NIS2RECYFDORAImportantPublié le 6 oct. 2026
Projet de loi Résilience (NIS2) : retiré de l'ordre du jour de l'Assemblée des 7 et 9 octobre
La Conférence des présidents de l'Assemblée nationale, réunie le mardi 6 octobre 2026, a décidé du retrait du projet de loi, adopté par le Sénat, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, précédemment prévu pour examen les mercredi 7 octobre (après-midi et soir) et vendredi 9 octobre (matin, après-midi et soir). Le document ne précise pas si cette suppression du calendrier est définitive, temporaire, ou si un nouveau calendrier a été arrêté.
NIS2RECYFImportantDétecté le 5 oct. 2026
ANSSI — nouvelle fiche « ReCyF en pratique » sur l'administration sécurisée des systèmes d'information
L'ANSSI publie une nouvelle fiche de la collection « ReCyF en pratique », consacrée à l'administration des systèmes d'information (16 pages, version 1.0, octobre 2026). Elle explique comment appliquer les objectifs de sécurité 11 et 19 du référentiel ReCyF, socle de la transposition de NIS2. Trois thèmes : les comptes d'administration (au moins deux comptes distincts par administrateur, moindre privilège, inventaire exhaustif, un compte par zone de sécurité), les ressources d'administration (postes et réseaux dédiés, flux chiffrés et filtrés, avec des solutions de repli quand un poste dédié est impossible) et la sécurité des annuaires (identifier et réduire le « cœur de confiance », revue annuelle de la configuration, correctifs « sans retard injustifié »). La fiche distingue ce qui s'applique aux entités importantes et aux entités essentielles : les mesures sur les postes et réseaux dédiés ne visent que les entités essentielles. Elle n'est pas prescriptive et ne remplace pas le référentiel. Deux autres fiches de la collection sont disponibles : « Architectures sécurisées » et « Gestion des identités ».
CRAImportantPublié le 2 oct. 2026
Retour d'expérience du CERT-FR et du CERT Santé sur les vulnérabilités de solutions logicielles du secteur santé et exigences du Cyber Resilience Act
Le CERT-FR et le CERT Santé publient un retour d'expérience sur les vulnérabilités observées dans les logiciels des éditeurs du secteur santé, à partir de cas réels anonymisés. Cinq mauvaises pratiques reviennent : correctifs de sécurité livrés seulement avec les nouvelles versions fonctionnelles, secrets accessibles dans le code ou par une simple URL, entrées utilisateurs non contrôlées (XSS, injections SQL), logiciels exposés sur Internet sans authentification, et contrôle d'accès permettant de consulter les données d'autres patients. Chez quatre éditeurs importants, une correction dure depuis plus d'un an. Selon un sondage de l'ANS, 74 % des établissements ont déjà été confrontés à un éditeur qui tarde ou refuse de corriger. Le rapport rappelle les exigences du Cyber Resilience Act, pleinement applicable le 11 décembre 2027 aux logiciels du secteur (hors dispositifs médicaux, qui relèvent du MDR), dont le signalement des vulnérabilités activement exploitées, obligatoire depuis le 11 septembre 2026. L'ANFR doit en devenir l'autorité de contrôle en France, avec des amendes jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires mondial.
MENACES ET VULNÉRABILITÉSNIS2CritiquePublié le 28 sept. 2026
Alerte CERT-FR : vulnérabilités critiques dans Citrix NetScaler ADC et Gateway
Le CERT-FR publie une alerte sur 8 vulnérabilités dans Citrix NetScaler ADC et Gateway, dont deux (CVE-2026-88771 et CVE-2026-88772) permettent une exécution de code arbitraire à distance par attaquant non authentifié. Ces vulnérabilités sont activement exploitées depuis avant la disponibilité des correctifs. Tous les équipements sont vulnérables en configuration par défaut jusqu'à installation des correctifs. Les versions affectées couvrent NetScaler ADC 13.1, 14.1 et Gateway 13.1, 14.1 selon des seuils de version précis. Citrix propose des correctifs et met à disposition des indicateurs de compromission via la console NetScaler. Le document ne précise pas de délai obligatoire pour l'application des correctifs.
