Sur la base des travaux de recherche du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Des données de recherche sensibles d'une valeur de plusieurs milliards. Des installations de production hautement automatisées dont l'arrêt peut provoquer des pénuries d'approvisionnement en médicaments essentiels. Un rôle clé pour les soins de santé de pays entiers. L'industrie pharmaceutique réunit tout ce qui en fait une cible de choix pour les cybercriminels et les attaquants étatiques. Et depuis la directive NIS 2 et le Cyber Resilience Act, elle est pour la première fois globalement régulée. Teichmann a analysé de manière systématique les exigences concrètes pour le secteur pharmaceutique (Teichmann, Cybersecurity im Pharmasektor – Anforderungen der EU-NIS-2-Richtlinie und des Cyber Resilience Act, Pharma Recht 2025, p. 590–595).

Pourquoi le secteur pharmaceutique est particulièrement menacé

Les entreprises pharmaceutiques cumulent plusieurs facteurs de risque. Elles disposent de données de recherche de grande valeur – formules de substances actives, résultats d'essais cliniques, informations sur les brevets –, dont le vol permet l'espionnage industriel à grande échelle. Elles exploitent des installations de production hautement automatisées, dont la manipulation ou l'arrêt met en péril l'approvisionnement en médicaments. Et elles jouent un rôle critique pour le système, ce qui en fait la cible d'extorqueurs qui exercent une pression maximale (Teichmann, Pharma Recht 2025, p. 590–595).

Le législateur européen a réagi à cela par deux cadres réglementaires complémentaires : la directive NIS 2, qui régule l'activité des entreprises pharmaceutiques, et le Cyber Resilience Act, qui traite de la sécurité des produits numériques qu'elles utilisent et fabriquent.

Les entreprises pharmaceutiques comme infrastructures critiques

La nouveauté la plus importante de la directive NIS 2 pour le secteur pharmaceutique est sa classification explicite comme infrastructure critique. Dans le secteur de la santé, NIS 2 englobe non seulement les hôpitaux et les laboratoires, mais aussi expressément les fabricants de médicaments ainsi que les établissements de recherche et développement de médicaments. Il s'agit d'un changement fondamental : selon l'ancienne réglementation allemande KRITIS, seuls les hôpitaux étaient principalement considérés comme des infrastructures critiques dans le secteur de la santé, tandis que les producteurs de produits pharmaceutiques n'étaient pas concernés (Teichmann, Pharma Recht 2025, p. 590–595).

Avec NIS 2, la situation change radicalement. L'Office fédéral de la sécurité des technologies de l'information (BSI) s'attend à ce qu'environ 29 000 entités soient nouvellement concernées par ces obligations en Allemagne au total – y compris de nombreuses entreprises pharmaceutiques qui doivent pour la première fois respecter des exigences de cybersécurité globales. La règle générale est : plus de 50 employés ou plus de 10 millions d'euros de chiffre d'affaires annuel.

Les exigences concrètes de NIS 2

Les entreprises pharmaceutiques concernées doivent prendre des mesures de sécurité techniques, organisationnelles et opérationnelles appropriées, conformes à l'état de l'art. Cela comprend une stratégie de sécurité globale avec une analyse continue des risques prenant en compte les menaces spécifiques au secteur telles que l'espionnage industriel, une gestion efficace des réponses aux incidents, des mesures de continuité d'activité avec gestion des sauvegardes et plans d'urgence, ainsi que la sécurisation systématique de la chaîne d'approvisionnement (Teichmann, Pharma Recht 2025, p. 590–595).

La sécurité de la chaîne d'approvisionnement est particulièrement pertinente pour le secteur pharmaceutique, car les installations de production reposent sur un grand nombre de fournisseurs, de prestataires de logiciels et de services informatiques. Les obligations de signalement suivent un modèle en trois étapes : alerte précoce dans les 24 heures, notification d'incident dans les 72 heures, rapport final dans un délai d'un mois.

Le Cyber Resilience Act : une spécificité pour la pharma

Le Cyber Resilience Act apporte une distinction importante. Les dispositifs médicaux eux-mêmes sont exclus du CRA car le règlement sur les dispositifs médicaux prévoit déjà des exigences de cybersécurité spécifiques à ce secteur. Mais cela ne signifie pas que le CRA est dénué d'importance pour les entreprises pharmaceutiques (Teichmann, Pharma Recht 2025, p. 590–595).

En effet, les entreprises pharmaceutiques utilisent de nombreux produits connectés qui ne sont pas considérés comme des dispositifs médicaux : les systèmes de contrôle industriel, les capteurs IoT, les appareils de laboratoire connectés au réseau, le matériel informatique général et les logiciels. Tous ces produits devront respecter les exigences du CRA à partir de 2027. Et si les entreprises pharmaceutiques développent et mettent elles-mêmes sur le marché des produits connectés, elles devront assumer l'ensemble des obligations incombant aux fabricants selon le CRA.

Les conséquences juridiques en cas de non-respect

Les sanctions prévues par la directive NIS 2 sont considérables : pour les entités essentielles, des amendes pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial sont encourues. À cela s'ajoute la responsabilité personnelle des dirigeants : NIS 2 exige de la direction de l'entreprise qu'elle approuve activement les mesures de cybersécurité, les surveille et suive des formations. Les manquements aux obligations peuvent entraîner une responsabilité civile personnelle des dirigeants (Teichmann, Pharma Recht 2025, p. 590–595).

Conclusion : La cybersécurité devient un facteur de sécurité d'approvisionnement

Dans le secteur pharmaceutique, la cybersécurité prend une dimension qui dépasse la simple entreprise individuelle : elle fait partie intégrante de la sécurité d'approvisionnement. Une cyberattaque réussie contre un grand fabricant de médicaments peut provoquer des pénuries d'approvisionnement en médicaments vitaux. Avec NIS 2 et le CRA, le législateur européen a pour la première fois rendu le secteur pharmaceutique pleinement responsable. L'effort est considérable – mais il s'agit d'un investissement dans la résilience d'un secteur dont le bon fonctionnement est indispensable à la santé de millions de personnes.

Toutes les sources font référence à des travaux de recherche scientifique publiés par le Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliographie complète est documentée dans la liste des publications (en date de mai 2026).