Le risque fournisseur est un risque pour les patients : quatre évolutions réglementaires qui font monter les enjeux pour les organisations de santé

Les organisations de santé subissent une pression croissante pour prouver qu’elles comprennent et maîtrisent leurs risques liés aux tiers. Récemment proposés ou adoptés, l’avis de projet de réglementation (NPRM) relatif à la HIPAA Security Rule, les HHS Healthcare Sector Cybersecurity Performance Goals, le Health Care Cybersecurity and Resiliency Act (S.3315) et l’évolution des CMS Conditions of Participation reflètent une inquiétude grandissante quant à l’impact que des incidents cyber impliquant des tiers peuvent avoir sur les organisations de santé.

Les partenaires commerciaux (business associates) et d’autres tiers traitent les demandes de remboursement, gèrent les dossiers médicaux électroniques, hébergent des applications critiques et stockent des informations de santé protégées. Beaucoup soutiennent également des fonctions essentielles, des opérations de pharmacie aux dispositifs médicaux connectés. Ces relations créent des opportunités d’améliorer les soins, mais elles introduisent aussi de nouvelles vulnérabilités.

Ensemble, ces évolutions modifient les attentes quant à la manière dont les organisations de santé identifient et surveillent le risque fournisseur tout au long du cycle de vie.

Quatre moteurs fédéraux qui rehaussent le niveau de supervision des tiers

Quatre évolutions fédérales façonnent désormais la manière dont les organisations de santé abordent la cybersécurité et le risque lié aux tiers. Bien que chacune adopte une approche différente, elles traduisent une évolution plus large de la façon dont les agences fédérales perçoivent la responsabilité des organisations de santé vis-à-vis des fournisseurs et des partenaires commerciaux qui soutiennent les soins aux patients.

NPRM relatif à la HIPAA Security Rule

Les mises à jour proposées de la HIPAA Security Rule renforceraient les exigences de cybersécurité pour les entités couvertes et les partenaires commerciaux, tout en mettant l’accent sur une gestion continue des risques. Le NPRM exigerait des organisations qu’elles mettent en œuvre des mesures de protection telles que l’authentification multifacteur et le chiffrement. Il exigerait également des entités couvertes qu’elles vérifient par écrit que les partenaires commerciaux ont mis en place les mesures de sécurité requises au titre de la HIPAA.

L’exigence de vérification écrite rehausse le niveau de supervision des fournisseurs. Un accord de partenariat commercial (business associate agreement) définit les responsabilités de chaque partie, mais la règle accorde désormais davantage de poids à la démonstration que ces responsabilités sont bien respectées. Pour les organisations de santé, cela signifie conserver une documentation montrant comment les mesures de protection des fournisseurs ont été évaluées et vérifiées dans la durée.

Point clé : la règle fait évoluer la supervision des fournisseurs vers une vérification documentée et continue, plutôt que de s’appuyer uniquement sur des engagements contractuels ou des évaluations périodiques.

HHS Healthcare Sector Cybersecurity Performance Goals

Le HHS a introduit les Healthcare Sector Cybersecurity Performance Goals afin de fournir aux organisations de santé une base pour renforcer leurs défenses contre les menaces cyber courantes. Ces objectifs volontaires couvrent des domaines tels que l’authentification multifacteur, l’inventaire des actifs, la réponse aux incidents et la gestion du risque fournisseur.

Bien que les CPG ne soient pas des exigences réglementaires, ils fournissent des repères et des priorités pour les pratiques de cybersécurité. Les objectifs reconnaissent également que la sécurité d’une organisation dépend des tiers avec lesquels elle travaille.

Pour les organisations de santé, les CPG offrent un cadre permettant d’évaluer si leur supervision actuelle des fournisseurs couvre les risques les plus importants. Ils fournissent aussi un point de référence pour renforcer les pratiques avant la mise en place d’exigences plus formelles.

