Dans la plupart des cabinets, un prestataire informatique externe s’occupe du serveur, du logiciel de gestion du cabinet, du connecteur et du réseau. La direction du cabinet compte sur le bon fonctionnement de l’ensemble. Le plus souvent, c’est d’ailleurs le cas. Ce qui manque, c’est la vue d’ensemble : quelles exigences de la directive s’appliquent à la taille de notre cabinet, lesquelles sont remplies, qui les a vérifiées et quand, et où se trouve la preuve ?
C’est précisément la question qui se pose lorsque l’association régionale des médecins conventionnés (KV) demande des comptes, qu’un incident de protection des données survient, que le cabinet est vendu ou intégré dans un MVZ, ou que l’assurance cyber envoie un questionnaire. Ce qui compte alors, ce n’est pas ce que le prestataire affirme avoir mis en place, mais ce qui peut être prouvé. La responsabilité reste toujours celle du cabinet.
La bonne nouvelle : les exigences sont limitées et concrètes. Antivirus, mises à jour, chiffrement, pare-feu, réseaux séparés, sauvegarde testée, documentation de crise, équipe formée. L’essentiel existe déjà dans les cabinets bien suivis. Il suffit de l’organiser une fois, puis de le tenir à jour.