RGPDAI ACTInfoPublié le 8 juil. 2026
Web scraping et IA générative : projet de lignes directrices de l'EDPB en consultation jusqu'au 30 octobre
L'EDPB (Comité européen de la protection des données) soumet à consultation publique, jusqu'au 30 octobre 2026, un projet de lignes directrices (version 1, adoptée le 7 juillet) sur la collecte automatisée de données sur le web pour entraîner des IA génératives. Il vise les entités privées qui collectent elles-mêmes ou via un prestataire. Le texte rappelle que le RGPD s'applique dès que des données personnelles sont collectées. Il détaille les conditions pour invoquer l'intérêt légitime, l'information des personnes (une politique publiée sur le site, qui précise les sources) et les mesures pour limiter la collecte, notamment écarter les données sensibles avant et après collecte. Texte non définitif, à suivre surtout par les organisations qui entraînent ou font entraîner des modèles d'IA.
CNILRGPDInfoPublié le 8 juil. 2026
Lignes directrices 02/2026 de l'EDPB sur l'anonymisation — consultation publique ouverte
L'EDPB lance une consultation publique sur ses nouvelles lignes directrices en matière d'anonymisation et de pseudonymisation, élément clé du RGPD. La période de retours s'étend du 8 juillet au 30 octobre 2026. Les RSSI et DPO doivent suivre l'évolution de ces orientations pour adapter leurs pratiques de traitement des données et d'anonymisation.
CNILRGPDImportantPublié le 17 sept. 2026
Guidelines 3/2025 de l'EDPB sur l'interaction entre le DSA et le GDPR : obligations de traitement des données pour les plateformes en ligne
L'EDPB publie des lignes directrices (version 2.0, adoptées le 17 septembre 2026) clarifiantes sur la manière dont les fournisseurs de services d'hébergement et de plateformes en ligne doivent respecter le GDPR en mettant en œuvre les obligations du DSA (Digital Services Act). Ces lignes couvrent : (1) le traitement des données dans la détection volontaire du contenu illégal (article 7 DSA), qui doit s'appuyer sur une base légale GDPR, typiquement l'intérêt légitime (article 6(1)(f) GDPR) ou la conformité à une obligation légale ; (2) les mécanismes de signalement et d'action (articles 16-17 DSA), qui ne doivent collecter que les données identifiantes strictement nécessaires du signalant ; (3) la transparence publicitaire (article 26 DSA) et l'interdiction de profiler avec des catégories spéciales de données (article 26(3) DSA), même si une base légale GDPR existe ; (4) les systèmes de recommandation (articles 27-38 DSA), qui relèvent du profilage GDPR et peuvent constituer une décision automatisée au sens de l'article 22 GDPR ; (5) la protection des mineurs (article 28 DSA), où les vérifications d'âge doivent être nécessaires et proportionnées sans identifier de manière univoque l'utilisateur ; (6) l'évaluation et l'atténuation des risques systémiques (articles 34-35 DSA), qui requiert une DPIA si le risque affecte les droits fondamentaux incluant la protection des données. Cette guidance s'applique à tous les fournisseurs de services d'hébergement et, avec des obligations accrues, aux très grandes plateformes en ligne (VLOP) et très grands moteurs de recherche (VLOSE).
NIS2EUROPEImportantPublié le 22 sept. 2026
Transposition de NIS2 : le projet de loi Résilience inscrit à l'ordre du jour de l'Assemblée à partir du 7 octobre
La Conférence des présidents de l'Assemblée nationale du 22 septembre 2026 a inscrit le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat, à l'ordre du jour du mercredi 7 octobre, après la suite de l'ordre du jour de la veille, puis du vendredi 9 octobre. Ce texte transpose la directive NIS2, ainsi que DORA et la directive REC sur la résilience des entités critiques. La date du vote final n'est pas encore fixée. Le contenu du texte n'est pas dans ce relevé : il faudra le lire à son adoption.
