![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2026\/02\/BAYOOCARE-Datenschutz-und-IT-Sicherheit-fuer-Medizinprodukte-und-DiGA.jpg\" "\\"BAYOOCARE")
<\/span><\/div><\/div><\/div>Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et DiGA<\/h2><\/div>Les solutions de sant\u00e9 num\u00e9riques font l’objet d’une surveillance particuli\u00e8re : les autorit\u00e9s, les organismes payeurs et les patients attendent les normes les plus \u00e9lev\u00e9es en mati\u00e8re de protection des donn\u00e9es de sant\u00e9 sensibles. BAYOOCARE vous accompagne pour r\u00e9pondre \u00e0 ces exigences de mani\u00e8re syst\u00e9matique et d\u00e9montrable – de la conception initiale \u00e0 l’exploitation courante de vos dispositifs m\u00e9dicaux, logiciels en tant que dispositifs m\u00e9dicaux et applications num\u00e9riques de sant\u00e9. <\/p>\n<\/div>
Contacter maintenant<\/span><\/a><\/div><\/div><\/div><\/div><\/div>Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et DiGA<\/h1><\/div>Les solutions de sant\u00e9 num\u00e9riques font l’objet d’une surveillance particuli\u00e8re : les autorit\u00e9s, les organismes payeurs et les patients attendent les normes les plus \u00e9lev\u00e9es en mati\u00e8re de protection des donn\u00e9es de sant\u00e9 sensibles. BAYOOCARE vous accompagne pour r\u00e9pondre \u00e0 ces exigences de mani\u00e8re syst\u00e9matique et d\u00e9montrable – de la conception initiale \u00e0 l’exploitation courante de vos dispositifs m\u00e9dicaux, logiciels en tant que dispositifs m\u00e9dicaux et applications num\u00e9riques de sant\u00e9. <\/p>\n<\/div>
Contacter maintenant<\/span><\/a><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Votre valeur ajout\u00e9e<\/h2><\/div>Nous vous apportons la s\u00e9curit\u00e9 juridique et la clart\u00e9 organisationnelle. Vous pouvez prouver que vous respectez les exigences du MDR\/IVDR, du RGPD, de la BDSG et, pour les applications num\u00e9riques de sant\u00e9, du DVG, du DiGAV et des directives techniques du BSI. Au lieu de maintenir des syst\u00e8mes parall\u00e8les pour la qualit\u00e9, la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es, vous \u00e9tablissez un syst\u00e8me de gestion int\u00e9gr\u00e9 qui exploite les synergies et \u00e9vite les redondances. Vous r\u00e9duisez les risques de responsabilit\u00e9, renforcez la confiance des patients et augmentez l’acceptation par les organismes payeurs, les organismes notifi\u00e9s et l’Institut f\u00e9d\u00e9ral des m\u00e9dicaments et des dispositifs m\u00e9dicaux. <\/p>\n<\/div>
Exigences r\u00e9glementaires : Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique en tant qu’obligation l\u00e9gale<\/h2><\/div>Dans le secteur de la sant\u00e9, les exigences en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel sont particuli\u00e8rement strictes. Le RGPD d\u00e9finit les donn\u00e9es de sant\u00e9 comme des donn\u00e9es de cat\u00e9gorie sp\u00e9ciale n\u00e9cessitant une protection accrue. Le MDR et l’IVDR exigent explicitement une s\u00e9curit\u00e9 informatique conforme \u00e0 l’\u00e9tat de l’art pour tous les dispositifs m\u00e9dicaux – y compris les logiciels en tant que dispositifs m\u00e9dicaux et les syst\u00e8mes en r\u00e9seau. <\/p>\n
Les applications num\u00e9riques de sant\u00e9 sont soumises \u00e0 des obligations suppl\u00e9mentaires : La loi sur les soins num\u00e9riques et la DiGAV d\u00e9finissent en d\u00e9tail la mani\u00e8re dont la protection et la s\u00e9curit\u00e9 des donn\u00e9es doivent \u00eatre mises en \u0153uvre, du consentement l\u00e9gitime \u00e0 la minimisation des donn\u00e9es, en passant par l’authentification, le cryptage et la journalisation.<\/p>\n<\/div><\/div><\/div>
![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2026\/02\/BAYOOCARE-Datenschutz-und-IT-Sicherheit-als-Pflicht.jpg\" "\\"BAYOOCARE")
<\/span><\/div><\/div><\/div>Depuis le 1er avril 2022, un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information conforme \u00e0 la norme ISO 27001 ou \u00e0 la norme ISO 27001 bas\u00e9e sur IT-Grundschutz (norme BSI 200-2) est requis pour figurer dans l’annuaire DiGA. Le BfArM exige \u00e0 cet effet un certificat correspondant. En outre, depuis le 1er janvier 2025, les fabricants de DiGA doivent satisfaire aux exigences de la directive technique BSI TR-03161 et en apporter la preuve par un certificat. <\/p>\n
Les organismes notifi\u00e9s et les auditeurs attendent une approche syst\u00e9matique conforme aux normes reconnues. Ceux qui ne r\u00e9pondent pas \u00e0 ces exigences risquent des retards d’homologation, des \u00e9carts lors des audits et, dans le pire des cas, des sanctions en vertu du RGPD ou des obligations impos\u00e9es par les autorit\u00e9s de contr\u00f4le. <\/p>\n<\/div><\/div><\/div><\/div><\/div>
