La disponibilité du service fait partie de la décision
Dans un établissement de santé, appliquer un correctif peut nécessiter une validation fournisseur, des essais et une coordination avec les utilisateurs. Pour décider, il faut connaître la version installée, l'applicabilité de la vulnérabilité et les conditions de maintenance. Une alerte non qualifiée ou une réponse fournisseur encore attendue doit rester identifiable dans le suivi.
Le retour d'expérience publié par le CERT Santé et le CERT-FR le 2 octobre 2026 souligne l'importance du traitement des vulnérabilités des produits numériques et du dialogue avec leurs éditeurs. Pour l'établissement, ce travail commence par le rapprochement des avis avec son inventaire et les contraintes des services concernés.
Établir ce qui est réellement concerné avant de planifier
Distinguez le logiciel métier, ses composants, le système et la version déployée. Vérifiez la provenance du paquet, les fonctions activées et les conditions décrites par l'éditeur. Un dossier incomplet reste à investiguer, avec une demande précise adressée au fournisseur ou à l'équipe qui détient l'information.
Établissez la priorité selon les fonctions soutenues, les accès, l'exposition et les contraintes de maintenance. L'isolement d'un système peut modifier les conditions d'exploitation sans rendre l'alerte fausse. De même, une restriction d'accès temporaire est une mesure d'atténuation, distincte d'une correction. Le registre conserve le traitement retenu et le responsable de la décision.
Cas fictif : une application de service attend une validation
Dans cet exemple fictif, Les Ormes utilise l'application de coordination Service-R 5.1. L'avis DEMO-SANTE-01 vise une bibliothèque embarquée dont l'établissement ne connaît pas la version exacte. Une demande datée est adressée à l'éditeur pour confirmer l'inventaire et la présence de la fonction concernée.
L'éditeur confirme l'applicabilité et prépare une mise à jour. L'équipe technique organise les essais avec le responsable du service. Une restriction d'accès est retenue dans l'intervalle, avec une condition de réexamen si l'exposition ou l'avis change. La clôture attend la preuve de la version installée et la vérification prévue, au-delà de la seule disponibilité du correctif.
| État du dossier fictif | Prochaine étape | Élément conservé |
|---|---|---|
| À investiguer | Obtenir l'inventaire fournisseur | Demande et réponse datées |
| Applicable | Préparer les essais et la maintenance | Analyse et plan de changement |
| Mesure temporaire | Réexaminer ses conditions | Décision, propriétaire et déclencheur |
| Traitement réalisé | Vérifier la version concernée | Preuve du déploiement et du contrôle |
Identifier le cadre de l'établissement et celui du produit
Le secteur santé figure dans NIS2 ; l'applicabilité à une structure dépend des critères et exceptions du texte et de sa mise en œuvre nationale. Le CRA se raisonne par produit et rôle. Son article 2 exclut notamment les produits relevant des règlements européens relatifs aux dispositifs médicaux et au diagnostic in vitro. Les deux analyses ne se confondent donc pas.
Pour ouvrir une qualification, les références du produit, les versions et les informations techniques nécessaires suffisent souvent. Limitez les échanges à ces éléments, par les canaux convenus. Si l'analyse demande des accès à un environnement sensible, définissez au préalable les autorisations et les données nécessaires avec les responsables concernés.
Sources : Directive (UE) 2022/2555, articles 2, 4 et 21 et annexes, CRA, règlement (UE) 2024/2847, articles 2, 13, 69, 71 et annexe I
Réduire les réanalyses et mieux préparer les opérations
Commencez par un ensemble de services identifié, avec ses inventaires, contrats de support et contacts fournisseurs. Définissez les preuves attendues pour qualifier et clôturer les dossiers. La revue suit ensuite les réponses manquantes, les actions sans responsable, les exceptions à réexaminer et les correctifs prêts à être validés.
CyberLifeCycle assure la veille, qualifie les vulnérabilités et suit les actions de votre périmètre. Vos équipes disposent des dossiers, des alertes et des rapports pour préparer les opérations. Évaluez ce travail par le temps de préparation et les dossiers à réanalyser. L'établissement et ses prestataires habilités décident et exécutent les changements en tenant compte de la continuité des services.
Sources consultées
- Directive (UE) 2022/2555, articles 2, 4 et 21 et annexesConsulté le 30 octobre 2026.
- CRA, règlement (UE) 2024/2847, articles 2, 13, 69, 71 et annexe IConsulté le 30 octobre 2026.
- CERT Santé et CERT-FR, retour d'expérience sur les vulnérabilités des produits de santé, 2 octobre 2026Consulté le 30 octobre 2026.