FAQ de l'offre : Ségur du numérique en santé

Le test PCA est un exercice terrain qui « simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques » afin de tester la mise en œuvre des solutions de continuité d’activité à l’échelle des services.
C’est donc bien une simulation d’arrêt (d’un service, d’une ressource ou d’un périmètre défini), réalisée de manière contrôlée, pour vérifier l’efficacité du PCA et recueillir un retour d’expérience.
Il est rappelé que les PCA attendus au titre de l'objectif D2.O2.C portent sur le scénario d’indisponibilité numérique et un second scénario d’indisponibilité au choix de l'établissement.

L'exercice peut être réalisé sur tout domaine (au-delà des deux abordés dans l'objectif D2.O1.B), mais la transmission du PCA utilisé et du cas de test est requise.
 

Il est possible pour un établissement de valoriser des actions de formation si elles ont permis de contribuer directement à l'atteinte d'un objectif (par exemple, pour des professionnels disposant d'une lettre de mission) du présent domaine. 

Les formations citées en exemples (ISO 270001, 27002, 27005, EBIOS) ne contribuent pas directement à l’atteinte d’un objectif du domaine, et ne sont pas des dépenses considérées éligibles.
 

Les documents justificatifs attendus dans le cadre du domaine seront soumis par le candidat au travers de la plateforme sécurisée e-CaRE, et pour les documents les plus sensibles et confidentiels au travers d'un conteneur Zed.

Les documents transmis sont exclusivement analysés par les équipes de votre Agence régionale de santé (à l’exception des documents présents dans un conteneur Zed) et de l'Agence du Numérique de Santé (ANS) aux fins de contrôle telles que définies dans la convention à venir entre l'ANS et le candidat.

Par ailleurs, ladite convention fixe également les durées de conservation et les modalités de suppression des données recueillies. Pour certains prérequis et objectifs (notamment D2.P1, D2.O2.A, D2.O3.A, D2.O3.B et D2.O3.C), le candidat peut soumettre une présentation synthétique ou une attestation de présence du document attendu.
 

Plusieurs documents nécessitent la validation de la direction ou d'une instance décisionnelle dans le cadre de l'atteinte des prérequis et des objectifs.

Pour rappel, les documents justificatifs devant faire l'objet d'une validation sont les suivants : 

• Au titre du D2.P1 : la PSSI doit être "validée par le représentant légal du candidat, ou le cas échéant, par chaque établissement". Le document doit donc être signé formellement par une personne habilitée.
• Au titre du D2.O1.A : le schéma de gouvernance du PCRA doit être "signé par la direction du candidat " et accompagné du "compte rendu d'une instance décisionnelle" ayant validé ce schéma.

Il est attendu un document signé formellement par une personne habilitée, et un compte rendu de l'instance ayant validée le schéma.

Dans le cas où une délégation de signature est mise en place par le représentant légal du candidat, alors les documents peuvent être signés par ce directeur fonctionnel. Le candidat est alors invité à soumettre une pièce justifiant de la délégation de signature dudit directeur.
 

L’organisation du dispositif de gouvernance constitue en effet l’un des éléments constitutifs du PCRA cadre attendu au titre du D2.O2.C.

Pour autant, l’atteinte de cet objectif repose sur des éléments complémentaires tels que la présentation de l’équipe projet ou la formalisation du macro-planning. Le candidat est libre de présenter l’organisation qui lui apparaît la plus appropriée, et l’équipe projet peut donc intégrer des collaborateurs spécifiques par périmètres adressés.

L'équipe projet, définie en réponse à cet objectif, constituera l'équipe pérenne sur les chantiers de renforcement de la continuité d’activité. Elle diffère, en ce sens, de l'équipe proposée en réponse au prérequis D2.P2 qui est chargée quant à elle des travaux nécessaires à l’atteinte des objectifs de l’objectif D2.O1.
 

Dans le cas d’un SI mutualisé, un PCA unique peut être réalisé concernant la prise en compte du risque numérique. Le PCA doit néanmoins prendre en compte les spécificités organisationnelles de chaque établissement utilisant le SI mutualisé, et pourra inclure ces éléments au sein d’un PCA unique.

La réalisation d'un exercice de test PCA portant sur un périmètre inclus dans le SI mutualisé répond à l'exigence de réalisation d'un exercice de continuité d'activité (i.e. la réalisation d'un test minimum est attendu dans le cadre de cet objectif).

Le test doit être réalisé à l’échelle d’un service : si les services d’une entité A et d’une entité B s’appuient sur un même SI mutualité, alors le test doit être réalisé sur chacun des services des deux entités. Le scénario de test doit être identique et il est recommandé de réaliser simultanément sur les sites concernés. 

Il est rappelé que le test doit avoir été réalisé sur un nombre d’établissements (juridiques pour un GHT, ou géographique pour un candidat privé) représentant au moins 66% de l'activité du candidat.
 

Le Domaine 2 s'implique uniformément au système d'information de l'établissement (tant sur les objectifs de continuité d'activité que ceux de sauvegarde), et donc aux applications hébergées en mode HDS.
 

La téléphonie ne constitue pas un périmètre priorisé dans le cadre du Domaine 2.

Néanmoins, si le bilan d'impact sur les activités (BIA) l'identifie comme un système critique, alors il est attendu que la téléphonie soit couverte par la réalisation de PCA/PRA. 
 

Certains services peuvent être à cheval sur deux périmètres selon l’interprétation de l’établissement. Par exemple : le bloc opératoire est-il un plateau technique ou un service de soins (car rattaché à la chirurgie) ? L’admission du patient est-elle un service de soins ou un processus administratif ?

Les travaux préalables de l'établissement dans la réalisation de son BIA doivent lui permettre de choisir les services critiques faisant l'objet d'un PCRA. La qualification du périmètre auquel est rattaché un processus métier est au choix de l'établissement.

Les plateaux techniques communément admis dans la section d’analyse médicotechnique sont les suivantes : blocs opératoires, bloc gynéco-obstétrical, anesthésiologie, laboratoire d’analyse médicale biologique, laboratoire d’anatomo-pathologie, imagerie, médecine nucléaire, exploration fonctionnelle (cardio-vasculaire, pneumologique, d’urodynamique, autres), réadaptation et rééducation fonctionnelle polyvalente. 
 

La réalisation d’un test central embarquant l’ensemble des établissements du groupe est acceptée si les mesures de sauvegarde sont identiques dans l’ensemble des établissements. Le justificatif soumis devra préciser le périmètre d’applicabilité du test.