La démarche en ligne tournait depuis deux ans et personne ne s'en plaignait. Ni analyse de risques, ni catégorisation du système, ni déclaration d'applicabilité, ni déclaration d'accessibilité. Au premier dossier exigeant la catégorie moyenne, il n'y avait rien à produire.

Analyse de risques, catégorisation du système et déclaration d'applicabilité selon le cadre national de sécurité. Révision du portail au regard de l'EN 301 549 et publication de la déclaration d'accessibilité, méthode et date comprises.

Les sauvegardes tournaient chaque nuit et le rapport était au vert depuis trois ans. Personne n'avait jamais tenté une restauration, et la seule copie accessible se trouvait sur le même réseau que le serveur du dossier patient.

Données de santé classées en catégorie particulière au titre de l'article 9 du RGPD, schéma de sauvegarde avec une réplique déconnectée du réseau, et test de restauration complet mesurant le temps réel de retour au service.

Le réseau clients, le terminal de point de vente, les caméras et le serveur de réservations partageaient le même adressage. Tout client connecté depuis sa chambre voyait la machine qui conservait les réservations et le registre des voyageurs.

Réseau clients isolé, avec isolation entre clients également. Segments distincts pour le point de vente et pour les caméras. Revue du traitement des données du registre des voyageurs et de leur durée de conservation.