Loi, directive et annexes : comment tout s’articule
La loi elle-même ne contient aucun détail technique. Le § 390 SGB V charge l’Association fédérale des médecins conventionnés et l’Association fédérale des chirurgiens-dentistes conventionnés de fixer les exigences dans une directive, en accord avec le BSI et en concertation avec d’autres instances. La directive doit être adaptée à l’état de l’art et est donc régulièrement mise à jour. Pour les cabinets médicaux et de psychothérapie, c’est la directive de la KBV qui s’applique, pour les cabinets dentaires celle de la KZBV. Toutes deux suivent la même logique, mais diffèrent par leur structure et leurs détails. C’est toujours la version de votre association fédérale qui fait foi.
La directive de la KBV se compose d’un texte principal et d’annexes. Les annexes contiennent les exigences proprement dites, échelonnées selon le type de cabinet : ce qui s’applique à tout cabinet, ce qui s’y ajoute pour les cabinets de taille moyenne et ce que les grands cabinets doivent remplir en plus. D’autres annexes concernent les gros équipements médicaux et les composants décentralisés de l’infrastructure télématique. Les exigences se cumulent ; un grand cabinet remplit donc aussi toutes les exigences des types plus petits.
La dernière version révisée de la KBV est entrée en vigueur le 1er avril 2025 ; les nouvelles exigences devaient être mises en œuvre dans un délai de six mois. La révision met l’accent sur la sensibilisation et la formation de l’équipe du cabinet, la sauvegarde et la configuration sécurisée de la messagerie. Sightadel traduit les exigences en 49 contrôles et n’affiche que ceux qui s’appliquent au profil de votre cabinet. En cas de nouvelle version, les contrôles sont adaptés et vos preuves existantes sont conservées.
Quel type de cabinet êtes-vous ?
Le classement est la première étape et la plus importante, car il détermine le nombre d’exigences applicables. Ce qui compte, ce n’est ni le nombre total de salariés ni le temps de travail, mais le nombre de personnes durablement chargées du traitement des données des patients. Cela inclut les médecins comme les assistantes et assistants médicaux à l’accueil. Le personnel d’entretien sans accès aux systèmes n’est pas compté.
Jusqu’à cinq de ces personnes, le cabinet est un cabinet au sens de la directive. De six à vingt personnes, c’est un cabinet de taille moyenne. Au-delà, ou lorsque des données sont traitées en volume important, par exemple dans les grands centres de soins ou les laboratoires, c’est un grand cabinet. Indépendamment de cela, les annexes relatives aux gros équipements et aux composants de la TI s’ajoutent si vous en exploitez.
Dans Sightadel, vous renseignez ces informations dans le profil du cabinet. Il en découle automatiquement les contrôles qui s’affichent. Si la taille change, par exemple avec l’arrivée de nouveaux confrères ou un regroupement, vous adaptez le profil et les exigences supplémentaires apparaissent comme points ouverts. Consignez la justification de votre classement afin qu’elle reste traçable.
Coûts et charge pour le cabinet
Il n’existe pas de prix catalogue pour le § 390 SGB V dans Sightadel. Le prix dépend du type de cabinet et du périmètre et fait l’objet d’une offre sur demande. Les prestataires informatiques qui gèrent plusieurs cabinets reçoivent une offre spécifique. Vous pouvez faire un essai gratuit de 14 jours de Sightadel sans données de paiement ; tout ce que vous avez saisi est repris dans l’offre payante.
Les coûts les plus importants concernent généralement la technique et le prestataire. Les postes typiques sont un pare-feu adapté, le remplacement des appareils anciens qui ne sont plus pris en charge par le fabricant, une sauvegarde avec copie hors du réseau du cabinet, le chiffrement des appareils et des supports de données et le temps de travail du prestataire informatique pour la configuration et la documentation. Ces coûts vous sont facturés directement par les prestataires concernés. Si vous cherchez un pare-feu matériel, interrogez-nous sur le forfait adapté.
La charge interne du cabinet reste raisonnable si elle est planifiée : une personne responsable qui suit l’état, un état des lieux avec le prestataire, une instruction de l’équipe et un réexamen régulier. On sous-estime le plus souvent le temps nécessaire pour obtenir les preuves du prestataire. Un accès dédié pour le prestataire dans Sightadel raccourcit ce chemin.