Notre approche :
\nGestion int\u00e9gr\u00e9e pour
\nProtection des donn\u00e9es & s\u00e9curit\u00e9 de l’information<\/p><\/h2><\/div><\/div><\/div>
Nous ne consid\u00e9rons pas la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique de mani\u00e8re isol\u00e9e, mais comme une partie int\u00e9grante de votre organisation existante. Notre approche allie conformit\u00e9 r\u00e9glementaire et pragmatisme de mise en \u0153uvre. <\/p>\n<\/div><\/div><\/div>
Analyse de la situation de d\u00e9part et des exigences<\/h3><\/div>Nous clarifions avec vous quelles exigences r\u00e9glementaires et normatives s’appliquent concr\u00e8tement \u00e0 votre portefeuille de produits – par exemple MDR, IVDR, DSGVO, BDSG, DiGAV, directives BSI et normes comme ISO 27001, IEC 81001-5-1, IEC 62304 ou ISO 82304. Sur cette base, nous identifions les lacunes dans les processus, documents et mesures techniques existants et d\u00e9veloppons un plan d’action prioritaire. <\/p>\n<\/div><\/div><\/div>
Mise en place ou extension du syst\u00e8me de gestion<\/h3><\/div>De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2026\/02\/BAYOOCARE-Integriertes-Management-fuer-Datenschutz-und-Informationssicherheit.jpg\" "\\"BAYOOCARE")
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div>![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2026\/02\/BAYOOCARE-Typische-Bausteine-unserer-Leistungen.jpg\" "\\"BAYOOCARE")
<\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2025\/01\/BAYOOCARE-Favicon.png\" "\\"BAYOOCARE")
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Les solutions de sant\u00e9 num\u00e9riques font l’objet d’une surveillance particuli\u00e8re : les autorit\u00e9s, les organismes payeurs et les patients attendent les normes les plus \u00e9lev\u00e9es en mati\u00e8re de protection des donn\u00e9es de sant\u00e9 sensibles. BAYOOCARE vous accompagne pour r\u00e9pondre \u00e0 ces exigences de mani\u00e8re syst\u00e9matique et d\u00e9montrable – de la conception initiale \u00e0 l’exploitation courante de vos dispositifs m\u00e9dicaux, logiciels en tant que dispositifs m\u00e9dicaux et applications num\u00e9riques de sant\u00e9. <\/p>\n<\/div>
Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et DiGA<\/h1><\/div>Les solutions de sant\u00e9 num\u00e9riques font l’objet d’une surveillance particuli\u00e8re : les autorit\u00e9s, les organismes payeurs et les patients attendent les normes les plus \u00e9lev\u00e9es en mati\u00e8re de protection des donn\u00e9es de sant\u00e9 sensibles. BAYOOCARE vous accompagne pour r\u00e9pondre \u00e0 ces exigences de mani\u00e8re syst\u00e9matique et d\u00e9montrable – de la conception initiale \u00e0 l’exploitation courante de vos dispositifs m\u00e9dicaux, logiciels en tant que dispositifs m\u00e9dicaux et applications num\u00e9riques de sant\u00e9. <\/p>\n<\/div>
Contacter maintenant<\/span><\/a><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Votre valeur ajout\u00e9e<\/h2><\/div>Nous vous apportons la s\u00e9curit\u00e9 juridique et la clart\u00e9 organisationnelle. Vous pouvez prouver que vous respectez les exigences du MDR\/IVDR, du RGPD, de la BDSG et, pour les applications num\u00e9riques de sant\u00e9, du DVG, du DiGAV et des directives techniques du BSI. Au lieu de maintenir des syst\u00e8mes parall\u00e8les pour la qualit\u00e9, la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es, vous \u00e9tablissez un syst\u00e8me de gestion int\u00e9gr\u00e9 qui exploite les synergies et \u00e9vite les redondances. Vous r\u00e9duisez les risques de responsabilit\u00e9, renforcez la confiance des patients et augmentez l’acceptation par les organismes payeurs, les organismes notifi\u00e9s et l’Institut f\u00e9d\u00e9ral des m\u00e9dicaments et des dispositifs m\u00e9dicaux. <\/p>\n<\/div>
Exigences r\u00e9glementaires : Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique en tant qu’obligation l\u00e9gale<\/h2><\/div>Dans le secteur de la sant\u00e9, les exigences en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel sont particuli\u00e8rement strictes. Le RGPD d\u00e9finit les donn\u00e9es de sant\u00e9 comme des donn\u00e9es de cat\u00e9gorie sp\u00e9ciale n\u00e9cessitant une protection accrue. Le MDR et l’IVDR exigent explicitement une s\u00e9curit\u00e9 informatique conforme \u00e0 l’\u00e9tat de l’art pour tous les dispositifs m\u00e9dicaux – y compris les logiciels en tant que dispositifs m\u00e9dicaux et les syst\u00e8mes en r\u00e9seau. <\/p>\n
