FAQ de l'offre : Ségur du numérique en santé

Les tests relatifs au PCA sont spécifiques et visent à mettre en pratique les processus opérationnelles de continuité et de reprise d'activité au niveau des services. L’obligation de réalisation d’un exercice de crise cyber ne peut donc pas être remplie par la réalisation d’un exercice de terrain du PCA. 
La seule réalisation d'un exercice de crise cyber ne permet donc pas la validation de l'objectif D2.O1.D : le candidat doit simuler un risque d'indisponibilité au sein des services, et activer les processus de continuité d'activité. Le candidat peut en revanche mutualiser l’exercice de crise cyber et le test PCRA, dès lors que l’exercice couvre explicitement les attendus propres à chacun de ces dispositifs. 
Par ailleurs, la validation de l'objectif D2.O1.D repose sur (i) la formalisation d'un retour d'expérience suite à l'exercice incluant un plan d'amélioration du PCA, et (ii) la soumission d'un planning de réalisation des tests sur l'ensemble des activités critiques. 
Des kits d’exercices de crise cyber prêts à l’emploi sont disponibles sur le site de l’ANS au lien suivant :
https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1
Il est en revanche possible de réaliser simultanément un exercice de cybercrise (dans le format connu, et notamment exigé au titre du Domaine 1) et un exercice de continuité d'activité au sein des services. 

Le candidat doit réaliser un BIA et un PCRA (en réponse à l’objectif D2.O1.C) sur chacun des périmètres a minima (i.e. un service de soin, un plateau technique, le processus administratif le plus critique) couvrant au moins 66% de son activité combinée (analysée à la maille des structures juridiques pour les candidats GHT, et de la maille des structures géographiques pour les autres candidats). 
Il est à noter que les entités considérées par le candidat pour la réalisation du BIA / PCRA peuvent différer selon les périmètres. Les activités considérées pour chacun des périmètres peuvent être différentes d’un établissement à l’autre (par exemple, il est possible au titre du BIA/PCRA sur un service de soin de considérer (i) le service d’oncologie sur une entité, et (ii) le service de cardiologie pour une autre entité). 

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement – y compris les coûts de formation À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 

Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  

Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK

Le BIA est réalisé a minima sur le périmètre suivant : (i) un service de soins ayant un impact majeur sur la prise en charge du patient, (ii) un plateau technique en lien avec le parcours de soins, et (iii) le processus administratif / support le plus critique pour l’établissement. Les candidats ne disposant pas d’un plateau technique sont invités à réaliser un BIA / PCRA sur un 2nd service de soins ou le cas échéant, sur un 2nd service administratif / support s’il ne dispose que d’un service de soins (voir réponse à la question 4.15). 
Le candidat est invité à réaliser un document descriptif des activités décrites du périmètre à minima, et pourra le cas échéant y intégrer des contenus qu’il aurait déjà décrits dans les BIA. 

En effet l'appel contextuel à la DRIMbox Consommatrice est fait à partir d'un RIS ou DPI qui doit implémenter l'appel à travers une exigence.

De plus actuellement nous n'autorisons pas le lancement de l'appel Contextuel pour ouvrir la DRIMbox Consommatrice tant qu'il n'y a pas une information et un consentement du patient, pour cette raison, la DRIMbox Consommatrice n'est jamais lancée dans le cas d'une demande de suppression d'habilitation, en conséquence la transaction TD0.3 (Action : Suppression) n'est pas utilisée.

Après échanges avec l’Assurance Maladie, un accord a été donné pour que la DRIMbox Consommatrice ne gère pas la suppression de l’habilitation sur la transaction TD0.3, compte tenu des exigences applicables au RIS et au DPI, qui interdisent tout appel à la DRIMbox lorsque le consentement du patient n’est pas recueilli.

En revanche, le RIS et le DPI doivent prendre en charge l’ensemble des actions (Ajout et Suppression) de la transaction TD0.3 dans le cadre de leur compatibilité DMP.

