Les établissements de santé ont l'obligation de signaler sans délai à l'agence régionale de santé les incidents graves de sécurité des systèmes d'information. Les incidents de sécurité jugés significatifs sont, en outre, transmis sans délai par l'agence régionale de santé aux autorités compétentes de l’État. Cet arrêté vient définir les modalités de signalement et de traitement de ces incidents, notamment à travers un formulaire de déclaration annexé au texte.