Incident de sécurité informatique concernant un laboratoire luxembourgeois d’analyses médicales

Réponse QP

3. September 2021

Réponse à la question parlementaire à Monsieur le Ministre de la Communication et des Médias, Monsieur le Ministre de la Sécurité sociale ainsi qu’à Madame la Ministre de la Santé au sujet d’un incident de sécurité informatique concernant un laboratoire luxembourgeois d’analyses médicales.

En date du 23 juillet 2021, un laboratoire luxembourgeois d’analyses médicales a publié un communiqué portant sur un incident de sécurité informatique auprès d’un laboratoire français, auquel le premier avait confié certaines données relatives à des actes d’analyses biologiques effectués entre 2016 et 2021. Du côté luxembourgeois, la Commission nationale pour la protection des données (CNPD) a été avertie.[1]

Outre le ministère de la Communication et des Médias chargé des relations avec la CNPD, l’incident a vocation à intéresser le ministère de la Santé ainsi que celui de la Sécurité sociale, en raison de la convention qui relie la Caisse nationale de santé et la Fédération luxembourgeoise des Laboratoires d’analyses médicales.[2]

Vu le caractère sensible des données compromises, il échet d’assurer un suivi étroit dans l’immédiat ainsi qu’une analyse approfondie par le futur.

Dans ce contexte, nous voudrions poser les questions suivantes à Monsieur et Madame les Ministres :

• Comment le suivi de l’incident de sécurité susvisé sera-t-il assuré au niveau gouvernemental ?
• Quelles sont les démarches que la CNPD entreprendra ou a déjà entreprises suite à la déclaration de l’incident ? Existe-t-il des procédures dédiées aux données hautement sensibles ou, au contraire, tous les incidents de sécurité sont-ils traités de la même manière ?
• Les ministres sont-ils en mesure de fournir de plus amples informations sur le déroulement de la cyber-attaque, concernant par exemple le ou les attaquants, le lieu de stockage des données, etc. ?
• Les personnes concernées par les données volées seront-elles informées individuellement de l’incident ainsi que de ses suites éventuelles ?
• Quelle est l’incidence de la convention liant la CNS et la Fédération luxembourgeoise des Laboratoires médicales sur le niveau de sécurité informatique de ces-derniers ? La norme ISO 15189 telle que mentionnée dans les articles 30 et 39 de la convention couvre-t-elle également les différents aspects de la sécurité informatique ? Dans l’affirmative, cette norme publiée en 2012 est-elle toujours suffisante dans ce domaine ?
• De manière générale, Monsieur le Ministre de la Sécurité sociale n’estime-t-il pas qu’au vu des cyber-attaques de plus en plus fréquentes visant les données de santé, et vu l’éventail de services de plus en plus large offert par les laboratoires, une précision voire un approfondissement des dispositions relatives à la sécurité informatique s’impose dans le cadre d’une prochaine convention avec les laboratoires d’analyses médicales ?

Question parlementaire

Réponse

[1] https://www.ketterthill.lu/fr/autres/actualites/incident-de-securite.html

[2] https://cns.public.lu/en/legislations/slbc/cns-fllam-convention.html