Le Cyber Resilience Act (CRA), nouveau règlement européen sur la cybersécurité des produits numériques, franchit une première étape importante. Depuis le 11 septembre 2026, les fabricants et éditeurs concernés doivent signaler les vulnérabilités activement exploitées ainsi que les incidents graves affectant leurs produits.
Éditeurs de logiciels de santé, fournisseurs de solutions SaaS, fabricants d’objets connectés… De nombreux acteurs de la santé numérique sont concernés par cette nouvelle réglementation. Quels sont les enjeux et les obligations à anticiper ?
Le CRA (règlement européen 2024/2847) a pour objectif de renforcer le niveau de cybersécurité des produits comportant des éléments numériques commercialisés au sein de l’Union européenne.
Face à la multiplication des cyberattaques et à l’exploitation de vulnérabilités logicielles, l’Europe entend imposer des exigences de sécurité tout au long du cycle de vie des produits : de leur conception jusqu’à leur maintenance.
Le règlement repose notamment sur deux principes :
Plusieurs catégories d’acteurs de l’écosystème de la santé numérique peuvent être soumises à ces nouvelles exigences, notamment :
Le Cyber Resilience Act introduit plusieurs exigences destinées à renforcer la sécurité des produits numériques.
1. Intégrer la cybersécurité dès la conception
Les fabricants et éditeurs doivent prendre en compte les enjeux de sécurité dès le développement de leurs produits et prévoir des configurations sécurisées par défaut.
2. Assurer une gestion continue des vulnérabilités
Ils doivent mettre en place des processus permettant de détecter, analyser et corriger les vulnérabilités, de diffuser les correctifs de sécurité et d’organiser leur divulgation de manière coordonnée.
3. Garantir la conformité et le suivi des produits
La réglementation impose également de constituer une documentation technique, de démontrer la conformité des produits et d’assurer une surveillance de leur sécurité après leur mise sur le marché.
Les fabricants et éditeurs concernés doivent désormais notifier les autorités en cas de :
Ces signalements doivent être effectués via la plateforme unique mise en place par l’ENISA (Agence de l’Union européenne pour la cybersécurité).
Le règlement prévoit des délais de notification précis :
Le 11 décembre 2027 marquera une nouvelle étape : les autres exigences du Cyber Resilience Act deviendront pleinement applicables.
Les organisations concernées doivent donc dès à présent anticiper leur mise en conformité et adapter leurs pratiques de développement, de maintenance et de gestion des incidents.
Pour engager cette démarche, plusieurs actions peuvent être mises en œuvre :
Au-delà de la conformité réglementaire, le Cyber Resilience Act constitue une opportunité pour renforcer durablement la confiance dans les solutions numériques.
Des produits mieux sécurisés, régulièrement maintenus et plus transparents contribuent à protéger les organisations, les professionnels et les usagers, tout en renforçant la résilience de l’écosystème européen de la santé numérique.
Votre organisation est-elle prête à répondre à ces nouvelles obligations et à notifier une vulnérabilité dans les 24 heures ?
Pour aller plus loin : Consulter le règlement européen (UE) 2024/2847 – Cyber Resilience Act
Source : Agence du Numérique en Santé (esante.gouv.fr)