Point clé : des recommandations volontaires peuvent néanmoins influencer ce que les régulateurs considèrent comme des mesures de protection raisonnables. Les CPG constituent donc un repère utile pour renforcer dès aujourd’hui les pratiques de cybersécurité liées aux tiers.

Health Care Cybersecurity and Resiliency Act (S.3315)

Le Health Care Cybersecurity and Resiliency Act établirait des exigences minimales de cybersécurité pour les entités couvertes et les partenaires commerciaux, notamment des mesures telles que l’authentification multifacteur, le chiffrement et les tests d’intrusion. Il propose également d’étendre les protections de type « Safe Harbor » pour les organisations capables de démontrer au moins 12 mois de pratiques de cybersécurité reconnues.

La proposition récompense les organisations capables de démontrer, dans la durée, des pratiques de cybersécurité matures. Pour les programmes de gestion des risques liés aux tiers, cela renforce l’intérêt de conserver un historique continu des évaluations des fournisseurs, de la vérification des mesures de protection, des actions correctives et d’autres activités de supervision.

Point clé : le projet de loi accroît la valeur des pratiques de cybersécurité documentées. Les organisations auraient besoin de preuves montrant comment elles ont géré les risques et maintenu les mesures de protection dans la durée.

CMS Conditions of Participation

Les attentes en matière de cybersécurité s’intègrent également aux exigences opérationnelles que les organisations de santé doivent respecter pour participer à Medicare et Medicaid. Le CMS a proposé de renforcer les attentes en matière de gestion des risques de sécurité pour les hôpitaux, notamment en accordant une attention accrue aux risques créés par les relations avec des tiers.

Ce lien est important, car de nombreux systèmes qui soutiennent les soins aux patients échappent au contrôle direct de l’organisation. Dans cette optique, un programme de gestion des risques de sécurité doit prendre en compte les fournisseurs et les dépendances susceptibles d’interrompre les soins.

Le fait que la cybersécurité soit davantage liée aux Conditions de participation pousse encore davantage les organisations de santé à considérer la supervision des fournisseurs comme un élément du maintien d’opérations sûres et résilientes.

Point clé : la cybersécurité et le risque lié aux tiers sont de plus en plus liés à la capacité de maintenir les opérations de santé et de participer aux programmes fédéraux de santé, faisant de la supervision des fournisseurs une responsabilité opérationnelle et de gouvernance, au même titre qu’un enjeu informatique.

Comment les incidents cyber chez les fournisseurs affectent-ils les soins aux patients ?

L’accent croissant mis sur une supervision continue des tiers souligne une réalité : les incidents cyber impliquant des fournisseurs ont désormais des conséquences immédiates sur la prestation des soins.

Un exemple récent est l’attaque par rançongiciel visant le fournisseur de gestion du cycle de revenus Unlimited Technology Systems, qui a touché environ 3,8 millions de patients. Ce fournisseur propose des services de facturation et de gestion du cycle de revenus à des milliers de prestataires de soins, ce qui signifie que nombre de patients concernés n’avaient jamais interagi directement avec l’entreprise. Pourtant, la violation a exposé des informations sensibles, notamment des numéros de sécurité sociale, des dossiers médicaux, des détails de diagnostic et de traitement, ainsi que des cartes d’assurance scannées.

Cet incident s’inscrit dans une tendance plus large. Selon MedCity News, les fournisseurs qui traitent les demandes de remboursement, la facturation et les dossiers médicaux représentaient six des dix plus grandes violations de données dans le secteur de la santé signalées en 2026.

Les conséquences vont également au-delà des données compromises. Des attaques récentes touchant des organisations telles que Change Healthcare, Conduent, Ascension et PIH Health ont montré à quelle vitesse les perturbations peuvent se propager dans l’écosystème de santé. Le traitement des demandes de remboursement a été ralenti, les pharmacies ont subi des retards, les flux de travail cliniques ont été interrompus et les prestataires ont dû activer des plans de continuité pour continuer à fournir des soins. Ce qui a commencé comme des incidents de cybersécurité s’est rapidement transformé en crises opérationnelles affectant patients et cliniciens.