Responsabilité, protection des données et conséquences des lacunes
La directive elle-même ne contient pas de barème d’amendes propre, et aucun contrôle régulier des cabinets par les associations régionales de médecins conventionnés n’est prévu. En conclure que l’obligation n’est pas contraignante serait une erreur. La directive est contraignante pour les cabinets médicaux et dentaires qui participent aux soins conventionnés, et elle précise ce qui constitue une sécurité appropriée.
Cela devient pertinent surtout après un incident. Si un cabinet est chiffré par un rançongiciel ou si des données de patients tombent entre de mauvaises mains, l’autorité de contrôle de la protection des données vérifie si des mesures techniques et organisationnelles appropriées au sens de l’art. 32 RGPD avaient été prises. La directive constitue pour cela une référence évidente. S’y ajoutent d’éventuelles obligations de notification au titre du RGPD, des demandes des patients, des questions de secret médical et, le cas échéant, des conséquences vis-à-vis des assureurs.
À l’inverse, qui peut prouver que les exigences étaient mises en œuvre, la sauvegarde testée et l’équipe instruite est en meilleure position dans chacun de ces échanges. C’est pourquoi un ensemble de preuves propre et daté en vaut la peine. L’appréciation juridique au cas par cas relève de votre conseil juridique ou de votre ordre professionnel ; Sightadel ne fournit pas de conseil juridique.
Travailler avec le prestataire informatique
La plupart des cabinets ne mettent pas en œuvre la directive seuls, mais avec un prestataire informatique ou l’éditeur de leur logiciel de gestion de cabinet. C’est judicieux, mais cela ne transfère pas la responsabilité. Le ou la titulaire du cabinet reste responsable. Une répartition claire est donc importante : ce que le prestataire configure, ce qu’il documente, et ce que le cabinet doit faire lui-même, par exemple les instructions, le plan d’urgence et les règles d’accès.
La KBV certifie des prestataires informatiques qui accompagnent les cabinets dans la mise en œuvre. Un prestataire certifié connaît les exigences. La certification concerne toutefois le prestataire, pas votre cabinet, et ne remplace pas votre propre preuve. Demandez quels contrôles le prestataire prend en charge et quelles preuves il vous fournit.
Dans Sightadel, le prestataire obtient son propre accès. Il renseigne les règles du pare-feu, les niveaux de correctifs, les procès-verbaux de sauvegarde et l’inventaire des appareils directement sur les contrôles correspondants. Vous voyez à tout moment ce qui est fait et ce qui manque. Si un prestataire gère plusieurs cabinets, il travaille partout avec la même structure. Un accord de sous-traitance (art. 28 RGPD) avec le prestataire fait également partie des preuves.
Maintenir l’état : le réexamen au quotidien
De nombreuses exigences ne sont pas des tâches ponctuelles. Les mises à jour doivent être installées en continu, les sauvegardes testées régulièrement, les nouveaux salariés instruits et les comptes des salariés partis bloqués. Si la technique change, par exemple avec un nouveau gros équipement, un nouveau connecteur ou un déménagement, le réseau et la documentation doivent suivre.
Un rythme fixe a fait ses preuves. Chaque mois, le prestataire vérifie les mises à jour et les sauvegardes ; chaque trimestre, une restauration est testée par sondage ; chaque année, l’équipe est instruite, la documentation d’urgence mise à jour et l’état global réexaminé. Pour les cabinets plus importants, un réexamen annuel est expressément prévu.
Dans Sightadel, chaque preuve a une date d’expiration. Lorsqu’elle expire, Sightadel rappelle la personne responsable et le prestataire avant qu’une lacune n’apparaisse. La fiche de preuve avec l’état actuel peut être générée, signée et archivée à tout moment. Lorsque la directive est mise à jour, vous voyez quels contrôles ont été ajoutés.
Si vous voulez aller au-delà du minimum obligatoire, par exemple pour un grand centre de soins susceptible de relever de NIS2, vous vous appuyez sur les mêmes preuves. Dans Sightadel, pare-feu, sauvegarde, plan d’urgence et instruction comptent aussi pour le RGPD, NIS2 et ISO 27001, sans être archivés en double.
