FAQ de l'offre : Ségur du numérique en santé

Les tests relatifs au PCA sont spécifiques et visent à mettre en pratique les processus opérationnelles de continuité et de reprise d'activité au niveau des services. L’obligation de réalisation d’un exercice de crise cyber ne peut donc pas être remplie par la réalisation d’un exercice de terrain du PCA. 
La seule réalisation d'un exercice de crise cyber ne permet donc pas la validation de l'objectif D2.O1.D : le candidat doit simuler un risque d'indisponibilité au sein des services, et activer les processus de continuité d'activité. Le candidat peut en revanche mutualiser l’exercice de crise cyber et le test PCRA, dès lors que l’exercice couvre explicitement les attendus propres à chacun de ces dispositifs. 
Par ailleurs, la validation de l'objectif D2.O1.D repose sur (i) la formalisation d'un retour d'expérience suite à l'exercice incluant un plan d'amélioration du PCA, et (ii) la soumission d'un planning de réalisation des tests sur l'ensemble des activités critiques. 
Des kits d’exercices de crise cyber prêts à l’emploi sont disponibles sur le site de l’ANS au lien suivant :
https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1
Il est en revanche possible de réaliser simultanément un exercice de cybercrise (dans le format connu, et notamment exigé au titre du Domaine 1) et un exercice de continuité d'activité au sein des services. 

Le candidat doit réaliser un BIA et un PCRA (en réponse à l’objectif D2.O1.C) sur chacun des périmètres a minima (i.e. un service de soin, un plateau technique, le processus administratif le plus critique) couvrant au moins 66% de son activité combinée (analysée à la maille des structures juridiques pour les candidats GHT, et de la maille des structures géographiques pour les autres candidats). 
Il est à noter que les entités considérées par le candidat pour la réalisation du BIA / PCRA peuvent différer selon les périmètres. Les activités considérées pour chacun des périmètres peuvent être différentes d’un établissement à l’autre (par exemple, il est possible au titre du BIA/PCRA sur un service de soin de considérer (i) le service d’oncologie sur une entité, et (ii) le service de cardiologie pour une autre entité). 

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement – y compris les coûts de formation À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 

Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  

Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK

Le BIA est réalisé a minima sur le périmètre suivant : (i) un service de soins ayant un impact majeur sur la prise en charge du patient, (ii) un plateau technique en lien avec le parcours de soins, et (iii) le processus administratif / support le plus critique pour l’établissement. Les candidats ne disposant pas d’un plateau technique sont invités à réaliser un BIA / PCRA sur un 2nd service de soins ou le cas échéant, sur un 2nd service administratif / support s’il ne dispose que d’un service de soins (voir réponse à la question 4.15). 
Le candidat est invité à réaliser un document descriptif des activités décrites du périmètre à minima, et pourra le cas échéant y intégrer des contenus qu’il aurait déjà décrits dans les BIA. 

Comme indiqué dans le DSR, l'habilitation EDC PSC Editeur (Editeur de logiciel utilisateur et Editeur de Proxy e-santé) est obligatoire et constitue un pré requis à votre référencement Ségur.

Dans le cas où vous n’avez pas obtenu l’habilitation Editeur de logiciel utilisateur et/ou l’habilitation Editeur de Proxy e-santé de l’EDC PSC Editeur à l’échéance de la Date 3 du guichet Ségur (date limite de fin des échanges de l’Editeur avec l’ANS), vous devez transmettre une capture d’écran de l’étape "Dépôt de preuves" du guichet EDC PSC Editeur devant obligatoirement afficher :

• Le numéro unique de référencement (NRU),
• Le nom de la solution,
• Et l'ensemble des chapitres EDC PSC validés.

Exemple d’une copie écran attendue :

Image

Comme indiqué dans le DSR, l'habilitation EDC PSC Editeur (Editeur de logiciel utilisateur et Editeur de Proxy e-santé) est obligatoire et constitue un pré requis à votre référencement Ségur.