EHDSEUROPEInfoPublié le 26 juin 2026
Adoption des actes d'exécution pour MyHealth@EU dans le cadre de l'Espace européen des données de santé
Le 26 juin 2026, les États membres de l'UE ont adopté deux actes d'exécution majeurs pour déployer MyHealth@EU, l'infrastructure d'échange sécurisé de données de santé transfrontières. Le premier précise les modalités de fonctionnement de MyHealth@EU (article 23 du règlement EHDS) ; le second définit les règles communes d'identification des patients et professionnels de santé (article 16). Ces dispositions permettront aux citoyens européens de partager leurs données de santé lors de soins dans un autre État membre, sous leur consentement. En France, ces avancées s'inscrivent dans les travaux sur SESALI (passerelle vers MyHealth@EU) et ouvrent la voie aux services MaSanté@UE. L'Agence du Numérique en Santé a contribué à l'élaboration de la position française. D'autres articles du règlement EHDS restent en cours de travail (qualité des données, format d'échange EEHRxF, spécifications des dossiers médicaux électroniques). Les détails des obligations et des délais dépendent des actes d'exécution eux-mêmes, qui doivent être publiés au Journal officiel de l'UE.
MENACES ET VULNÉRABILITÉSEUROPENIS2ImportantDétecté le 22 sept. 2026
ENISA Threat Landscape 2026 : évolution des menaces cybernétiques et dépendances dans l'UE
Le rapport ENISA 2026 analyse les incidents survenus du 1er janvier au 31 décembre 2025. Les principaux constats : le ransomware reste l'impact à court terme le plus significatif ; 73% des organisations ciblées sont des entités essentielles ou importantes au sens de NIS2 ; l'administration publique demeure le secteur le plus visé (32% des cas) ; 51% des incidents enregistrés sont des attaques DDoS de faible impact ; 57% des menaces visant l'UE sont idéologiquement motivées, 30% financièrement ; 60% des accès non autorisés documentés exploitent des vulnérabilités ; le phishing reste un vecteur courant, facilité par des kits de phishing et la technique ClickFix ; les groupes de menaces réutilisent outils et techniques et ciblent les dépendances numériques, notamment par des attaques de chaîne d'approvisionnement ; l'IA est de plus en plus utilisée par les groupes malveillants comme outil et comme cible d'exploitation ; plus de 48 000 nouvelles vulnérabilités ont été publiées en 2025 (augmentation de 22%). Les secteurs avec une maturité inférieure à la moyenne mais une criticité élevée incluent la santé, les chemins de fer, le maritime, la gestion ICT, l'espace et les administrations publiques.
InfoPublié le 14 août 2026
Cybersécurité des dispositifs médicaux connectés : approche « Security by Design » avec Papyrus-WEB et Frama-C
Le CERT Santé et le CEA-List, dans le cadre du projet européen MedSecurance, promeuvent une approche de sécurité intégrée dès la phase de conception (« Security by Design ») pour les dispositifs médicaux connectés. Cette approche combine la modélisation d'architecture via Papyrus-WEB, la vérification automatisée des exigences de sécurité, et l'analyse formelle du code via Frama-C. L'objectif est d'identifier et corriger les faiblesses tout au long du cycle de conception et de développement, plutôt qu'après la mise en production, afin de limiter les risques opérationnels, réglementaires et les impacts sur la disponibilité des soins et la fiabilité des équipements. Les deux outils utilisés sont open source et ont été validés sur un cas d'étude de dispositif PCR portable.
MENACES ET VULNÉRABILITÉSImportantPublié le 1 sept. 2026
Risque de réenregistrement de domaines expirés : recommandations pour la gestion du cycle de vie des noms de domaine
Le CERT Santé alerte sur la menace liée aux domaines Internet expirés puis réenregistrés par de nouveaux propriétaires (phénomène « dropcatch »). Les domaines réenregistrés peuvent conserver une réputation historique et des configurations techniques résiduelles exploitables pour des campagnes de phishing, la diffusion de malwares ou la mise en place d'infrastructures malveillantes. Le document établit que les domaines sont souvent abandonnés suite à une cessation d'activité, un changement de priorités, ou des oublis administratifs. Pour les organisations notamment du secteur santé, le document recommande de maintenir un inventaire à jour des domaines, de mettre en place des mécanismes de renouvellement automatisés et de surveiller les domaines récemment expirés. La réutilisation malveillante peut favoriser des attaques et l'exploitation de configurations résiduelles. Une gouvernance renforcée des actifs numériques et une surveillance régulière de l'exposition externe contribuent à réduire ce risque.
