Publicité en cours de chargement...
Le Cybersecurity Act adopté par le Conseil de l’Union Européenne
Le règlement (UE) 2019/881 poursuit deux objectifs, instituer l’ENISA[ 2], l’Agence européenne pour la cybersécurité pour une une durée indéterminée, à partir du 27 juin 2019 en premier lieu, et définir ensuite un cadre européen de certification de cybersécurité.
Les État membres auront jusqu’au 28 juin 2021 pour se mettre en conformité.
L’ENISA, créée en 2004 et dont le Président du Conseil d’Administration est Jean-Baptiste Demaison, chargé d’affaires internationales au sein de l’ANSSI depuis 2011 [3], a pour rôle de soutenir la coopération entre les États membres et les aider à développer leurs capacités en matière de cybersécurité.
Alors que certains pensent encore que le numérique en santé est quelque chose « d’accessoire », le premier paragraphe du Règlement énumère les secteurs pour lesquels les technologies de l’information et des communications (TIC) sont indispensables à leur activité quotidienne, et la santé est le premier secteur cité.
Toujours dans la partie introductive de ce Règlement, j’ai beaucoup aimé le rappel qui est fait au huitième paragraphe :
« La cybersécurité n’est pas qu’une question liée à la technologie, mais une question pour laquelle le comportement humain est tout aussi important. C’est pourquoi il convient d’encourager vivement les citoyens, les organisations et les entreprises à adopter une «hygiène informatique», à savoir des mesures simples, de routine qui, lorsqu’ils les mettent en œuvre et les effectuent régulièrement, réduisent au minimum leur exposition aux risques liés aux cybermenaces. »
Un cadre commun de certification dont le but est d’élever le niveau en matière de sécurité, en permettant notamment aux consommateurs professionnels et particuliers, de comprendre facilement le niveau de sécurité des produits, services et processus TIC certifiés. Le niveau de sécurité si élevé soit-il, ne pouvant être absolu, le règlement rappelle l’importance de promouvoir et privilégier les règles fondamentales d’hygiène informatique.
Le texte souligne les risques liés aux dépendances des produits et systèmes numériques, tels que l’intégration de multiples technologies, de composants tiers ou bibliothèques et indique la nécessité de recenser et documenter ces dépendances pour permettre aux utilisateurs finaux une meilleure gestion des vulnérabilités. La FDA avait exprimée dans son plan d’action publié en avril 2018 [4], son intention d’obliger à fournir pour chaque dispositif médical, un listing exhaustif de l’ensemble des applicatifs et technologies participant au fonctionnement du DM, afin de sortir de ce mode « boîte noire » imposé par le constructeurs depuis de nombreuses années.
Ce cadre de certification présente trois niveaux :
- Le niveau élémentaire qui cible typiquement des objets grand public, non critiques (exemple : IoT)
- Le niveau substantiel qui cible le risque médian (exemple : hébergement externalisé – Cloud)
- Le niveau élevé qui cible les solutions pour lesquelles il existe un risque d’attaques menées par des acteurs avec des compétences et ressources significatives (exemple : véhicules ou dispositifs médicaux connectés).
Il a pour but d’imposer au maximum une conception « security by design » et imposer une configuration par défaut avec les paramétrages les plus sûrs possibles. Pour les produits avec une interface Web qui ne proposent que le protocole HTTP et un couple identifiant / mot de passe du type admin / admin par défaut, il va falloir sévèrement revoir la copie...
Des bonnes nouvelles pour la sécurité de nos SI, mais rassurez-vous, amis RSSI, ce n’est pas demain que vous allez manquer travail malgré tout...
[1] PDF : https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32019R0881&from=FR
[3] https://www.ssi.gouv.fr/actualite/lanssi-renforce-son-engagement-apres-de-lenisa/
Avez-vous apprécié ce contenu ?
A lire également.
Inauguration du cross care data lab ©
04 août 2025 - 14:15,
Tribune
- Jacques HUBERT & Selim HAOUCHINE, GHT Moselle-EstPorté par les Hôpitaux de Sarreguemines et le GHT de Moselle-Est, le projet Cross Care Data Lab est une pépinière d’entreprises nouvelle génération, véritable écosystème, entièrement dédiée à l’innovation numérique, à la cybersécurité et à l’intelligence artificielle appliqué à la santé.
Le consortium AGORiA Santé en partenariat avec BIOGROUP obtient la 1ère autorisation de la CNIL permettant d’associer des données de biologie et du SNDS (système national des données de santé)
22 juil. 2025 - 10:23,
Communiqué
- Biogroup & Agoria Santéle 21 juillet 2025 – Le consortium AGORiA Santé est autorisé par la CNIL (Commission nationale de l'informatique et des libertés) à enrichir sa plateforme, entrepôt de données de santé système fils SNDS, avec des données d’analyses de biologie médicales issues du réseau BIOGROUP. Créé en 2021, le co...
Un code de bonnes pratiques pour les modèles d'IA à usage général
15 juil. 2025 - 16:57,
Actualité
-Entré en vigueur le 1er août 2024, le Règlement sur l'Intelligence Artificielle (AI Act) vise à créer un cadre juridique uniforme pour le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d'IA dans le respect des valeurs de l’Union. Parmi les systèmes d'IA encadré...
Le numérique médico-social : mutation systémique et levier d’humanité
08 juil. 2025 - 01:07,
Actualité
- DSIHLongtemps resté en périphérie des politiques publiques du numérique en santé, le secteur médico-social entre aujourd’hui dans une phase de transformation profonde. C’est cette bascule, inédite et structurante, que décrivent Olivier Babinet et Manon Lorenzo dans leur ouvrage Le virage du numérique en...
