Pentest healthtech 2026 : HDS, PGSSI-S et Ségur
Les healthtechs, éditeurs de logiciels santé et hébergeurs de données de santé font face à un cadre de sécurité unique : certification HDS, référentiel PGSSI-S de l'ANS, exigences Ségur du numérique en santé et, pour les dispositifs médicaux logiciels, règlement MDR. Ce guide détaille le scope pentest, les exigences réglementaires et les budgets typiques.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
HDS, PGSSI-S, Ségur : qui impose quoi ?
Trois cadres réglementaires se superposent pour une healthtech française :
- Certification HDS (Hébergeur de Données de Santé) : encadrée par l'article L1111-8 du Code de la santé publique. Référentiel HDS v2 publié par l'ANS, avec transition achevée le 16 mai 2026. Audit par un organisme certificateur accrédité COFRAC (LNE, AFNOR Cert, Bureau Veritas, SGS, etc.). Les preuves et tests à présenter se déterminent selon les exigences applicables, les activités certifiées et l'analyse de risques.
- PGSSI-S : politique générale de sécurité des SI de santé, opérée par l'ANS. Référentiels techniques : authentification Pro Santé Connect / carte CPS, imputabilité, référentiels d'identification (INS, NIR), règles de chiffrement, traçabilité des accès.
- Ségur du numérique en santé : programme de financement par la délégation ministérielle du numérique en santé. Référencement via des DSR par couloir d'activité (ville, biologie, radiologie, hôpital, EHPAD, officine). Chaque DSR inclut des exigences sécurité renvoyant au PGSSI-S.
À cela s'ajoutent, selon votre produit : RGPD (données de santé = catégorie particulière, art. 9 RGPD), NIS2 selon votre secteur, votre taille et les exceptions applicables, ou des exigences contractuelles de chaîne d'approvisionnement si vous êtes sous-traitant, et règlement MDR/IVDR si votre logiciel a une finalité médicale.
Scope typique d'un pentest healthtech
Le périmètre typique d'un pentest pour une healthtech française couvre :
- Application métier : portail professionnel de santé (médecin, infirmier, pharmacien) et/ou portail patient. Tests OWASP WSTG, gestion des sessions, séparation stricte des environnements pro/patient.
- Authentification Pro Santé Connect : flux OIDC/SAML avec l'IdP ANS, gestion carte CPS, tokens, claims (profession exercée, mode d'exercice, structure de rattachement). Tests : replay, token leakage, mauvaise validation de claims, session fixation.
- API INS (Identifiant National de Santé) : téléservice d'identito-vigilance. Tests : gestion des identités provisoires, matching INS, fuites d'INS dans les logs, contrôle d'accès sur lecture/écriture.
- Intégration DMP / Mon Espace Santé : API DMP LPS et ALD. Tests : périmètre autorisé par patient, respect du masquage des documents par le patient, bon usage de l'autorisation d'accès en urgence (« bris de glace »).
- Messagerie sécurisée MSSanté : envoi/réception de messages et pièces jointes. Tests : chiffrement S/MIME si utilisé, séparation annuaire pro vs patient, prévention de fuite inter-patients.
- Back-office & administration : gestion des comptes professionnels, purges, exports, supervision. Tests d'escalade horizontale et verticale, revue des rôles (médecin, secrétaire, admin structure, admin plateforme).
- Infrastructure HDS : si vous êtes vous-même hébergeur ou infogéreur HDS : revue du cloud (IAM, KMS, logs, bastion), conformité de l'environnement d'hébergement à la certification.
Top 5 vulnérabilités trouvées en pentest healthtech
- IDOR sur dossier patient : manipulation d'un identifiant patient (INS, ID interne) pour accéder au dossier d'un autre patient. Exemple de risque à tester : accès illégitime à des données couvertes par le secret médical.
- Mauvaise validation du claim « profession exercée » Pro Santé Connect : un utilisateur authentifié en tant que kinésithérapeute peut accéder à des données réservées aux médecins parce que l'application ne vérifie pas la valeur du claim au-delà du fait qu'il est signé.
- Fuite d'INS ou de NIR dans les logs, URLs ou messages d'erreur : exposition en clair dans l'APM, les exports CSV, les traces Sentry, ou même dans les URL GET. Écart flagrant PGSSI-S.
- Bris de glace mal tracé : accès d'urgence activable sans motif obligatoire, sans horodatage immuable, sans notification au patient ni supervision. Non-conformité DMP ANS.
- Téléconsultation ou téléexpertise sans cloisonnement strict : pièces jointes partagées entre sessions, persistance de vidéo ou chat dans un stockage non-HDS, métadonnées non purgées.
Budget pentest healthtech : fourchettes marché 2026
| Stade / produit | Budget HT |
|---|---|
| Healthtech seed (app + 1 intégration DMP ou MSSanté) | 6 000 – 14 000 € |
| Plateforme référencée Ségur (multi-couloirs) | 15 000 – 35 000 € |
| Éditeur SIH / DPI / PACS (hôpital, clinique) | 25 000 – 70 000 € |
| Pentest HDS (volet application + infra cloud) | 20 000 – 50 000 € |
| DM logiciel classe IIa+ (MDR, IEC 81001-5-1) | 15 000 – 45 000 € |
Fourchettes indicatives de cadrage, à confirmer sur devis, pour pentest manuel par pentester confirmé / senior. La fréquence et le type de tests sont à confirmer avec les exigences HDS et le DSR Ségur effectivement applicables. Les missions hospitalières (SIH, DPI) impliquent souvent une phase d'intégration avec la DSI et un volet tests en environnement de qualification. Chez Laucked, chaque mission healthtech est dimensionnée sur devis après atelier de cadrage HDS / PGSSI-S / Ségur : demander un devis.