Les applications num\u00e9riques de sant\u00e9 sont soumises \u00e0 des obligations suppl\u00e9mentaires : La loi sur les soins num\u00e9riques et la DiGAV d\u00e9finissent en d\u00e9tail la mani\u00e8re dont la protection et la s\u00e9curit\u00e9 des donn\u00e9es doivent \u00eatre mises en \u0153uvre, du consentement l\u00e9gitime \u00e0 la minimisation des donn\u00e9es, en passant par l’authentification, le cryptage et la journalisation.<\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Depuis le 1er avril 2022, un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information conforme \u00e0 la norme ISO 27001 ou \u00e0 la norme ISO 27001 bas\u00e9e sur IT-Grundschutz (norme BSI 200-2) est requis pour figurer dans l’annuaire DiGA. Le BfArM exige \u00e0 cet effet un certificat correspondant. En outre, depuis le 1er janvier 2025, les fabricants de DiGA doivent satisfaire aux exigences de la directive technique BSI TR-03161 et en apporter la preuve par un certificat. <\/p>\n
Les organismes notifi\u00e9s et les auditeurs attendent une approche syst\u00e9matique conforme aux normes reconnues. Ceux qui ne r\u00e9pondent pas \u00e0 ces exigences risquent des retards d’homologation, des \u00e9carts lors des audits et, dans le pire des cas, des sanctions en vertu du RGPD ou des obligations impos\u00e9es par les autorit\u00e9s de contr\u00f4le. <\/p>\n<\/div><\/div><\/div><\/div><\/div>
Notre approche :
\nGestion int\u00e9gr\u00e9e pour
\nProtection des donn\u00e9es & s\u00e9curit\u00e9 de l’information<\/p><\/h2><\/div><\/div><\/div>
Nous ne consid\u00e9rons pas la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique de mani\u00e8re isol\u00e9e, mais comme une partie int\u00e9grante de votre organisation existante. Notre approche allie conformit\u00e9 r\u00e9glementaire et pragmatisme de mise en \u0153uvre. <\/p>\n<\/div><\/div><\/div>
Analyse de la situation de d\u00e9part et des exigences<\/h3><\/div>Nous clarifions avec vous quelles exigences r\u00e9glementaires et normatives s’appliquent concr\u00e8tement \u00e0 votre portefeuille de produits – par exemple MDR, IVDR, DSGVO, BDSG, DiGAV, directives BSI et normes comme ISO 27001, IEC 81001-5-1, IEC 62304 ou ISO 82304. Sur cette base, nous identifions les lacunes dans les processus, documents et mesures techniques existants et d\u00e9veloppons un plan d’action prioritaire. <\/p>\n<\/div><\/div><\/div>
Mise en place ou extension du syst\u00e8me de gestion<\/h3><\/div>De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Les solutions de sant\u00e9 num\u00e9riques font l’objet d’une surveillance particuli\u00e8re : les autorit\u00e9s, les organismes payeurs et les patients attendent les normes les plus \u00e9lev\u00e9es en mati\u00e8re de protection des donn\u00e9es de sant\u00e9 sensibles. BAYOOCARE vous accompagne pour r\u00e9pondre \u00e0 ces exigences de mani\u00e8re syst\u00e9matique et d\u00e9montrable – de la conception initiale \u00e0 l’exploitation courante de vos dispositifs m\u00e9dicaux, logiciels en tant que dispositifs m\u00e9dicaux et applications num\u00e9riques de sant\u00e9. <\/p>\n<\/div>
<\/span><\/div><\/div><\/div><\/div><\/div>Votre valeur ajout\u00e9e<\/h2><\/div>Nous vous apportons la s\u00e9curit\u00e9 juridique et la clart\u00e9 organisationnelle. Vous pouvez prouver que vous respectez les exigences du MDR\/IVDR, du RGPD, de la BDSG et, pour les applications num\u00e9riques de sant\u00e9, du DVG, du DiGAV et des directives techniques du BSI. Au lieu de maintenir des syst\u00e8mes parall\u00e8les pour la qualit\u00e9, la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es, vous \u00e9tablissez un syst\u00e8me de gestion int\u00e9gr\u00e9 qui exploite les synergies et \u00e9vite les redondances. Vous r\u00e9duisez les risques de responsabilit\u00e9, renforcez la confiance des patients et augmentez l’acceptation par les organismes payeurs, les organismes notifi\u00e9s et l’Institut f\u00e9d\u00e9ral des m\u00e9dicaments et des dispositifs m\u00e9dicaux. <\/p>\n<\/div>
Exigences r\u00e9glementaires : Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique en tant qu’obligation l\u00e9gale<\/h2><\/div>Dans le secteur de la sant\u00e9, les exigences en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel sont particuli\u00e8rement strictes. Le RGPD d\u00e9finit les donn\u00e9es de sant\u00e9 comme des donn\u00e9es de cat\u00e9gorie sp\u00e9ciale n\u00e9cessitant une protection accrue. Le MDR et l’IVDR exigent explicitement une s\u00e9curit\u00e9 informatique conforme \u00e0 l’\u00e9tat de l’art pour tous les dispositifs m\u00e9dicaux – y compris les logiciels en tant que dispositifs m\u00e9dicaux et les syst\u00e8mes en r\u00e9seau. <\/p>\n