MENACES ET VULNÉRABILITÉSImportantPublié le 21 sept. 2026
Alerte CERT Santé : vulnérabilités critiques PaperCut
Le CERT Santé alerte sur une campagne d'exploitation active des serveurs PaperCut NG/MF accessibles depuis Internet. Deux vulnérabilités critiques (CVE-2026-81578 et CVE-2026-82078), exploitées conjointement, permettent une prise de contrôle du serveur sans authentification. Au 9 septembre, au moins 440 serveurs sont compromis (395 organisations dans 48 pays, dont 31 en France). Les secteurs de l'enseignement, la santé et le secteur public sont touchés, avec vols d'identifiants documentés. Les risques incluent l'exécution de malveillances, l'installation d'outils d'accès distant, l'effacement de traces, le vol d'identifiants et la progression vers d'autres systèmes. Le CERT Santé prescrit plusieurs actions prioritaires : identifier les serveurs exposés, appliquer des correctifs ou migrer les versions non maintenues, vérifier l'absence d'intrusion, renouveler les mots de passe. Des mesures complémentaires incluent la restriction d'accès aux interfaces d'administration, la suppression de l'exposition directe à Internet, la conservation des journaux, et la surveillance des connexions anormales.
ImportantPublié le 3 sept. 2026
Appel à action du G7 sur la transition vers la cryptographie post-quantique
L'ANSSI et ses partenaires du G7 publient un appel à action qualifiant la transition vers la cryptographie post-quantique comme « un enjeu sécuritaire majeur » exigeant un « effort collectif et coordonné ». Le document appelle les organisations publiques et privées à « anticiper et agir dès aujourd'hui ». Un travail technique précédent (déclaration 2025) visait à proposer « des recommandations pratiques » aux organisations. Le document annonce une publication relative à cet appel à l'action, mais ne fournit pas le détail de ses recommandations spécifiques.
InfoPublié le 7 sept. 2026
REACTIV : renforcement de l'autorité de l'ANSSI auprès des ministères en cas de cyberattaque
L'ANSSI met en place un dispositif opérationnel nommé REACTIV (« REponse & ACTion Interministérielle face aux Violations de données ») suite à une demande du Premier ministre. Ce dispositif confère à l'ANSSI une autorité renforcée pour imposer aux ministères « dans des délais contraints » les mesures immédiates nécessaires pour protéger les données des citoyens, et centralise la communication technique de crise en cas d'attaque affectant les services de l'État. Le dispositif s'inscrit dans l'accélération de la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027.
CRAEUROPEImportantDétecté le 15 sept. 2026
Plateforme de signalement unique (SRP) du CRA opérationnelle
L'ENISA a déployé la Plateforme de signalement unique (SRP) pour le CRA. Les éditeurs de logiciels et fabricants soumis au CRA doivent utiliser cette plateforme pour signaler les vulnérabilités exploitées et les incidents graves à partir de son activation. Action : identifier le calendrier exact de mise en œuvre et adapter les procédures de signalement (CRA_F1, CRA_F2, CRA_G3).
CNILInfoDétecté le 11 sept. 2026
Facturation électronique : obligations de protection des données et responsabilités des plateformes agréées
À partir du 1er septembre 2026, la facturation électronique est devenue obligatoire pour les grandes entreprises et ETI (capacité à émettre et recevoir). À partir du 1er septembre 2027, elle s'étendra à toutes les entreprises. Les données échangées concernent principalement des données d'entreprises (non soumises au RGPD), mais les données de personnes physiques (noms, prénoms, adresses email professionnelles nominatives, adresses de domicile si c'est celui de l'entreprise) sont protégées par le RGPD. Le principe de minimisation des données s'applique : les factures ne doivent contenir que les données nécessaires, en évitant les données sensibles (santé) sauf consentement exprès, ou les informations couvertes par le secret professionnel. Les responsables de traitement doivent assurer la sécurité des données et le respect des droits des personnes. Les plateformes agréées agissent comme sous-traitantes et doivent être certifiées ISO 27001 et, le cas échéant, qualifiées SecNumCloud par l'ANSSI. Elles doivent mettre en œuvre une authentification atteignant un niveau de garantie substantiel eIDAS, ou à titre transitoire un mécanisme à deux facteurs. Les factures doivent être conservées dix ans conformément au code de commerce. Les plateformes agréées peuvent réutiliser les données personnelles pour leur propre compte uniquement si cette réutilisation est compatible avec le traitement initial et avec l'autorisation écrite du responsable de traitement.