Livrables attendus par un auditeur HDS ou un référenceur Ségur
- Rapport de pentest dont la récence répond au référentiel ou au contrat concerné, exécutif + technique, avec méthodologie et périmètre clairement décrits.
- Liste des vulnérabilités notées CVSS (v3.1 ou v4.0), avec preuves d'exploitation (captures, requêtes HTTP), impact et recommandation.
- Plan de remédiation daté, avec responsables et dates de correction.
- Attestation de re-test (ou rapport de re-test) prouvant que les vulnérabilités critiques et élevées ont été corrigées.
- CV du pentester (certifications individuelles telles que OSCP ou CEH, expérience santé ; la qualification PASSI concerne le prestataire et son périmètre d'audit, pas une certification individuelle).
- Mention de l'indépendance du prestataire (ni fournisseur d'une solution de sécurité exploitée sur le scope, ni développeur du logiciel testé).
FAQ : Pentest healthtech
Ma healthtech doit-elle être certifiée HDS ?
La certification HDS dépend des activités d'hébergement réalisées pour le compte d'un tiers et du champ de l'article L1111-8 du Code de la santé publique. Toute healthtech n'est pas automatiquement hébergeur certifiable. Vérifiez les activités couvertes par votre prestataire et celles que vous assurez vous-même. La transition HDS v1.1 vers v2 a pris fin le 16 mai 2026. Le programme de tests dépend du périmètre et de l'analyse de risques : cela ne constitue pas une obligation universelle de pentest annuel pour chaque éditeur santé.
Qu'est-ce que le PGSSI-S et faut-il s'y conformer ?
Le PGSSI-S (Politique Générale de Sécurité des Systèmes d'Information de Santé) est le corpus de référentiels publié par l'ANS (Agence du Numérique en Santé, ex-ASIP Santé). Il impose des règles techniques : authentification forte des professionnels (Pro Santé Connect / carte CPS), imputabilité, chiffrement TLS, traçabilité, gestion des comptes, intégrité des flux. Pour les éditeurs référencés Ségur ou voulant s'interfacer à Mon Espace Santé, la conformité PGSSI-S n'est plus optionnelle. Un pentest vérifie que ces règles sont effectivement implémentées côté application.
Le référencement Ségur impose-t-il un pentest ?
Le Ségur du numérique en santé (vague 1 et vague 2) impose des exigences de sécurité documentées dans les DSR (Dossiers de Spécifications de Référencement) propres à chaque couloir : médecin de ville, biologie, radiologie, hôpital, EHPAD, officine. Ces exigences renvoient au PGSSI-S et, selon le couloir, à des tests de sécurité intrusifs. Vérifiez le DSR et la version du dispositif de référencement concernés : la nature des tests et l'ancienneté des preuves ne peuvent pas être généralisées à tous les couloirs.
Quelle différence entre pentest healthtech et pentest SaaS classique ?
Trois différences majeures : (1) le scope couvre des API spécifiques santé (Pro Santé Connect, INS, DMP/Mon Espace Santé, messageries MSSanté) absentes d'un SaaS classique. (2) L'impact juridique d'une fuite est maximal : une violation de données de santé déclenche l'article 33 RGPD mais aussi potentiellement un signalement ANSSI/CERT Santé, un arrêt Ségur, et des sanctions CNIL amplifiées (données de santé = catégorie particulière RGPD). (3) Le pentester doit maîtriser la sémantique métier (DMP, INS, NIR, CPS, DMR) pour tester réellement la logique d'accès aux données patient.
Un dispositif médical logiciel doit-il être pentesté ?
Un logiciel qualifié de dispositif médical doit satisfaire aux exigences de sécurité et de performance du règlement MDR ou IVDR applicable. La stratégie de vérification et validation cybersécurité dépend de l'usage prévu, des risques, des normes applicables et du dossier technique. Un pentest peut fournir une preuve technique utile, mais nous ne déduisons pas ici une obligation uniforme de pentest d'une seule classe de dispositif. Faites confirmer les essais et preuves requis avec votre spécialiste réglementaire et, lorsqu'il intervient, l'organisme notifié.
Combien coûte un pentest healthtech ?
Pour une healthtech seed (app + back-office + 1 intégration DMP ou MSSanté) : 6 000 à 14 000 € HT. Pour une plateforme référencée Ségur (multi-couloirs, Pro Santé Connect, INS, messagerie sécurisée) : 15 000 à 35 000 € HT. Pour un éditeur de logiciel hospitalier (SIH, DPI, PACS) : 25 000 à 70 000 € HT. Le pentest de certification HDS d'un infogéreur inclut souvent un volet infrastructure (cloud, conteneurs) qui porte le budget à 20 000-50 000 €. Ces montants sont des scénarios indicatifs de cadrage, non une étude de marché. La fréquence des missions dépend du risque et des exigences applicables.
Sources et articles liés
Références vérifiées le 10 septembre 2026 : ANS : transition HDS v2 ; référentiels et activités HDS. La revue éditoriale ne remplace pas la validation de votre dossier par le certificateur.
Pentest healthtech HDS & Ségur-ready
Rapport technique préparé selon le périmètre et les exigences convenus, sans valoir certification HDS ou référencement Ségur, livré sous 5 à 15 jours selon périmètre. Méthodologie documentée, re-test inclus.
Demander un devis pentest healthtech