Les applications num\u00e9riques de sant\u00e9 sont soumises \u00e0 des obligations suppl\u00e9mentaires : La loi sur les soins num\u00e9riques et la DiGAV d\u00e9finissent en d\u00e9tail la mani\u00e8re dont la protection et la s\u00e9curit\u00e9 des donn\u00e9es doivent \u00eatre mises en \u0153uvre, du consentement l\u00e9gitime \u00e0 la minimisation des donn\u00e9es, en passant par l’authentification, le cryptage et la journalisation.<\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Depuis le 1er avril 2022, un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information conforme \u00e0 la norme ISO 27001 ou \u00e0 la norme ISO 27001 bas\u00e9e sur IT-Grundschutz (norme BSI 200-2) est requis pour figurer dans l’annuaire DiGA. Le BfArM exige \u00e0 cet effet un certificat correspondant. En outre, depuis le 1er janvier 2025, les fabricants de DiGA doivent satisfaire aux exigences de la directive technique BSI TR-03161 et en apporter la preuve par un certificat. <\/p>\n
Les organismes notifi\u00e9s et les auditeurs attendent une approche syst\u00e9matique conforme aux normes reconnues. Ceux qui ne r\u00e9pondent pas \u00e0 ces exigences risquent des retards d’homologation, des \u00e9carts lors des audits et, dans le pire des cas, des sanctions en vertu du RGPD ou des obligations impos\u00e9es par les autorit\u00e9s de contr\u00f4le. <\/p>\n<\/div><\/div><\/div><\/div><\/div>
Notre approche :
\nGestion int\u00e9gr\u00e9e pour
\nProtection des donn\u00e9es & s\u00e9curit\u00e9 de l’information<\/p><\/h2><\/div><\/div><\/div>
Nous ne consid\u00e9rons pas la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique de mani\u00e8re isol\u00e9e, mais comme une partie int\u00e9grante de votre organisation existante. Notre approche allie conformit\u00e9 r\u00e9glementaire et pragmatisme de mise en \u0153uvre. <\/p>\n<\/div><\/div><\/div>
Analyse de la situation de d\u00e9part et des exigences<\/h3><\/div>Nous clarifions avec vous quelles exigences r\u00e9glementaires et normatives s’appliquent concr\u00e8tement \u00e0 votre portefeuille de produits – par exemple MDR, IVDR, DSGVO, BDSG, DiGAV, directives BSI et normes comme ISO 27001, IEC 81001-5-1, IEC 62304 ou ISO 82304. Sur cette base, nous identifions les lacunes dans les processus, documents et mesures techniques existants et d\u00e9veloppons un plan d’action prioritaire. <\/p>\n<\/div><\/div><\/div>
Mise en place ou extension du syst\u00e8me de gestion<\/h3><\/div>De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nous vous apportons la s\u00e9curit\u00e9 juridique et la clart\u00e9 organisationnelle. Vous pouvez prouver que vous respectez les exigences du MDR\/IVDR, du RGPD, de la BDSG et, pour les applications num\u00e9riques de sant\u00e9, du DVG, du DiGAV et des directives techniques du BSI. Au lieu de maintenir des syst\u00e8mes parall\u00e8les pour la qualit\u00e9, la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es, vous \u00e9tablissez un syst\u00e8me de gestion int\u00e9gr\u00e9 qui exploite les synergies et \u00e9vite les redondances. Vous r\u00e9duisez les risques de responsabilit\u00e9, renforcez la confiance des patients et augmentez l’acceptation par les organismes payeurs, les organismes notifi\u00e9s et l’Institut f\u00e9d\u00e9ral des m\u00e9dicaments et des dispositifs m\u00e9dicaux. <\/p>\n<\/div>
Exigences r\u00e9glementaires : Protection des donn\u00e9es et s\u00e9curit\u00e9 informatique en tant qu’obligation l\u00e9gale<\/h2><\/div>Dans le secteur de la sant\u00e9, les exigences en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel sont particuli\u00e8rement strictes. Le RGPD d\u00e9finit les donn\u00e9es de sant\u00e9 comme des donn\u00e9es de cat\u00e9gorie sp\u00e9ciale n\u00e9cessitant une protection accrue. Le MDR et l’IVDR exigent explicitement une s\u00e9curit\u00e9 informatique conforme \u00e0 l’\u00e9tat de l’art pour tous les dispositifs m\u00e9dicaux – y compris les logiciels en tant que dispositifs m\u00e9dicaux et les syst\u00e8mes en r\u00e9seau. <\/p>\n