Les recherches confirment le lien entre les incidents de cybersécurité et les soins aux patients. Le piratage et d’autres incidents informatiques représentent l’écrasante majorité des violations majeures dans le secteur de la santé, tandis que les partenaires commerciaux jouent un rôle de plus en plus important dans ces événements. Parmi les organisations de santé dont les soins aux patients ont été perturbés par une cyberattaque, près d’un tiers ont signalé une hausse des taux de mortalité des patients. Ces conséquences graves permettent de mieux mesurer les implications du risque fournisseur.

Cinq étapes pour bâtir une approche plus résiliente de la supervision des tiers

Les organisations de santé peuvent renforcer leur supervision des tiers en se concentrant sur cinq domaines principaux. Cette approche offre une meilleure visibilité sur le risque fournisseur, ainsi qu’une traçabilité plus solide de la manière dont ces risques sont gérés.

1. Identifier et classer les fournisseurs critiques par niveau.
   Les organisations peuvent prioriser les partenaires commerciaux et les fournisseurs en aval en fonction de facteurs tels que leur impact sur les soins aux patients, la continuité opérationnelle, les exigences réglementaires et le risque de concentration. Cela permet de concentrer les ressources sur les relations dont la perturbation pourrait avoir les conséquences les plus importantes.
2. Surveiller les fournisseurs en continu.
   Le risque fournisseur peut évoluer de manière significative entre deux évaluations annuelles. La surveillance continue aide les équipes à identifier les changements de risque fournisseur et à réagir avant que les revues annuelles ne révèlent le problème. Étendre la supervision à l’intégration, au suivi continu et à la sortie de relation permet également d’obtenir une vision plus complète de la relation fournisseur.
3. Conserver des preuves documentées.
   La vérification écrite peut démontrer comment les risques fournisseurs ont été évalués et traités dans la durée. Le fait de conserver ces preuves accessibles et organisées facilite également la réponse à une enquête de l’OCR, à un examen du CMS ou à toute autre demande.
4. Relier les signaux de risque au sein de l’organisation.
   Les constats de cybersécurité ne donnent qu’une seule perspective du risque fournisseur. La santé financière, les dépendances de quatrième partie, la résilience, la conformité, l’activité liée aux incidents et la sécurité des patients peuvent tous influencer l’impact potentiel d’un fournisseur. Relier ces signaux au sein d’un profil fournisseur partagé offre une vision plus complète de l’exposition et aide les équipes à identifier des problèmes qui, autrement, resteraient déconnectés.
5. Mettre en place une gouvernance transversale.
   Les équipes conformité, gestion des risques d’entreprise, continuité d’activité, résilience et équipes cliniques peuvent toutes jouer un rôle dans l’évaluation de l’impact potentiel d’un fournisseur critique. Un registre des risques partagé et un processus de réponse coordonné peuvent offrir à ces équipes une vision commune du risque fournisseur et une responsabilité plus claire lorsque des problèmes surviennent.

Les fournisseurs ne sont plus seulement un sujet de conformité. Ils font partie de la chaîne de prestation des soins. Lorsqu’un fournisseur critique subit un incident cyber, les conséquences peuvent toucher les patients, les cliniciens et les opérations presque immédiatement. Les organisations de santé qui mettent en place des programmes de supervision continus, fondés sur des preuves, seront mieux préparées au contrôle réglementaire et mieux positionnées pour protéger les soins aux patients.

Pour en savoir plus sur la gestion des risques liés aux tiers, lisez notre ebook Repenser la gestion des risques de la chaîne d’approvisionnement : un guide pratique pour une meilleure assurance et téléchargez notre boîte à outils Réduire l’exposition aux tiers.