Numérique en santé : un décret précise les sanctions contre les éditeurs non conformes

Passé presque inaperçu lors de sa publication au Journal officiel le 4 mars 2026, un décret pris en application de l’article L1470-6 du Code de la Santé Publique vient de faire l’objet de premières analyses dans la presse spécialisée. Il instaure un régime de contrôle et de sanctions à l’encontre des éditeurs de services numériques en santé qui ne respecteraient pas les référentiels nationaux d’interopérabilité, de sécurité et d’éthique. Un texte dont les implications pour l’ensemble de l’écosystème healthtech français sont loin d’être anodines.

Un levier coercitif attendu depuis le Ségur

Jusqu’ici, les référentiels du numérique en santé — publiés et maintenus par l’Agence du Numérique en Santé (ANS) — fixaient des règles d’interopérabilité, de sécurité et d’éthique que les éditeurs devaient respecter pour accéder aux financements du Ségur et aux marchés publics hospitaliers. Mais le dispositif restait essentiellement incitatif : la non-conformité pouvait entraîner une perte de financement, sans procédure de sanction formalisée.

Ce décret change la donne. En définissant des modalités précises de contrôle et de sanction, il transforme ces référentiels en obligations dont le non-respect peut désormais être sanctionné administrativement. L’outil réglementaire complète ainsi la doctrine du numérique en santé 2026, publiée dix jours plus tard par la DNS et l’ANS.

Trois types de référentiels concernés

Le texte vise les éditeurs ne respectant pas les référentiels relatifs à :

• L’interopérabilité : capacité des systèmes à communiquer entre eux selon les standards nationaux (FHIR, HL7, profils ANS) ;
• La sécurité : exigences de cybersécurité alignées sur les directives NIS2 et les recommandations de l’ANSSI, en particulier pour les systèmes d’information de santé critiques ;
• L’éthique : principalement les règles relatives au respect des données personnelles de santé, au consentement et à la transparence des algorithmes.

Qui est concerné ?

Le champ d’application s’étend à tout éditeur de services numériques en santé tels que définis par le Code de la Santé Publique : logiciels de gestion de dossier patient, solutions de télémédecine, outils d’aide à la prescription, plateformes de messagerie sécurisée de santé et, plus largement, tout service numérique entrant dans le périmètre des référentiels ANS.

Les établissements de santé, en tant que donneurs d’ordre et opérateurs, ont également intérêt à vérifier que leurs prestataires respectent ces obligations — leur propre conformité réglementaire en dépend indirectement.

Un signal fort pour le secteur

Pour les juristes spécialisés comme pour les acteurs de la healthtech, ce décret représente une évolution structurelle. Comme le souligne la tribune publiée par DSIH le 16 mars 2026, le texte constitue un “discret décret qui pourrait faire mal” pour les éditeurs qui auraient tardé à se mettre en conformité.

Dans un contexte où la doctrine 2026 renforce simultanément les exigences sur l’EEDS, NIS2 et l’identité numérique professionnelle, ce mécanisme de sanction envoie un message clair : la conformité aux référentiels du numérique en santé n’est plus optionnelle.

Les éditeurs ont tout intérêt à auditer dès maintenant leur conformité aux référentiels ANS en vigueur et à anticiper les contrôles que ce décret rend désormais possibles.

Sources

• Services numériques en santé, des référentiels… et des sanctions – DSIH
• Les sanctions à l’encontre des éditeurs ne respectant pas les référentiels du numérique en santé précisées par décret – TICsanté
• Publication de la doctrine du numérique en santé 2026 – e-santé.gouv.fr