Les applications num\u00e9riques de sant\u00e9 sont soumises \u00e0 des obligations suppl\u00e9mentaires : La loi sur les soins num\u00e9riques et la DiGAV d\u00e9finissent en d\u00e9tail la mani\u00e8re dont la protection et la s\u00e9curit\u00e9 des donn\u00e9es doivent \u00eatre mises en \u0153uvre, du consentement l\u00e9gitime \u00e0 la minimisation des donn\u00e9es, en passant par l’authentification, le cryptage et la journalisation.<\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Depuis le 1er avril 2022, un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information conforme \u00e0 la norme ISO 27001 ou \u00e0 la norme ISO 27001 bas\u00e9e sur IT-Grundschutz (norme BSI 200-2) est requis pour figurer dans l’annuaire DiGA. Le BfArM exige \u00e0 cet effet un certificat correspondant. En outre, depuis le 1er janvier 2025, les fabricants de DiGA doivent satisfaire aux exigences de la directive technique BSI TR-03161 et en apporter la preuve par un certificat. <\/p>\n
Les organismes notifi\u00e9s et les auditeurs attendent une approche syst\u00e9matique conforme aux normes reconnues. Ceux qui ne r\u00e9pondent pas \u00e0 ces exigences risquent des retards d’homologation, des \u00e9carts lors des audits et, dans le pire des cas, des sanctions en vertu du RGPD ou des obligations impos\u00e9es par les autorit\u00e9s de contr\u00f4le. <\/p>\n<\/div><\/div><\/div><\/div><\/div>
Notre approche :
\nGestion int\u00e9gr\u00e9e pour
\nProtection des donn\u00e9es & s\u00e9curit\u00e9 de l’information<\/p><\/h2><\/div><\/div><\/div>
Nous ne consid\u00e9rons pas la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique de mani\u00e8re isol\u00e9e, mais comme une partie int\u00e9grante de votre organisation existante. Notre approche allie conformit\u00e9 r\u00e9glementaire et pragmatisme de mise en \u0153uvre. <\/p>\n<\/div><\/div><\/div>
Analyse de la situation de d\u00e9part et des exigences<\/h3><\/div>Nous clarifions avec vous quelles exigences r\u00e9glementaires et normatives s’appliquent concr\u00e8tement \u00e0 votre portefeuille de produits – par exemple MDR, IVDR, DSGVO, BDSG, DiGAV, directives BSI et normes comme ISO 27001, IEC 81001-5-1, IEC 62304 ou ISO 82304. Sur cette base, nous identifions les lacunes dans les processus, documents et mesures techniques existants et d\u00e9veloppons un plan d’action prioritaire. <\/p>\n<\/div><\/div><\/div>
Mise en place ou extension du syst\u00e8me de gestion<\/h3><\/div>De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Dans le secteur de la sant\u00e9, les exigences en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel sont particuli\u00e8rement strictes. Le RGPD d\u00e9finit les donn\u00e9es de sant\u00e9 comme des donn\u00e9es de cat\u00e9gorie sp\u00e9ciale n\u00e9cessitant une protection accrue. Le MDR et l’IVDR exigent explicitement une s\u00e9curit\u00e9 informatique conforme \u00e0 l’\u00e9tat de l’art pour tous les dispositifs m\u00e9dicaux – y compris les logiciels en tant que dispositifs m\u00e9dicaux et les syst\u00e8mes en r\u00e9seau. <\/p>\n
Les applications num\u00e9riques de sant\u00e9 sont soumises \u00e0 des obligations suppl\u00e9mentaires : La loi sur les soins num\u00e9riques et la DiGAV d\u00e9finissent en d\u00e9tail la mani\u00e8re dont la protection et la s\u00e9curit\u00e9 des donn\u00e9es doivent \u00eatre mises en \u0153uvre, du consentement l\u00e9gitime \u00e0 la minimisation des donn\u00e9es, en passant par l’authentification, le cryptage et la journalisation.<\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Depuis le 1er avril 2022, un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information conforme \u00e0 la norme ISO 27001 ou \u00e0 la norme ISO 27001 bas\u00e9e sur IT-Grundschutz (norme BSI 200-2) est requis pour figurer dans l’annuaire DiGA. Le BfArM exige \u00e0 cet effet un certificat correspondant. En outre, depuis le 1er janvier 2025, les fabricants de DiGA doivent satisfaire aux exigences de la directive technique BSI TR-03161 et en apporter la preuve par un certificat. <\/p>\n
Les organismes notifi\u00e9s et les auditeurs attendent une approche syst\u00e9matique conforme aux normes reconnues. Ceux qui ne r\u00e9pondent pas \u00e0 ces exigences risquent des retards d’homologation, des \u00e9carts lors des audits et, dans le pire des cas, des sanctions en vertu du RGPD ou des obligations impos\u00e9es par les autorit\u00e9s de contr\u00f4le. <\/p>\n<\/div><\/div><\/div><\/div><\/div>
Notre approche :
\nGestion int\u00e9gr\u00e9e pour
\nProtection des donn\u00e9es & s\u00e9curit\u00e9 de l’information<\/p><\/h2><\/div><\/div><\/div>
Nous ne consid\u00e9rons pas la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique de mani\u00e8re isol\u00e9e, mais comme une partie int\u00e9grante de votre organisation existante. Notre approche allie conformit\u00e9 r\u00e9glementaire et pragmatisme de mise en \u0153uvre. <\/p>\n<\/div><\/div><\/div>