Dans le cas où vous n’avez pas obtenu l’habilitation Editeur de logiciel utilisateur et/ou l’habilitation Editeur de Proxy e-santé de l’EDC PSC à l’échéance de la Date 2 du guichet Ségur (date limite de dépôt d'un dossier complet), vous devez transmettre une capture d’écran de l’étape "Dépôt de preuves" du guichet EDC PSC Editeur devant obligatoirement afficher :

• Le numéro unique de référencement (NRU),
• Le nom de la solution,
• L'ensemble des chapitres soumis au moins une fois,
• La validation du chapitre « Prérequis maturité technique » et l’obtention de l’Autorisation d’accès aux environnements de test des acteurs de l’Espace de confiance.
  • A noter : l’atteinte de la Date 2 implique que ce chapitre « Prérequis maturité technique » ait été validé et que vous ayez obtenu cette Autorisation d’accès aux environnements de test des acteurs de l’Espace de confiance (utilisateurs et Proxy e-santé) afin que vous puissiez contractualiser avec le CNDA. Ce prérequis EDC PSC est ainsi nécessaire afin que vous soyez en mesure de déposer l’attestation d’homologation du CNDA attendue à la Date 2, ou à défaut le dépôt au CNDA de l'ensemble des éléments attendus du dossier de l'homologation concernée, tel qu'attesté par le CNDA (via une copie d’écran de son espace personnel CNDA mettant en visibilité la date de retour prévisionnelle) .

Exemple d’une copie d'écran attendue :

Image

Oui, l’ensemble des collaborateurs disposant d’un accès à la candidature ainsi qu’au produit rattaché à celle-ci peuvent consulter les échanges et les retours des référents de référencement.

Aucune action spécifique n’est nécessaire pour leur donner accès, en dehors du rattachement préalable au produit concerné. Des précisions sur cette configuration sont disponibles dans le guide utilisateur Convergence, notamment dans la dernière section dédiée à ce sujet : https://convergence.esante.gouv.fr/pictures/publish/22.

La réception des notifications par email dépend toutefois des préférences définies par chaque utilisateur, qui peut choisir d’activer ou non ce type d’alertes.

En cas de difficulté ou d’anomalie, les utilisateurs sont invités à contacter directement le support via la plateforme Convergence.

La messagerie de Convergence est dédiée au échanges concernant des dépôts de preuves produits en réponse aux exigences et scénarios du dispositif visé. Elle permet d’échanger directement avec les équipes en charge de la vérification des candidatures lorsqu’un complément d’information, une clarification ou un échange est nécessaire dans le cadre du dépôt et de l’instruction des preuves de référencement.

Le formulaire de demande disponible sur l’Espace Authentifié permet quant à lui de contacter le support Ségur. Les demandes sont prises en charge par le niveau 1 du support, qui les traite directement ou les oriente vers les experts compétents lorsque cela est nécessaire.

Ces deux canaux sont donc complémentaires : la messagerie Convergence est dédiée au suivi d’une candidature en cours, tandis que le formulaire de l’Espace Authentifié permet de solliciter le support Ségur sur des questions plus générales relatives aux dispositifs de référencement.

Si vous n’êtes pas encore raccordé à Pro Santé Connect et que vous ne disposez pas d’un numéro DataPass pour votre solution, vous devez effectuer une demande de DataPass préalablement à votre demande de raccordement à l’Espace de Confiance Pro Santé Connect, y compris si votre solution a déjà été référencée dans le cadre du Ségur Vague 1.

En revanche, si vous disposez déjà d’un numéro DataPass associé à la solution que vous souhaitez référencer en Vague 2, aucune nouvelle demande n’est nécessaire. Vous pouvez réutiliser le numéro DataPass déjà attribué à cette solution.

Pour plus d’informations sur les modalités de raccordement, nous vous invitons à consulter le parcours de raccordement à l'Espace de Confiance Pro Santé Connect : https://esante.gouv.fr/ens/offre/pro-sante-connect#35737

Non, il n’est pas nécessaire d’avoir réalisé les tests d’intrusion pour valider le chapitre « prérequis de maturité technique ». Ces deux volets sont distincts.

Il est recommandé de commencer le plus tôt possible le prérequis de maturité technique afin d’obtenir les accès aux environnements du CNDA, puis de réaliser ultérieurement le chapitre relatif aux tests d’intrusion dans le cadre de l’EDC PSC.

Pour rappel, ces exigences de maturité technique concernent uniquement les éditeurs soumis au parcours EDC PSC. Les solutions exclusivement  positionnées sur le profil "AHI" du dispositif MS DUI Vague 2 ne sont pas concernées par ce chapitre prérequis de maturité technique.