CNILImportantDétecté le 9 sept. 2026
CNIL : sanction de 300 000 € contre EXTIA pour non-respect des droits des personnes (droit à l'effacement)
Le 21 juillet 2026, la CNIL a sanctionné la société EXTIA d'une amende de 300 000 euros pour divers manquements relatifs au respect des droits des personnes, notamment le droit à l'effacement des données personnelles. Rappel utile à tout responsable de traitement sur le traitement des demandes d'effacement.
CRAEUROPEImportantDétecté le 8 sept. 2026
Cyber Resilience Act — Obligations principales, calendrier et champ d'application
Le Cyber Resilience Act (CRA), entré en vigueur le 10 décembre 2024, impose aux fabricants de produits numériques (logiciels, matériel connecté, applications) des obligations de sécurité couvrant la planification, conception, développement et maintenance. Ces obligations s'appliquent à chaque étape de la chaîne de valeur et incluent la gestion des vulnérabilités pendant le cycle de vie des produits. Les principales obligations du CRA s'appliquent à partir du 11 décembre 2027 ; les obligations de signalement s'appliquent à partir du 11 septembre 2026. Certains produits « particulièrement importants pour la cybersécurité » doivent subir une évaluation de conformité par un tiers notifié avant mise sur le marché de l'UE. Les produits porteront le marquage CE pour attester la conformité, et les autorités nationales de surveillance du marché en assureront l'application.
CARENIS2RECYFImportantDétecté le 3 sept. 2026
Programme CaRE : lancement du guichet HospiConnect et POC incidents médico-sociaux 2024-2025
L'ANS lance un dispositif de sélection et d'accompagnement (POC) ciblant les établissements médico-sociaux ayant déclaré des incidents malveillants en 2024-2025, notamment ceux ayant causé une dégradation de service ou une interruption de prise en charge patient. Les établissements doivent se rapprocher de HospiConnect CaRE pour accéder aux ressources et outils de remédiation proposés dans ce cadre de renforcement cyber du secteur santé.
CNILNIS2RECYFCritiqueDétecté le 3 sept. 2026
Sanction CNIL de 500 000 € à l'Hôpital Privé de la Loire pour mesures de sécurité inadéquates
.Un établissement de santé a été sanctionné pour n'avoir pas pris de mesures adaptées de sécurité des données, créant une jurisprudence directe applicable aux hôpitaux soumis à NIS2/ReCyF/CNIL. Cet incident souligne l'importance critique d'une gouvernance SSI robuste : tous les établissements doivent vérifier leur conformité sur la gestion des incidents, l'audit des accès et les mesures techniques de protection des données de santé.
InfoDétecté le 2 sept. 2026
Recommandations de la CNIL sur l'utilisation des données de localisation dans les véhicules connectés
La CNIL a publié en juin 2026 une recommandation sur l'utilisation des données de localisation des véhicules connectés auprès des particuliers (propriétaires ou locataires). Le document établit que les données de localisation sont des données hautement personnelles présentant des risques élevés. Les professionnels (constructeurs, loueurs, fournisseurs de dispositifs) doivent : limiter la fréquence et la durée de conservation des données collectées (seule la dernière position peut suffire selon l'objectif) ; améliorer la transparence en expliquant dans leur politique de confidentialité quelles données sont collectées, pourquoi, qui peut y accéder, combien de temps elles sont conservées, et comment exercer les droits ; mettre en place des mesures de sécurité adaptées ; permettre aux utilisateurs d'un même véhicule de disposer d'un profil utilisateur authentifié et de désactiver facilement les services optionnels ; permettre l'exercice des droits (retrait du consentement, accès, rectification, effacement, portabilité).
AI ACTCNILImportantDétecté le 27 août 2026
CNIL : mise à jour de l'outil de traçabilité des modèles d'IA en source ouverte
La CNIL publie une nouvelle version de son démonstrateur permettant d'explorer la généalogie des modèles d'IA publiés en source ouverte : performances améliorées, ergonomie revue, actualisation automatisée des données, et version anglaise désormais disponible. Les organisations qui emploient des modèles open source peuvent s'en servir pour documenter leur inventaire IA.
CNILImportantDétecté le 25 août 2026
CNIL: sanction de 825 millions d'euros contre Uber
En coopération avec la CNIL, l'autorité néerlandaise de protection des données a prononcé une amende de 824 990 000 euros à l'encontre d'Uber B.V. et Uber Technologies Inc. La décision porte sur les décisions automatisées et les droits des personnes concernées.