Analyse de la situation de d\u00e9part et des exigences<\/h3><\/div>Nous clarifions avec vous quelles exigences r\u00e9glementaires et normatives s’appliquent concr\u00e8tement \u00e0 votre portefeuille de produits – par exemple MDR, IVDR, DSGVO, BDSG, DiGAV, directives BSI et normes comme ISO 27001, IEC 81001-5-1, IEC 62304 ou ISO 82304. Sur cette base, nous identifions les lacunes dans les processus, documents et mesures techniques existants et d\u00e9veloppons un plan d’action prioritaire. <\/p>\n<\/div><\/div><\/div>
Mise en place ou extension du syst\u00e8me de gestion<\/h3><\/div>De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nous clarifions avec vous quelles exigences r\u00e9glementaires et normatives s’appliquent concr\u00e8tement \u00e0 votre portefeuille de produits – par exemple MDR, IVDR, DSGVO, BDSG, DiGAV, directives BSI et normes comme ISO 27001, IEC 81001-5-1, IEC 62304 ou ISO 82304. Sur cette base, nous identifions les lacunes dans les processus, documents et mesures techniques existants et d\u00e9veloppons un plan d’action prioritaire. <\/p>\n<\/div><\/div><\/div>
Mise en place ou extension du syst\u00e8me de gestion<\/h3><\/div>De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
De nombreux fabricants disposent d\u00e9j\u00e0 d’un syst\u00e8me de gestion de la qualit\u00e9 conforme aux normes ISO 13485 ou ISO 9001. Nous \u00e9tendons ce syst\u00e8me de mani\u00e8re cibl\u00e9e \u00e0 la s\u00e9curit\u00e9 de l’information et \u00e0 la protection des donn\u00e9es, de sorte que vous \u00e9tablissiez un syst\u00e8me de gestion int\u00e9gr\u00e9 plut\u00f4t que des structures parall\u00e8les. Cela inclut la d\u00e9finition des r\u00f4les et des responsabilit\u00e9s, comme les responsables de la s\u00e9curit\u00e9 de l’information et les responsables de la protection des donn\u00e9es, l’\u00e9laboration de directives et de proc\u00e9dures, des concepts de formation pour vos collaborateurs ainsi que des lignes de rapport et des voies d’escalade claires. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div>Analyse syst\u00e9matique des risques<\/h3><\/div>Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Ensemble, nous identifions les actifs pertinents : donn\u00e9es des patients et des utilisateurs, applications, syst\u00e8mes dorsaux, interfaces avec des syst\u00e8mes tiers et des services en nuage.<\/p>\n
Nous \u00e9valuons les menaces telles que l’acc\u00e8s non autoris\u00e9, la fuite de donn\u00e9es, les ransomwares, les attaques par d\u00e9ni de service distribu\u00e9 et les vuln\u00e9rabilit\u00e9s techniques.
\nSur cette base, nous d\u00e9finissons des mesures de protection organisationnelles et techniques appropri\u00e9es, en nous basant sur des mod\u00e8les reconnus tels que ISO 27001, IT-Grundschutz ou le guide de l’institut Johner sur la s\u00e9curit\u00e9 informatique.<\/p>\n<\/div><\/div><\/div>
Ancrage dans le cycle de vie du produit<\/h3><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique sont obligatoirement int\u00e9gr\u00e9es dans toutes les phases du cycle de vie du produit – de la d\u00e9finition des objectifs et des exigences \u00e0 la validation, au lancement et \u00e0 la surveillance du march\u00e9, en passant par l’architecture, l’impl\u00e9mentation et la v\u00e9rification. Nous vous aidons \u00e0 mettre en \u0153uvre la s\u00e9curit\u00e9 par la conception et la confidentialit\u00e9 par la conception, \u00e0 \u00e9tablir des pratiques de d\u00e9veloppement logiciel s\u00fbres et des strat\u00e9gies de test ax\u00e9es sur la s\u00e9curit\u00e9, telles que l’analyse de code, le test flou et les tests d’intrusion. Nous vous accompagnons \u00e9galement dans la mise en place de processus r\u00e9glement\u00e9s pour les mises \u00e0 jour, les correctifs et la gestion des incidents. <\/p>\n<\/div><\/div><\/div>
Preuve et capacit\u00e9 d’audit<\/h3><\/div>Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nous nous chargeons de la mise en place de la documentation n\u00e9cessaire : \u00e9valuations des risques, listes de traitement, descriptions des mesures techniques et organisationnelles, concepts de s\u00e9curit\u00e9, rapports sur les tests et les audits ainsi que les affectations aux exigences r\u00e9glementaires telles que les check-lists DiGAV.<\/p>\n
Vous cr\u00e9ez ainsi une preuve compr\u00e9hensible vis-\u00e0-vis des organismes notifi\u00e9s, des autorit\u00e9s de surveillance de la protection des donn\u00e9es, des auditeurs et du BfArM.<\/p>\n<\/div><\/div><\/div>
Vous souhaitez mettre en \u0153uvre de mani\u00e8re syst\u00e9matique la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour vos dispositifs m\u00e9dicaux ou DiGA ?<\/h3><\/div>Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
