Cybersécurité en pharmacie : le guide pratique pour sécuriser votre officine
Réglementation
NIS 2 n'est toujours pas en vigueur en France, mais le RGPD, lui, s'applique déjà pleinement aux données de santé. Ce qui est obligatoire aujourd'hui, ce qui reste en débat, et 7 réflexes concrets pour sécuriser votre officine dès maintenant — avec les ressources gratuites de l'ANSSI et de la CNIL.
La cybersécurité en officine est souvent associée au débat autour de la directive européenne NIS 2, dont la transposition française est toujours en cours de discussion au Parlement. Mais cette actualité législative masque une réalité plus simple : indépendamment du sort de NIS 2, votre officine est déjà soumise à une obligation de sécurité des données, via le RGPD, dès l'instant où elle traite des données de santé — c'est-à-dire systématiquement. Ce guide distingue ce qui est obligatoire aujourd'hui de ce qui reste à l'état de projet, puis propose des réflexes concrets pour sécuriser votre officine sans attendre un vote.
Ce qui est déjà obligatoire : le RGPD, sans attendre NIS 2
Le règlement général sur la protection des données (RGPD, règlement UE 2016/679) s'applique à toute officine traitant des données de patients — ce qui, en pratique, concerne toutes les pharmacies via leur logiciel de gestion officinale (LGO). Deux articles sont particulièrement structurants :
- L'article 32 impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles « appropriées » pour garantir un niveau de sécurité adapté au risque — chiffrement, confidentialité, intégrité, disponibilité, et capacité à restaurer les données en cas d'incident.
- L'article 33 impose, en cas de violation de données présentant un risque pour les droits et libertés des patients, une notification à la CNIL dans un délai de 72 heures après en avoir eu connaissance.
- MonAideCyber (ANSSI) — diagnostic gratuit d'environ 1h30, réalisé par un « Aidant cyber », ouvert aux TPE/PME qui n'ont pas encore engagé de démarche de cybersécurité : messervices.cyber.gouv.fr/services/mon-aide-cyber
- Guide de la sécurité des données personnelles (CNIL) — 25 fiches pratiques couvrant mots de passe, sauvegardes, postes de travail, sous-traitance numérique et plus : cnil.fr
- Référentiel ReCyF (ANSSI, version 2.5, mars 2026) — 20 objectifs de sécurité pensés pour la transposition de NIS 2 ; non obligatoire à ce jour, mais utilisable dès maintenant comme grille d'auto-évaluation : document PDF ANSSI
- Assemblée nationale, dossier législatif du projet de loi n°DLR5L17N50731 (loi « Résilience », transposition NIS 2) — https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731
- nis2-expertise.fr, Transposition NIS 2 : retrait de l'ordre du jour de la séance d'octobre 2026, 6 octobre 2026 — https://nis2-expertise.fr/actualites/transposition-nis2-retrait-seance-octobre-2026/
- Commission européenne, Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose NIS 2, 8 juillet 2026 — https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules
- ANSSI, Référentiel de cybersécurité ReCyF, version 2.5, 17 mars 2026 — https://messervices.cyber.gouv.fr/documents-ressources/20260317_NIS_V2_ReCyF_v2.5.pdf
- dpo-partage.fr, ReCyF : l'ANSSI publie son référentiel de cybersécurité pour anticiper la transposition de NIS 2 en France — https://www.dpo-partage.fr/recyf-lanssi-publie-son-referentiel-de-cybersecurite-pour-anticiper-la-transposition-de-nis-2-en-france/
- ANSSI, service MonAideCyber — https://messervices.cyber.gouv.fr/services/mon-aide-cyber
- CNIL, Guide de la sécurité des données personnelles, nouvelle édition — https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles-nouvelle-edition-2024
- EUR-Lex, Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), version consolidée — https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=fr
Ces obligations ne dépendent d'aucun seuil de taille et s'appliquent déjà, pleinement, à une officine indépendante — contrairement à NIS 2, dont le texte vise d'abord des structures plus grandes.
