Article D1111-16-2 of the French Public Health Code

I.-The reporting of serious information system security incidents as provided for in Article L. 1111-8-2 is intended to :

1° Provide the competent State authorities with the information they need to decide on preventive measures in terms of information system security or to ensure the continuity of healthcare provision ;

2° Helping health establishments, organisations and services involved in preventive, diagnostic or care activities to take any useful measures to prevent the occurrence of significant or serious information system security incidents or to limit their effects.

II -Significant or serious information system security incidents are considered to be events which generate an exceptional situation within an establishment, organisation or service, and in particular :

-incidents with potential or proven consequences for the safety of healthcare ;

incidents with consequences for the confidentiality or integrity of health data; – incidents affecting the normal operation of a facility, organisation or service

-incidents affecting the normal operation of the establishment, organisation or service;

-incidents with a potential or proven impact on the departmental, regional or national organisation of the healthcare system;

-incidents likely to affect other establishments, organisations or services.

III -Serious information system security incidents are deemed to be significant if they have a potential or proven impact on the departmental, regional or national organisation of the healthcare system and if they are likely to affect other institutions, organisations or services.

Original in French 🇫🇷

Article D1111-16-2

I.-La déclaration des incidents graves de sécurité des systèmes d’information prévue par l’article L. 1111-8-2 est destinée à :

1° Fournir aux autorités compétentes de l’Etat les informations nécessaires pour décider des mesures de prévention en matière de sécurité des systèmes d’information ou permettant d’assurer la continuité de la prise en charge sanitaire ;

2° Aider les établissements de santé, organismes et services exerçant des activités de prévention, de diagnostic ou de soins à prendre toute mesure utile pour prévenir la survenue d’incidents significatifs ou graves de sécurité des systèmes d’information ou en limiter les effets.

II.-Sont considérés comme incidents significatifs ou graves de sécurité des systèmes d’information les événements générateurs d’une situation exceptionnelle au sein d’un établissement, organisme ou service, et notamment :

-les incidents ayant des conséquences potentielles ou avérées sur la sécurité des soins ;

-les incidents ayant des conséquences sur la confidentialité ou l’intégrité des données de santé ;

-les incidents portant atteinte au fonctionnement normal de l’établissement, de l’organisme ou du service ;

-les incidents ayant un retentissement potentiel ou avéré sur l’organisation départementale, régionale ou nationale du système de santé ;

-les incidents susceptibles de toucher d’autres établissements, organismes ou services.

III.-Parmi les incidents graves de sécurité des systèmes d’information, sont jugés significatifs les incidents ayant un retentissement potentiel ou avéré sur l’organisation départementale, régionale ou nationale du système de santé et les incidents susceptibles de toucher d’autres établissements, organismes ou services.