Nous contacter<\/span><\/a><\/div><\/div><\/div><\/i><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Prenez rendez-vous avec nos experts pour un premier entretien sans engagement. Nous analyserons votre situation de d\u00e9part, clarifierons les exigences r\u00e9glementaires et \u00e9laborerons une feuille de route personnalis\u00e9e pour votre projet. N’h\u00e9sitez pas \u00e0 nous contacter, nous nous ferons un plaisir de r\u00e9pondre \u00e0 votre demande. <\/p>\n<\/div>
\u00c9l\u00e9ments typiques de nos services<\/h2><\/div><\/div><\/div>Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nos services de protection des donn\u00e9es et de s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux, les DiGA et les solutions de sant\u00e9 en r\u00e9seau comprennent :<\/p>\n
Nous prenons en charge la conception et l’introduction d’un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l’information selon la norme ISO 27001 ou sur la base du BSI-IT-Grundschutz. Nous int\u00e9grons la s\u00e9curit\u00e9 de l’information et la protection des donn\u00e9es dans les syst\u00e8mes de gestion de la qualit\u00e9 existants, par exemple selon ISO 13485 ou ISO 9001. Nous cr\u00e9ons et optimisons des directives, des processus et des instructions de travail concernant la s\u00e9curit\u00e9 de l’information, la protection des donn\u00e9es et le d\u00e9veloppement s\u00e9curis\u00e9 de logiciels. <\/p>\n
Nous r\u00e9alisons ou animons des analyses de risques ax\u00e9es sur la protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique, y compris la d\u00e9finition et la hi\u00e9rarchisation des mesures. Nous vous conseillons sur les mesures de s\u00e9curit\u00e9 techniques, telles que les concepts d’acc\u00e8s, le cryptage, la journalisation, les strat\u00e9gies de sauvegarde et le durcissement des syst\u00e8mes. Nous accompagnons les audits internes et externes, soutenons les projets de certification tels que ISO 27001 ou BSI TR-03161, ainsi que les audits r\u00e9glementaires et les preuves \u00e0 fournir au BfArM. <\/p>\n<\/div>
Offres d’approfondissement sp\u00e9cialis\u00e9<\/h3><\/div><\/div><\/div><\/i><\/span><\/div>Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Conseil en conformit\u00e9 avec le RGPD<\/h3><\/div><\/div>\nNous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nous vous aidons \u00e0 traiter les donn\u00e9es de sant\u00e9 en toute s\u00e9curit\u00e9 juridique, \u00e0 d\u00e9finir les r\u00f4les et les responsabilit\u00e9s, \u00e0 \u00e9tablir des registres de traitement, \u00e0 r\u00e9aliser des analyses d’impact sur la protection des donn\u00e9es, \u00e0 pr\u00e9server les droits des personnes concern\u00e9es, \u00e0 conclure des contrats avec des sous-traitants et \u00e0 mettre en \u0153uvre de mani\u00e8re pratique le privacy-by-design et le privacy-by-default.<\/p>\n<\/div><\/div><\/div>
S\u00e9curit\u00e9 informatique tout au long du cycle de vie du produit<\/h3><\/div><\/div>\nNous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
<\/i><\/span><\/div>Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nous offrons un soutien sp\u00e9cifique pour la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 dans le d\u00e9veloppement, le test, l’exploitation et la surveillance du march\u00e9 des logiciels m\u00e9dicaux, des dispositifs m\u00e9dicaux en r\u00e9seau et des DiGA – y compris les strat\u00e9gies de mise \u00e0 jour s\u00e9curis\u00e9es, les processus de r\u00e9ponse aux incidents et l’am\u00e9lioration continue.<\/p>\n<\/div><\/div><\/div>
Mise en \u0153uvre des normes ISO-27001 pour la s\u00e9curit\u00e9 des donn\u00e9es<\/h3><\/div><\/div>\nNous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Nous vous accompagnons dans la conception et la mise en \u0153uvre d’un SMSI, dans la d\u00e9finition du champ d’application, dans le traitement des risques, dans la planification des mesures, dans les audits internes, dans les \u00e9valuations de la direction et dans la pr\u00e9paration \u00e0 la certification – en fonction des sp\u00e9cificit\u00e9s des fabricants de dispositifs m\u00e9dicaux et des fournisseurs de DiGA.<\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/div><\/div>Foire aux questions<\/h2><\/div><\/div><\/div>La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
