FAQ de l'offre : Ségur du numérique en santé

L'existence d'une PSSI de GHT ou à l’échelle du candidat permet-elle de valider le prérequis n°1 même si chaque établissement du GHT ou du candidat ne dispose pas de sa propre PSSI ?

Le D2.P1 attend que chaque candidat dispose d’une PSSI validée et revue entre le 16 juillet 2022 et la date de dépôt de candidature, fixée au plus tard au 31 octobre 2025. Ce document doit être signé par le représentant du candidat ou le représentant de chaque établissement constituant le candidat. En fonction de son organisation, ce document peut être fourni par candidat ou par chaque établissement constituant le candidat. Si l’entité juridique ou le GHT ne fournit pas une PSSI unique, l’établissement porteur de la candidature doit s’assurer que chaque établissement dispose de sa propre PSSI, signée par le directeur de l’établissement :

• pour les GHT, ce document peut être fourni au niveau des entités juridiques ;
• pour les EJ, ce document peut être fourni par entité géographique.

Aucun élément relatif au contenu ou à la structuration de la PSSI n'est imposé dans le cadre de ce prérequis.

Les établissements peuvent soumettre un document de présentation de la PSSI (et non la PSSI complète) selon un formalisme laissé à leur appréciation.

Le document de présentation devra néanmoins inclure (i) la date de mise à jour, (ii) la signature du représentant de la structure et (iii) le périmètre des entités juridiques et/ou géographiques appliquant cette politique.

Pour rappel, les candidats peuvent s’appuyer sur les contenus méthodologiques relatifs à la mise en œuvre d’une PSSI et disponibles aux liens suivants :

• https://cyber.gouv.fr/publications/pssi-guide-delaboration-de-politiques-de-securite-des-systemes-dinformation
• https://esante.gouv.fr/sites/default/files/media_entity/documents/pgssi-s_guide_pssi_non-expert-ssi-v-1.0.pdf

Que se passe-t-il également en cas de désistement après le dépôt de la candidature ou si un établissement n’atteint pas les objectifs ? Une entité juridique doit nécessairement candidater pour l’ensemble de ses entités géographiques. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du candidat, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Que se passe-t-il également en cas de désistement après le dépôt de la candidature ou si un établissement parti n’atteint pas les objectifs ? Un GHT doit nécessairement candidater pour le compte de l'ensemble des établissements partie à son groupement. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du GHT, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Les écarts constatés dans la base des établissements éligibles au Domaine 2 (cf. la documentation accessible par ce lien) peuvent être signalés via le support de l'ANS dédié pour le programme CaRE en suivant ce lien.

Les entités juridiques médico-sociales ne sont pas éligibles au financement ouvert par le Domaine 2. En revanche, ces entités juridiques seront éligibles au futur appel à projet CaRE dédié au secteur médico-social.

En complément, l'établissement ou le GHT, dont un ou plusieurs établissements parties comptent des EG médico-sociales, peut intégrer ces EG dans le cadre de ses travaux pour la politique et les plans de sauvegarde prévu par le domaine, notamment s’ils s’appuient sur l’infrastructure commune de l’établissement. Cependant, ces EG médico-sociales ne sont pas prises en compte dans le calcul du financement attribué à l'établissement candidat.

La liste des établissements éligibles au Domaine 2 ainsi que l'activité combinée retenue (mesure 2022) pour chacun est disponible dans la base établissement mise à disposition sur le site de l'ANS à cette adresse.

Comme indiqué en annexe 2 de l'arrêté, ne sont éligibles à l'AAF Domaine 2 que les établissements qui :

• disposent d'une autorisation à jour, délivrée par l'ARS de rattachement, leur permettant d'exercer en tant qu'établissement de santé ;
• ont déclaré une activité PMSI non nulle en termes de séjours hospitaliers en 2022 ;
• possèdent un identifiant FINESS juridique, dont la catégorie FINESS est comprise dans les valeurs suivantes : 1101, 1102, 1103, 1104, 1106, 1107, 1109, 1110, 1111, 1201, 1203, 1205, 2205 ;
• possèdent un identifiant FINESS géographique, dont la catégorie FINESS est comprise dans les valeurs suivantes : 101, 355, 292, 131, 106, 109, 362, 122, 128, 129, 365, 156, 161, 366, 412, 415, 425, 430, 444, 127, 141, 146, 114, 115, 697.

Compte tenu du grand nombre de dossiers actuellement en cours d’analyse, l’ANS ne peut pas répondre individuellement aux demandes de suivi d’état d’avancement des candidatures. 

En revanche, voici les jalons clés à retenir :​ 

• clôture du guichet de déclaration d’atteinte des objectifs : 30 juin 2025 ;​ 
• fin de la vérification par les ARS : 30 septembre 2025 ;​ 
• fin de l’instruction par l’ANS : 31 décembre 2025.​ 

Si vous avez une question concernant une demande de complément formulée par un vérificateur ANS via la plateforme Convergence, vous pouvez contacter le support afin d’obtenir les précisions utiles. 

L'offre de service d'identification électronique de l'Agence du Numérique en Santé (ANS) évolue. En effet, un service d'enregistrement national pour l'ensemble des professionnels utilisateurs du système d'information de l'établissement va être proposé. L'enregistrement national du professionnel sera ainsi un prérequis pour l'obtention d'un moyen d'identification électronique délivrée par l'ANS. Chaque identité numérique enregistrée dans ce répertoire national d'identité aura accès à un e-CPS. Selon la contractualisation entre la structure d'exercice et l'ANS, une carte physique pourra être délivrée au professionnel.

Pour l'accès aux services numériques sensibles externes (nationaux, régionaux), l'ouverture de l'enregistrement des professionnels à rôle du secteur sanitaire sera disponible au terme de la phase d'expérimentation en cours via l'appel à projet alpha CaRE-HospiConnect.

Le face à face, comme alternative à l’utilisation d’un MIE conforme lors d’une procédure à distance (ex : France Connect+) est requis pour la délivrance ou l’activation du MIE, mais pas nécessairement pour la création de l'identité numérique. A cette étape de la création de l'identité numérique dans le répertoire local, il n'est donc pas obligatoire qu'il y ait un face à face. 

C'est au moment de la remise ou de l’activation du MIE qu'il faut s'assurer que les codes secrets sont remis à la personne qui correspond à cette identité (ou que l’on active localement ce MIE dans le cas d’un MIE national). Dans une cible de délivrance/activation du MIE sectoriel e-santé à partir d'un MIE substantiel (FranceConnect+), le MIE sectoriel serait lui-même de niveau de garantie substantiel et la vérification d'identité est induite.

Oui, l'obligation est toujours applicable au 1er janvier 2026. Des travaux de révisions du référentiel d'identification électronique (RIE) PGSSI-S sont actuellement en cours (CNIL et ANSSI). Pour en savoir plus, nous vous invitons à consulter le replay du webinaire du 20/06/2025 qui traite de la sécurisation de la chaîne d'identification électronique des professionnels avec un retour d'expérience des lauréats d'HospiConnect.