CNILInfoDétecté le 20 août 2026
CNIL - Actualités sur le refus de crédit et les fichiers bancaires
Cette actualité porte sur les droits des consommateurs face aux refus de crédit et la gestion des fichiers de la Banque de France.
CNILInfoDétecté le 19 août 2026
CNIL notifiée de violations de données à la DGFiP — vérifications en cours
La CNIL a été notifiée de violations de données affectant le système d'information de la Direction générale des Finances publiques et a engagé ses vérifications. Cas utile pour observer les attentes de la CNIL en matière de notification et de coopération après une violation.
CNILImportantDétecté le 11 août 2026
CNIL : Gestion des conflits d'intérêts du DPO avec cumul de fonctions
La CNIL précise comment identifier un conflit d'intérêts lorsqu'un DPO cumule d'autres missions. Elle indique que les fonctions d'encadrement supérieur, par exemple directeur général ou responsable des ressources humaines, sont généralement incompatibles avec celles de DPO, et que des rôles de niveau inférieur peuvent l'être aussi s'ils conduisent le DPO à déterminer les finalités ou les moyens d'un traitement. Le critère retenu : le DPO ne doit pas être « juge et partie ». L'appréciation se fait au cas par cas. Action : réaliser l'analyse des conflits d'intérêts avant la désignation d'un DPO ou l'attribution de nouvelles fonctions.
AI ACTImportantDétecté le 8 août 2026
IA en thérapie et soutien émotionnel : ce que l'AI Act impose aux fournisseurs et déployeurs
Analyse publiée par le portail AI Act sur les systèmes d'IA — notamment à usage général (GPAI) — utilisés à des fins thérapeutiques ou de soutien émotionnel. Elle distingue les obligations au niveau du système (pratiques interdites, haut risque) et celles au niveau du modèle, et rappelle que certains usages peuvent être totalement interdits s'ils exploitent la vulnérabilité des utilisateurs. Échéances échelonnées de février 2025 à août 2028.
NIS2RECYFImportantDétecté le 7 août 2026
ENISA élargit son rôle dans le programme CVE avec de nouvelles autorités de numérotation
L'ENISA intègre deux nouvelles autorités de numérotation CVE (NCIA et AISLE) sous sa racine. Cette évolution renforce l'écosystème européen de divulgation des vulnérabilités. Aucune action immédiate requise, mais à surveiller pour les mises à jour de politique de gestion des vulnérabilités.
CNILInfoDétecté le 6 août 2026
CNIL : renouvellement partiel du Collège avec 5 nouveaux membres (août 2026)
Actualité administrative concernant la composition de la CNIL. Pas d'impact direct sur les obligations RGPD. Aucune action de mise en conformité requise.
RECYFNIS2ImportantDétecté le 28 juil. 2026
CaRE : dépôt des preuves eCaRE avant le 18 novembre 2026
Le programme CaRE (Cyber Accélération et Résilience des Établissements) finance le renforcement cyber du secteur santé. Pour le domaine 2 (PCA/PRA), les établissements dont la candidature est validée déposent leurs preuves d'atteinte des objectifs sur la plateforme eCaRE entre le 16 janvier et le 18 novembre 2026. Action : structurer dès maintenant vos preuves (inventaire des actifs, mesures ReCyF, plan de remédiation daté).
CRAImportantDétecté le 27 juil. 2026
Cyber Resilience Act : la Commission publie un guide pratique de mise en conformité
Le 27 juillet 2026, la Commission européenne a publié un guide pratique pour aider fabricants, développeurs et entreprises de toutes tailles à respecter leurs obligations au titre du CRA. Utile à tout fabricant ou éditeur de produits numériques et à ses clients pour préparer les échéances (signalement au 11 septembre 2026, obligations principales au 11 décembre 2027). Action : intégrer ce guide à votre feuille de route CRA et cartographier les produits numériques concernés.
NIS2RECYFCritiqueDétecté le 25 juil. 2026
Campagne de cyberespionnage Turla du FSB ciblant des entités françaises depuis 2010
Le FSB russe mène depuis 2010 une campagne persistante d'espionnage informatique (MOA Turla) contre des entités françaises des secteurs gouvernemental, diplomatique, défense et technologie. Action suggérée : vérifier l'absence de compromission dans les logs de sécurité, renforcer la détection des indicateurs de compromission Turla et mettre à jour les mesures de sécurité fondamentales.
