Face à la complexité de ces achats, Christel Vincenti insiste sur un point : « L’acheteur biomédical ne peut plus travailler seul. Il doit désormais piloter le projet aux côtés de la DSI (direction des systèmes d’information), du RSSI (responsable de la sécurité des systèmes d’information), du DPO (délégué à la protection des données) et des utilisateurs. » Elle compare ce rôle à celui d’un « chef d’orchestre ».
C’est ce message qui a le plus résonné auprès des participants. À l’issue de l’atelier, un ingénieur biomédical lui a écrit qu’il allait partager la présentation en interne afin de convaincre ses collègues de la DSI de consacrer davantage de temps à travailler ensemble sur les projets numériques. Pour Christel Vincenti, « le décloisonnement entre les métiers est aujourd’hui l’un des leviers les plus puissants pour sécuriser et réussir la transformation numérique des établissements de santé ».
Sécuriser l’achat dès la rédaction du marché
Christel Vincenti a ensuite rappelé l’importance d’intégrer les exigences de cybersécurité dès la rédaction du marché et du contrat, et non une fois le fournisseur choisi. Elle recommande pour cela de s’appuyer sur le clausier de conformité numérique, un ensemble de clauses types qui imposent au fournisseur des engagements clairs, tels que la gestion des vulnérabilités et mises à jour de sécurité, la réalisation de tests d’intrusion (qui simulent une attaque pour identifier d’éventuelles failles), la notification des incidents ainsi que les conditions d’hébergement des données et réversibilité, c’est-à-dire la possibilité de récupérer ses données et de changer de fournisseur. Christel Vincenti est convaincue : « la cybersécurité doit être considérée comme un critère d’achat à part entière, au même titre que les performances cliniques ou le coût ».
Cette démarche existe déjà chez UniHA et la CAIH. En 2023, UniHA et la CAIH ont signé un partenariat avec le Club des RSSI Santé : le clausier de sécurité est intégré à nos marchés et doit être pris en compte par les candidats aux appels d’offres. Élaboré en collaboration avec le réseau des DPO (délégués à la protection des données) hospitaliers et l’AFIB, ce clausier comprend 122 points de contrôle, qui couvrent notamment les logiciels et les équipements biomédicaux, et est en accès libre pour toutes les organisations de santé.
Un achat performant aujourd’hui doit être durable demain
« Le numérique responsable est devenu un critère de décision incontournable », pense Christel Vincenti. Il s’agit d’abord d’évaluer l’impact de la solution : sa sobriété numérique, l’empreinte environnementale des infrastructures qui l’hébergent, les engagements RSE du fournisseur et l’accessibilité des applications. S’assurer ensuite de rester maître de ses choix dans la durée : souveraineté et maîtrise des données, capacité à faire évoluer la solution, absence d’obsolescence prématurée et réversibilité, qui limite la dépendance aux éditeurs.
Par où commencer pour sécuriser l’achat d’un dispositif médical numérique ?
En résumé, Christel Vincenti conseille aux ingénieurs biomédicaux trois actions concrètes et immédiates :
- Mobiliser les experts internes : associer systématiquement la DSI, le RSSI et le DPO à chaque projet d’acquisition d’un dispositif médical numérique.
- Valider les critères réglementaires : vérifier dès la phase de sourcing le marquage CE, la conformité de l’hébergement HDS et le respect des exigences de cybersécurité.
- Standardiser l’analyse : s’appuyer sur des grilles d’évaluation structurées, comme celles proposées par l’AFIB, pour objectiver les choix et harmoniser les pratiques d’achat.
Ces actions sont simples, souligne-t-elle, mais permettent déjà de réduire considérablement les risques liés aux projets numériques.
