{"character_count": 789, "word_count": 5553
Article D1111-16-3
I.-La déclaration des incidents significatifs ou graves de sécurité des systèmes
d'information, sans préjudice des autres déclarations obligatoires, est
effectuée sans délai par le directeur de l'établissement de santé, de
l'organisme ou du service exerçant des activités de prévention, de diagnostic ou
de soins, de l'établissement médico-social ou la personne déléguée à cet effet,
auprès du groupement d'intérêt public mentionné à l'article L. 1111-24.
Le groupement d'intérêt public assure :
-l'analyse des incidents significatifs ou graves de sécurité des systèmes
d'information et la proposition des mesures à prendre pour faire face à cet
incident ;
-l'appui de la structure déclarant l'incident. Il peut formuler des
recommandations et notamment proposer des mesures d'urgence pour limiter
l'impact de celui-ci, des mesures de remédiation ainsi que des mesures destinées
à améliorer la sécurité du ou des systèmes d'information concernés ;
-la relation avec l'Agence nationale de sécurité des systèmes d'information,
notamment en cas d'incident concernant un opérateur de service essentiel ou qui
pourrait avoir un impact de portée nationale ;
-la prévention des incidents, en organisant les retours d'expérience au niveau
national, et la proposition de mesures d'aide au traitement des incidents ;
-la gestion et la mise en œuvre du traitement de données à caractère personnel
relatif aux signalements, dont les caractéristiques sont précisées par un arrêté
du ministre chargé de la santé.
Le groupement d'intérêt public informe sans délai le service du haut
fonctionnaire de défense et de sécurité des ministères sociaux de tout
signalement analysé. Il informe également sans délai les services compétents de
la direction générale de la santé, ainsi que les agences régionales de santé
concernées, de tout signalement susceptible d'avoir un impact sanitaire direct
ou indirect, notamment en cas de dysfonctionnement de l'offre de soins.
Le groupement d'intérêt public est informé sans délai de la résolution des
incidents par l'une des personnes mentionnées au premier alinéa du présent I.
Il établit, au vu des informations communiquées par les établissements et
organismes concernés, un rapport annuel à caractère statistique relatif aux
signalements anonymisés des incidents de sécurité des systèmes d'information. Ce
rapport est rendu public.
II.-Sous réserve des dispositions relatives à la protection du secret de la
défense nationale, la déclaration d'un incident significatif ou grave de
sécurité mentionné à l'article L. 1111-8-2 est effectuée via le site internet
mentionné à l'article D. 1413-58.
Le déclarant fournit toutes les informations dont il dispose au moment de la
découverte de l'incident et notamment les informations suivantes :
-les informations permettant d'identifier la structure concernée par l'incident
ainsi que le déclarant ;
-la description de l'incident, notamment la date du constat, le périmètre de
l'incident, les systèmes d'information et données concernées et l'état de la
prise en charge ;
-la description de l'impact de l'incident sur les données, sur les personnes,
sur les systèmes d'information et sur la structure ;
-les causes de l'incident, si celles-ci sont identifiées.
Le groupement d'intérêt public mentionné à l'article L. 1111-24 peut demander à
la structure concernée par l'incident toute information complémentaire
permettant la qualification de l'incident et la mise en place d'une réponse
adaptée.

Références
Articles faisant référence à l'article


Code de la santé publique - article L1111-24 AUTONOME VIGUEUR, en vigueur depuis le 2010-07-01 CITATION cible
    

Code de la santé publique - article L1111-24 AUTONOME MODIFIE, en vigueur du 2009-07-23 au 2010-07-01 CITATION cible
    

Code de la santé publique - article L1111-8-2 AUTONOME MODIFIE, en vigueur du 2018-01-19 au 2020-11-20 CITATION cible
    

Code de la santé publique - article D1413-58 AUTONOME MODIFIE, en vigueur du 2016-08-27 au 2024-05-27 CITATION cible
    

Code de la santé publique - article L1111-8-2 AUTONOME VIGUEUR, en vigueur depuis le 2020-11-20 CITATION cible
    

Code de la santé publique - article L1111-8-2 AUTONOME MODIFIE, en vigueur du 2016-01-28 au 2018-01-19 CITATION cible
    

Décret n° 2022-715 du 27 avril 2022 relatif aux conditions et aux modalités de mise en œuvre du signalement des incidents significatifs ou graves de sécurité des systèmes d'information - article 1 ENTIEREMENT_MODIF MODIFIE source
    

Références faites par l'article


      2017-10-30 CITATION cible Arrêté du 30 octobre 2017 relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d'information - article 2 AUTONOME VIGUEUR, en vigueur depuis le 2017-11-09


      2017-10-30 CITATION cible Arrêté du 30 octobre 2017 relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d'information - article 5 AUTONOME VIGUEUR, en vigueur depuis le 2017-11-09


      2022-04-27 MODIFIE cible Décret n° 2022-715 du 27 avril 2022 relatif aux conditions et aux modalités de mise en œuvre du signalement des incidents significatifs ou graves de sécurité des systèmes d'information - article 1 ENTIEREMENT_MODIF


      2999-01-01 CITATION source Code de la santé publique - article D1413-58 AUTONOME MODIFIE, en vigueur du 2016-08-27 au 2024-05-27


      2999-01-01 CITATION source Code de la santé publique - art. L1111-24
    

      2999-01-01 CITATION source Code de la santé publique - art. L1111-8-2
    