NIS2DORARECYFInfoDétecté le 22 juil. 2026
ANSSI, ACPR et Banque de France renforcent leur coopération en cybersécurité financière (juillet 2026)
Un accord de coopération tripartite renforce l'échange d'informations sur les incidents cyber et la gestion de crise dans le secteur financier, conformément à la directive NIS2 et au règlement DORA. Cet accord organise la coopération entre autorités. Il ne crée pas d'obligation nouvelle pour les entités régulées.
CNILHDSImportantDétecté le 20 juil. 2026
Mise à jour des MR-001 et MR-003 : changements réglementaires 2026
La CNIL annonce des mises à jour des cadres de référence MR-001 et MR-003 applicables en 2026. Les établissements de santé doivent se préparer à des évolutions potentielles de leurs obligations RGPD et de sécurité des données. Action : consulter le webinaire de la CNIL
CRAImportantDétecté le 18 juil. 2026
Cyber Resilience Act (CRA) : processus de notification des organismes évaluateurs de conformité par l'ANSSI
L'ANSSI détaille le processus par lequel un organisme évaluateur de conformité devient « organisme notifié » au titre du CRA : accréditation auprès du COFRAC, puis demande auprès de l'ANSSI, qui agit comme autorité notifiante. Le dispositif ne couvre pour l'instant que le module B du régime de notification. Information utile aux organisations qui devront faire évaluer leurs produits numériques, pour savoir à qui s'adresser.
CRAImportantDétecté le 16 juil. 2026
L'ANSSI encourage l'implication d'organismes d'évaluation de la conformité pour le CRA
Le Cyber Resilience Act (CRA), entré en vigueur le 10 décembre 2024, imposera une évaluation de conformité par des organismes notifiés pour certains produits numériques ; l'ANSSI en est l'autorité notifiante en France. Calendrier : obligations de signalement à partir du 11 septembre 2026, obligations principales au 11 décembre 2027. Action : identifier les produits et composants numériques concernés et vérifier le recours à des organismes d'évaluation de la conformité accrédités.
HDSImportantDétecté le 15 juil. 2026
Référentiel HDS v2.1 : évolutions contractuelles en octobre 2026
Le référentiel HDS évolue en octobre 2026 avec nouvelles exigences sur la transparence des transferts de données de santé vers pays tiers. Les établissements de santé doivent anticiper dès maintenant les modifications contractuelles requises concernant la soumission à des législations extra-européennes. Ces nouvelles exigences entreront en vigueur trois mois après la publication du référentiel. Les hébergeurs peuvent toutefois anticiper dès à présent les adaptations nécessaires, notamment concernant leurs contrats.Action : auditer les contrats actuels avec hébergeurs et prestataires pour identifier les adaptations nécessaires avant la date d'application.
CRAImportantDétecté le 12 juil. 2026
Cyber Resilience Act: entrée en force et obligations pour les fabricants de produits numériques
Le CRA est entré en force le 10 décembre 2024 avec des obligations principales applicables à partir du 11 décembre 2027. Action suggérée : identifier les produits numériques de votre organisation concernés par le CRA et mettre en place un suivi de conformité auprès des fournisseurs et fabricants.
InfoDétecté le 10 juil. 2026
21 lauréats sélectionnés pour l'accompagnement cybersécurité des ESSMS
L'ANS a retenu 21 structures médico-sociales pour une phase exploratoire d'accompagnement cybersécurité dans le cadre du programme CaRE. Cette initiative vise à renforcer la cybersécurité des ESSMS avant un déploiement à grande échelle, testant différentes modalités d'accompagnement.
DORAImportantDétecté le 8 juil. 2026
DORA applicable aux entités financières depuis janvier 2025
Le règlement DORA s'applique depuis le 17 janvier 2025 aux entités financières dont les mutuelles et organismes de protection sociale. Elle impose des exigences renforcées de résilience opérationnelle numérique face aux cybermenaces et défaillances informatiques. Les organismes doivent vérifier leur périmètre de conformité et ajuster leur gouvernance ICT en conséquence.