FAQ de l'offre : Ségur du numérique en santé

Il est fortement recommandé de réaliser un test portant sur les 4 scénarios d'indisponibilités listés dans le kit PCA / PRA proposé par l’ANS : indisponibilité des ressources humaines, indisponibilité bâtimentaires, indisponibilité des fournisseurs et indisponibilité informatique.

Toutefois, seul le test d’un scénario à choisir par le candidat est obligatoire.

• pour les GHT avec plusieurs entités juridiques : le test du PCA doit être réalisé pour un nombre d’entité juridique représentant au moins 66% de l’activité combinée du candidat ;
• pour les structures (hors GHT) ayant plusieurs entités géographiques : le test du PCA doit être réalisé pour un nombre d’entité géographique représentant au moins 66% de l’activité combinée du candidat.

Le test doit avoir être réalisé durant la phase opérationnelle de l'appel à financement, et un calendrier de planification des autres tests doit être soumis. Il n’est pas nécessaire de signer les documents justificatifs de réalisation du test. En revanche, il sera nécessaire fournir le PCA utilisé (s’il n’a pas déjà été soumis dans le cadre de l’objectif D2.O1.C), le scénario de test mis en œuvre ainsi qu’un retour d’expériences du test intégrant un plan d’amélioration continue.

Le Plan Blanc est un dispositif de crise qui permet à un établissement de santé de mobiliser immédiatement les moyens de toute nature dont il dispose en cas d’afflux de patients, ou pour faire face à une situation sanitaire exceptionnelle.

Le Plan de Continuité et de Reprise d’Activité (PCRA) est un plan de réponse du niveau stratégique en cas d’événement perturbateur entraînant une indisponibilité d’une ou plusieurs ressources critiques.

Le PCRA est complémentaire au Plan Blanc. Si ces deux documents peuvent intégrer certaines procédures conjointes, un Plan Blanc ne constitue pas un PCRA.

L’attendu minimal porte sur la formalisation du PCRA cadre (dans le respect de la définition du kit PCA / PRA mis à disposition par l’ANS à l’adresse suivante : https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1) et du PCRA de chaque activité critique ayant fait l’objet d’un BIA.

Le tout peut constituer un document unique ou des documents disjoints complémentaires, aucun format n’étant imposé.

L'atteinte de l’objectif D2.01.C est validé selon les différentes typologies de candidats :

• pour les GHT avec plusieurs entités juridiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités juridiques représentant au moins 66% de l'activité combinée du candidat.
• pour les structures (hors-GHT) ayant plusieurs entités géographiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités géographiques représentant au moins 66% de l'activité combinée du candidat.

Si un des périmètres retenus conformément à la liste dessus est applicable aux établissements constituant le candidat, alors le BIA et le PCRA peut être fourni à l’échelle du candidat.

Le PCA et le PRA portent sur les aspects métiers et organisationnels de l'établissement, au-delà de l'aspect informatique seul.
Il est fortement recommandé de traiter les 4 scénarios d'indisponibilités listés dans le kit PCA / PRA proposé par l’ANS : indisponibilité des ressources humaines, indisponibilité bâtimentaires, indisponibilité des fournisseurs et indisponibilité informatique.

Toutefois, seul le traitement du scénario d'indisponibilité des systèmes d’information et d'un second scénario au choix sont obligatoires pour atteindre les objectifs du D2.O1.C.

Cette fonctionnalité est possible dans le cadre du Domaine 2, contrairement au Domaine 1 du programme CaRE. Dans le Domaine 2, une même personne, associée à une unique adresse e-mail, peut donc être désignée comme référent pour plusieurs candidatures distinctes.

L'existence d'une PSSI de GHT ou à l’échelle du candidat permet-elle de valider le prérequis n°1 même si chaque établissement du GHT ou du candidat ne dispose pas de sa propre PSSI ?

Le D2.P1 attend que chaque candidat dispose d’une PSSI validée et revue entre le 16 juillet 2022 et la date de dépôt de candidature, fixée au plus tard au 31 octobre 2025. Ce document doit être signé par le représentant du candidat ou le représentant de chaque établissement constituant le candidat. En fonction de son organisation, ce document peut être fourni par candidat ou par chaque établissement constituant le candidat. Si l’entité juridique ou le GHT ne fournit pas une PSSI unique, l’établissement porteur de la candidature doit s’assurer que chaque établissement dispose de sa propre PSSI, signée par le directeur de l’établissement :

• pour les GHT, ce document peut être fourni au niveau des entités juridiques ;
• pour les EJ, ce document peut être fourni par entité géographique.

Aucun élément relatif au contenu ou à la structuration de la PSSI n'est imposé dans le cadre de ce prérequis.

Les établissements peuvent soumettre un document de présentation de la PSSI (et non la PSSI complète) selon un formalisme laissé à leur appréciation.

Le document de présentation devra néanmoins inclure (i) la date de mise à jour, (ii) la signature du représentant de la structure et (iii) le périmètre des entités juridiques et/ou géographiques appliquant cette politique.

Pour rappel, les candidats peuvent s’appuyer sur les contenus méthodologiques relatifs à la mise en œuvre d’une PSSI et disponibles aux liens suivants :

• https://cyber.gouv.fr/publications/pssi-guide-delaboration-de-politiques-de-securite-des-systemes-dinformation
• https://esante.gouv.fr/sites/default/files/media_entity/documents/pgssi-s_guide_pssi_non-expert-ssi-v-1.0.pdf

Que se passe-t-il également en cas de désistement après le dépôt de la candidature ou si un établissement n’atteint pas les objectifs ? Une entité juridique doit nécessairement candidater pour l’ensemble de ses entités géographiques. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du candidat, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Que se passe-t-il également en cas de désistement après le dépôt de la candidature ou si un établissement parti n’atteint pas les objectifs ? Un GHT doit nécessairement candidater pour le compte de l'ensemble des établissements partie à son groupement. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du GHT, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Les écarts constatés dans la base des établissements éligibles au Domaine 2 (cf. la documentation accessible par ce lien) peuvent être signalés via le support de l'ANS dédié pour le programme CaRE en suivant ce lien.

Les entités juridiques médico-sociales ne sont pas éligibles au financement ouvert par le Domaine 2. En revanche, ces entités juridiques seront éligibles au futur appel à projet CaRE dédié au secteur médico-social.

En complément, l'établissement ou le GHT, dont un ou plusieurs établissements parties comptent des EG médico-sociales, peut intégrer ces EG dans le cadre de ses travaux pour la politique et les plans de sauvegarde prévu par le domaine, notamment s’ils s’appuient sur l’infrastructure commune de l’établissement. Cependant, ces EG médico-sociales ne sont pas prises en compte dans le calcul du financement attribué à l'établissement candidat.