Mis à jour le 26 octobre 2026
Le CERT-FR de l'ANSSI et le CERT Santé de l'Agence du Numérique en Santé ont publié le 2 octobre 2026 un retour d'expérience sur les vulnérabilités des solutions logicielles du secteur de la santé. Ce document concerne les directions d'établissement autant que les DSI. Il décrit des logiciels largement déployés, exposés à des failles critiques que certains éditeurs mettent plus d'un an à corriger. Pour un établissement de santé, la question devient très concrète : comment obtenir de ses éditeurs un niveau de sécurité compatible avec la continuité des soins ?
Que constatent le CERT-FR et le CERT Santé ?
Le retour d'expérience du CERT-FR et du CERT Santé porte sur des logiciels d'éditeurs largement déployés dans le secteur de la santé. Les deux équipes y relèvent des vulnérabilités critiques, facilement exploitables depuis Internet, dont la correction intervient parfois plus d'un an après le signalement. Elles s'appuient sur les incidents qu'elles ont traités et sur les remontées des établissements. Un sondage de l'Agence du Numérique en Santé, cité dans le document, indique que 74 % des établissements répondants ont déjà eu affaire à un éditeur qui tarde ou refuse de corriger une faille. Le rapport classe les mauvaises pratiques observées en cinq familles :
- des délais de correction trop longs et une communication insuffisante envers les clients ;
- une gestion défaillante des secrets (mots de passe, clés) ;
- un contrôle insuffisant des données saisies ;
- une exposition non sécurisée sur Internet ;
- un contrôle d'accès déficient.
Pourquoi ce rapport concerne-t-il d'abord les directions d'établissement ?
Une vulnérabilité non corrigée chez un éditeur devient un risque pour l'établissement dès que le logiciel tourne dans ses services. C'est l'établissement qui subit l'interruption d'activité, la fuite de données ou le fonctionnement en mode dégradé. Le choix d'un éditeur, la rédaction du contrat et le suivi des correctifs relèvent donc de la gouvernance, au même titre que la qualité des soins.
Selon les reprises du rapport par la presse spécialisée, 90 % des établissements interrogés n'ont pas de canal formalisé pour signaler une faille à leur éditeur. La relation avec les éditeurs repose donc encore souvent sur des échanges informels avec la DSI. Le référentiel de certification HAS attend pourtant que les risques de sécurité numérique soient maîtrisés. Cette maîtrise suppose une démarche portée par la direction.
Que change le Cyber Resilience Act pour les logiciels de santé ?
Le Cyber Resilience Act (règlement européen 2024/2847) impose des exigences de cybersécurité aux fabricants de produits comportant des éléments numériques, éditeurs de logiciels compris. Le calendrier se déroule en plusieurs étapes :
- depuis le 11 septembre 2026, les fabricants doivent déclarer les vulnérabilités activement exploitées et les incidents graves ;
- le 11 décembre 2027, le règlement s'appliquera pleinement ;
- en cas de manquement, les sanctions pourront atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
Les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro restent hors de son champ, car ils relèvent de leur propre réglementation. Pour les établissements, le texte fournit un levier de négociation. Ses exigences peuvent être reprises dès aujourd'hui dans les cahiers des charges et les contrats, sans attendre 2027.
Quelles exigences inscrire dans les contrats avec les éditeurs ?
Les recommandations des deux CERT aux établissements, telles que les rapporte la presse spécialisée, se traduisent en clauses et en contrôles concrets :
- Tenir un inventaire des logiciels métier qui traitent des données de santé, avec pour chacun l'éditeur, la version déployée et le dernier correctif appliqué.
- Exiger que les correctifs de sécurité soient publiés séparément des évolutions fonctionnelles payantes.
- Vérifier que l'éditeur dispose d'une politique de divulgation coordonnée des vulnérabilités.
- Inscrire au contrat un canal formalisé de signalement des failles, puis le contrôler lors des audits.
- Suivre les délais de correction de chaque éditeur comme un indicateur de conformité.
- Protéger tout accès distant, comme la télémaintenance, par une authentification robuste, avec un second facteur si nécessaire.
Ces mesures relèvent surtout de l'organisation. Elles mobilisent ensemble les achats, la DSI, le délégué à la protection des données et la direction.
Les outils d'IA ajoutent-ils des éditeurs à surveiller ?
Chaque outil d'intelligence artificielle déployé dans un établissement s'accompagne d'un éditeur, de mises à jour et d'accès à surveiller. Le retour d'expérience des deux CERT porte sur les logiciels du secteur en général. Ses constats valent aussi pour les solutions d'IA qui arrivent dans les services.
Le référentiel de certification HAS demande d'ailleurs aux établissements de piloter l'usage des dispositifs médicaux numériques et des outils technologiques innovants, en particulier ceux qui font appel à l'IA. Pour ARCADIA, la vigilance sur les éditeurs fait partie de ce pilotage. Avant de déployer un outil d'IA, la direction doit savoir qui le maintient, comment ses failles sont signalées et dans quels délais elles sont corrigées.
Comment former les équipes à la cybersécurité en établissement de santé ?
Former les équipes à la cybersécurité consiste à donner à chaque professionnel les réflexes qui réduisent l'exposition de l'établissement. Ces réflexes contribuent directement à la maîtrise des risques numériques attendue par la certification HAS. Chez ARCADIA, c'est l'objet de notre formation « Cybersécurité et hygiène numérique en établissements de santé », d'une durée d'une journée (7 heures).
La formation est financée par l'établissement, via l'OPCO Santé, l'ANFH ou le plan de développement des compétences. Les budgets de formation repartent à zéro au 1er janvier : c'est le moment d'inscrire cette action dans votre plan 2027.
Questions fréquentes
Qu'est-ce que le CERT Santé ?
Le CERT Santé est l'équipe de réponse aux incidents de cybersécurité du secteur de la santé, rattachée à l'Agence du Numérique en Santé. Il accompagne les structures de santé dans le traitement de leurs incidents de sécurité. Il publie chaque année un observatoire des incidents déclarés.
Le Cyber Resilience Act s'applique-t-il aux dispositifs médicaux ?
Non. Les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro sont exclus du Cyber Resilience Act, car ils relèvent de leur propre réglementation européenne. Les autres logiciels utilisés en établissement de santé entrent dans son champ.
À partir de quand les éditeurs de logiciels de santé doivent-ils respecter le Cyber Resilience Act ?
Ils doivent déclarer les vulnérabilités activement exploitées depuis le 11 septembre 2026. L'ensemble du règlement s'appliquera le 11 décembre 2027.
Que faire si un éditeur tarde à corriger une faille ?
Documentez la faille et vos échanges avec l'éditeur, puis suivez le délai de correction prévu au contrat. Le CERT Santé a construit son retour d'expérience à partir des remontées des établissements : il peut être sollicité.
Comment financer une formation cybersécurité pour le personnel d'un établissement de santé ?
Une formation ARCADIA est prise en charge par l'établissement employeur, via l'OPCO Santé pour le secteur privé, l'ANFH pour la fonction publique hospitalière, ou le plan de développement des compétences.
Votre établissement souhaite former ses équipes ? Demandez le programme de la formation « Cybersécurité et hygiène numérique en établissements de santé » ou contactez ARCADIA pour en parler.
Sources
- CERT-FR et CERT Santé, « Vulnérabilités de solutions logicielles du secteur santé : retour d'expérience », 2 octobre 2026 : https://cyberveille.esante.gouv.fr/actualites/vulnerabilites-de-solutions-logicielles-du-secteur-sante-retour-dexperience-du-cert-fr