La protection des donn\u00e9es et la s\u00e9curit\u00e9 informatique pour les dispositifs m\u00e9dicaux et les DiGA soul\u00e8vent de nombreuses questions. Nous avons r\u00e9pondu aux plus fr\u00e9quentes pour vous – des exigences ISMS \u00e0 la certification ISO-27001 en passant par les obligations des fabricants de DiGA. Votre question ne figure pas dans la liste ? N’h\u00e9sitez pas \u00e0 nous contacter. <\/p>\n<\/div><\/div><\/div>
<\/span><\/div><\/div><\/div><\/i><\/i><\/span>Quelle est la diff\u00e9rence entre ISO 27001 et BSI IT-Grundschutz ?<\/span><\/a><\/h4><\/div>\nISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
ISO 27001 est une norme internationale pour les syst\u00e8mes de gestion de la s\u00e9curit\u00e9 de l’information avec une approche bas\u00e9e sur les risques. Elle d\u00e9finit les exigences d’un SMSI et permet un choix flexible de mesures. BSI IT-Grundschutz (ISO 27001 bas\u00e9e sur la norme BSI 200-2) est une approche allemande avec des catalogues de mesures pr\u00e9d\u00e9finies. ISO 27001 est reconnue internationalement, plus flexible et souvent moins co\u00fbteuse \u00e0 mettre en \u0153uvre, tandis que IT-Grundschutz impose des sp\u00e9cifications techniques d\u00e9taill\u00e9es. Pour les fabricants de DiGA, les deux approches sont autoris\u00e9es. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Tous les fabricants de dispositifs m\u00e9dicaux doivent-ils avoir un SMSI conforme \u00e0 la norme ISO 27001 ?<\/span><\/a><\/h4><\/div>\nNon, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Non, pas de mani\u00e8re g\u00e9n\u00e9rale. MDR et IVDR exigent une s\u00e9curit\u00e9 informatique \u00e0 l’\u00e9tat de l’art, mais pas un ISMS certifi\u00e9. Exception : depuis le 1er avril 2022, les fabricants de DiGA ont besoin d’un certificat ISMS selon la norme ISO 27001 ou ISO 27001 bas\u00e9 sur IT-Grundschutz pour figurer dans le r\u00e9pertoire DiGA. Il est \u00e9galement recommand\u00e9 aux autres fabricants d’avoir un ISMS. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Puis-je ajouter la s\u00e9curit\u00e9 de l'information \u00e0 mon syst\u00e8me de gestion de la qualit\u00e9 existant ?<\/span><\/a><\/h4><\/div>\nOui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
Oui, c’est m\u00eame recommand\u00e9. Les normes ISO 13485 et ISO 27001 pr\u00e9sentent de nombreux parall\u00e8les – elles sont toutes deux bas\u00e9es sur des approches de syst\u00e8me de gestion avec une orientation processus, une prise en compte des risques et une am\u00e9lioration continue. Un syst\u00e8me de gestion int\u00e9gr\u00e9 \u00e9vite les redondances, utilise des processus communs pour les audits internes, les revues de direction et la ma\u00eetrise des documents, et r\u00e9duit consid\u00e9rablement l’effort global. De nombreux fabricants ajoutent des aspects de s\u00e9curit\u00e9 de l’information \u00e0 leur syst\u00e8me ISO-13485 plut\u00f4t que de mettre en place un ISMS s\u00e9par\u00e9. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Qu'est-ce que la norme BSI TR-03161 et qui doit s'y conformer ?<\/span><\/a><\/h4><\/div>\nLa norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
La norme BSI TR-03161 est une directive technique de l’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 des technologies de l’information qui contient des exigences de s\u00e9curit\u00e9 concr\u00e8tes pour les applications de sant\u00e9 – telles que l’authentification, le cryptage, la journalisation et les concepts d’acc\u00e8s. Depuis le 1er janvier 2025, tous les DiGA doivent satisfaire aux exigences de l’article 139e, paragraphe 10 du SGB V et les prouver par un certificat TR. La certification TR-03161 remplace le test d’intrusion s\u00e9par\u00e9 pour les DiGA. <\/p>\n<\/div><\/div><\/div>
<\/i><\/i><\/span>Combien de temps faut-il pour mettre en place un ISMS ?<\/span><\/a><\/h4><\/div>\nLa dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
La dur\u00e9e d\u00e9pend de votre situation de d\u00e9part. Pour les fabricants disposant d’un syst\u00e8me de gestion de la qualit\u00e9 existant et d’une bonne documentation informatique, nous estimons qu’il faut entre quatre et six mois pour \u00eatre pr\u00eat pour la certification. Sans connaissances pr\u00e9alables ou avec des structures organisationnelles complexes, cela peut prendre de six \u00e0 douze mois. Les facteurs d\u00e9cisifs sont le champ d’application, le nombre de sites, la maturit\u00e9 des processus et la disponibilit\u00e9 des ressources internes. Nous recommandons une mise en place par phases avec des gains rapides pr\u00e9coces. <\/p>\n<\/div><\/div><\/div>
![\"BAYOOCARE](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2025\/01\/BAYOOCARE-Alfred-Koch-CEO-PRRC.png\" "\\"BAYOOCARE")
<\/span><\/div><\/div><\/div>