Le paysage réglementaire healthtech en 2026
Le secteur healthtech français est régi par un empilement particulièrement contraignant :
HDS (Hébergeur de Données de Santé) — certification obligatoire pour tout hébergeur de données de santé en France (article L1111-8 CSP). Référentiel HDS-Hébergeur ou HDS-Infogéreur selon le rôle. Audit certificateur agréé par l'ANS (Agence du Numérique en Santé).
RGPD données de santé — données sensibles au sens de l'article 9 RGPD. Obligations renforcées : base légale spécifique, registre, AIPD (analyse d'impact), DPO obligatoire pour les acteurs santé.
ISO 27001 — quasi-prérequis pour vendre à un GHT, un grand établissement, ou un industriel pharmaceutique. Facilite HDS de 50-60%.
MDR (EU 2017/745) — Médical Device Regulation. Pour les dispositifs médicaux logiciels (SaMD), classe IIa et IIb principalement.
AI Act — les systèmes IA dans les dispositifs médicaux sont classés haut risque par l'Annexe III. Articulation avec la MDR.
NIS2 — le secteur santé est explicitement listé. Établissements de santé, fabricants de dispositifs médicaux, laboratoires pharmaceutiques sont entités essentielles ou importantes.
Les chantiers types healthtech
1. Certification HDS. Préalable à toute vente à un acteur santé français. 9-12 mois. Bundle HDS + ISO 27001 sur 12 mois économise 30-40% vs deux démarches.
2. AIPD (Analyse d'impact RGPD). Obligatoire pour le traitement de données de santé. Documentation des risques, mesures de mitigation, validation par DPO.
3. Conformité MDR si SaMD (Software as Medical Device). Notice d'utilisation, surveillance post-commercialisation, traçabilité. Articulation avec ISO 13485 (système qualité dispositif médical).
4. AI Act + ISO 42001 si IA médicale. Documentation Annexe IV, surveillance humaine renforcée (la santé est un domaine où l'humain doit rester décisionnaire), robustesse adversariale.
5. Sécurité produit. Audit code source, threat modeling spécifique santé (modèles d'attaques contre les SaaS médicaux), durcissement de l'infrastructure d'hébergement HDS-compatible.
Pour qui c'est pertinent
Trois profils healthtech où WeeSec apporte le plus de valeur :
- Startup ou scale-up e-santé (15-100 personnes) qui démarre la chasse aux clients établissement de santé et a besoin de la certification HDS pour qualifier les RFP.
- SaaS médical IA-native (radiologie assistée, scoring patient, aide au diagnostic) — soumis cumulativement à MDR + AI Act + HDS + RGPD.
- Healthtech industrielle (pharmaceutique, biotech) qui doit répondre aux DDQ sécurité de leurs partenaires hospitaliers.
Les éditeurs DMP / DPI matures avec services informatiques dédiés ont généralement leur propre fonction cyber — WeeSec intervient alors en mission ad-hoc (audit IA, threat modeling SaaS médical, support audit certificateur).
Combien ça coûte
Programme cyber healthtech complet (HDS + ISO 27001 + RGPD) sur 12-18 mois pour une scale-up 30-100 personnes : 150-300 K€.
Bundle HDS + ISO 27001 sur 12 mois : 120-180 K€ (vs 200-280 K€ séparés).
RSSI externalisé healthtech : 8-15 K€ HT/mois.
Audit HDS seul (gap analysis + plan d'action) : 18-35 K€ HT.
AIPD assistée : 8-15 K€ HT par traitement majeur.
Conformité AI Act + ISO 42001 pour SaaS IA médicale : 50-120 K€ sur 6 mois.
