant la détection d’un incident significatif.

5. Les dirigeants d’entreprises pharmaceutiques peuvent-ils être tenus responsables personnellement en vertu de NIS2 ?

Oui. La NIS2 instaure une responsabilité personnelle directe pour la haute direction, y compris les membres du conseil d’administration, qui omettent d’approuver et de superviser des mesures de cybersécurité adéquates. Dans les cas graves, des interdictions temporaires d’exercer des fonctions de direction peuvent être imposées.