NIS 2 : où en est le texte, et pourquoi il reste à suivre
La directive européenne NIS 2 doit renforcer la cybersécurité d'environ 15 000 entités réparties dans 18 secteurs jugés critiques ou importants, contre environ 300 aujourd'hui sous le régime précédent. Dans le secteur santé, le périmètre identifié à ce stade regroupe les hôpitaux, les hébergeurs de données de santé, les laboratoires de référence et les fabricants de médicaments ou de dispositifs médicaux critiques — pas l'officine individuelle, dont la taille reste sous les seuils retenus.
Côté calendrier français, le texte de transposition (loi dite « Résilience ») a été adopté par le Sénat en première lecture le 12 mars 2025, puis le texte de la commission spéciale de l'Assemblée nationale a été adopté les 9 et 10 septembre 2025. Son examen en séance publique à l'Assemblée, programmé les 7 et 9 octobre 2026, a cependant été retiré de l'ordre du jour la veille, le 6 octobre 2026, au profit d'un autre texte. Le rapporteur du projet espérait une réinscription « dans les quinze jours à trois semaines » — non confirmée à la date de publication de cet article. Le texte reste donc en première lecture, ni adopté ni promulgué.
Autre élément de contexte : la Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 contre la France — ainsi que l'Irlande, l'Espagne et les Pays-Bas — pour défaut de notification de la transposition de NIS 2, l'échéance ayant été fixée au 17 octobre 2024. La Commission demande des sanctions financières ; aucune décision n'a été rendue à ce jour.
En pratique, pour une officine indépendante, cela signifie qu'aucune obligation NIS 2 n'est aujourd'hui en vigueur, et que le calendrier de son entrée en vigueur reste incertain.
7 réflexes concrets pour sécuriser votre officine, dès aujourd'hui
Ces mesures ne dépendent d'aucun texte à venir — elles relèvent des bonnes pratiques généralement recommandées par l'ANSSI et la CNIL, et répondent déjà à l'obligation de sécurité du RGPD.
1. Des mots de passe uniques et robustes pour chaque compte (LGO, messagerie, accès à distance), si possible via un gestionnaire de mots de passe plutôt qu'un post-it ou un fichier partagé. 2. L'authentification à plusieurs facteurs, dès que votre LGO ou vos outils numériques le proposent — une étape supplémentaire qui bloque la grande majorité des tentatives d'accès frauduleux. 3. Des sauvegardes régulières ET testées : une sauvegarde qu'on n'a jamais essayé de restaurer n'est qu'une sauvegarde supposée. 4. Des mises à jour systématiques du LGO, du système d'exploitation et de l'antivirus — la plupart des failles exploitées sont déjà corrigées par un correctif disponible mais non installé. 5. Des accès limités au strict nécessaire selon le poste (titulaire, adjoint, préparateur) — principe de moindre privilège : chacun n'a accès qu'à ce dont il a besoin pour son rôle. 6. Une vigilance collective face au phishing : former l'équipe à repérer un email ou un SMS suspect avant de cliquer reste l'une des mesures les plus efficaces, et les moins coûteuses. 7. Un plan simple en cas d'incident : qui prévenir (prestataire du LGO, délégué à la protection des données s'il existe, CNIL sous 72 heures si le risque pour les patients l'exige), et dans quel ordre.
Ressources gratuites pour aller plus loin
En résumé
NIS 2 reste, à la date de publication de cet article, un texte en débat, sans calendrier d'entrée en vigueur confirmé, et dont le périmètre santé ne cible pas directement l'officine indépendante. Le RGPD, en revanche, s'applique déjà pleinement : sécuriser son LGO, ses sauvegardes et ses accès n'est donc pas une anticipation réglementaire, c'est une obligation actuelle — et une protection concrète pour vos patients comme pour votre activité.
Cet article est un point de veille réglementaire et pratique rédigé par Philippe Levy, pharmacien et formateur. PharmaLift Solutions, organisme de formation certifié Qualiopi (n° QUA25070030), propose ce suivi à titre informatif ; il ne remplace pas un avis juridique ou technique personnalisé.