L’habilitation FranceConnect+ en production est bien ouverte pour les services, avec la possibilité de déclarer l’établissement comme responsable de traitement.

Il est recommandé à l'éditeur de se faire reconnaitre rapidement via le support partenaires FranceConnect pour obtenir une certification éditeur de la solution, cela va permettre ensuite d'accélérer la phase de déploiement et éviter de repasser systématiquement un processus de qualification à chaque déploiement de la solution.

FranceConnect+ est le cadre de référence cible, il est demandé dans le cadre du référencement de passer des scénarios en utilisant le Bac à Sable France Connect+.

Concernant la phase de déploiement, l'éditeur aura le choix de proposer FranceConnect+ ou FranceConnect avec double facteur ou le service d'authentification via l'application Carte Vitale quand il sera disponible, conformément aux éléments rédigés dans la Spécification projet de la visionneuse intégrée aux DRIMbox, il est à noter qu'à ce jour c'est FranceConnect avec double facteur qui est utilisé comme service d'authentification régalien pour Mon espace Santé.

Sur le site Partenaires FranceConnect, le parcours est décrit. Il convient de retenir qu’il existe plusieurs phases structurantes qui doivent être prises en charge par le client.

Parmi celles-ci, la phase de demande d’habilitation est particulièrement importante : elle nécessite de renseigner précisément le cadre juridique ainsi que la répartition des rôles des personnes impliquées, notamment le responsable du traitement des données et le DPO de la structure.

Concernant le responsable technique, il s’agira vraisemblablement de l’éditeur.

Pour conclure, cette phase est essentielle et requiert une forte interaction entre l’éditeur et son client afin d’assurer la complétude du formulaire déclaratif.

Cette habilitation est exigée pour toute demande de financement de prestation principale Ségur vague2 DRIMbox auprès de l'ASP. En tant qu'opérateur de la solution Ségur en production, le distributeur doit donc demander l'habilitation Opérateur de service utilisateur Espace de Confiance Pro Santé Connect pour la solution qu'il déploie et opère chez ses clients. 
Néanmoins, un distributeur revendeur pur qui s'appuie sur l'éditeur pour le déploiement et les opérations en production chez ses clients, pourra utiliser l'habilitation opérateur de service utilisateur Pro Santé Connect de l'éditeur dès lors que celui-ci l'y autorise. Cette autorisation devra faire l'objet d'une mention dans le mandat demandée par l'ASP au distributeur au moment de l'enrôlement. Par exemple : "Dans la mesure où les Prestations Ségur sont réalisées techniquement par l’Editeur, L’Editeur autorise le Distributeur à disposer, dans le cadre des demandes d’avance SONS-IMG-DB-va2, de l'habilitation « Opérateur de service utilisateur » de l’Espace de confiance Pro Santé Connect (EDC PSC), obtenue par l'Editeur pour la Solution."

Actuellement, le projet DRIM-M spécifie la possibilité qu'un patient puisse accéder à un service de visualisation de ses examens d'imagerie au moyen d'un lien URL positionné au sein des comptes-rendus d'imagerie associés. L'utilisation de ce sevice de visualisation implique que l'utilisateur (patient) soit en mesure de s'identifier auprès du dispositif FranceConnect+. Or, à l'heure actuelle, les différents fournisseurs d'identité associés au dispositif FranceConnect+ imposent  que l’utilisateur ait plus de 15 ans pour créer son identité numérique. En conséquence, un mineur de moins de 15 ans ne sera donc pas en mesure d'utiliser le service de visualisation de ses examens d'imagerie à partir de la consultation de ses comptes-rendus d’imagerie, FranceConnect+ étant le seul moyen d’authentification patient actuellement spécifié au sein des exigences associées au projet DRIM-M. 
Afin de pallier cette situation, une solution complémentaire peut être temporairement envisagée. Conformément à la note mentionnée au sein de la section 4.1 de la spécification projet DRIMBox visionneuse, il est possible de mettre les images à disposition du patient mineur via un support physique en attendant le déploiement du fournisseur d’identité en direct proposé par le service « Application Carte Vitale ». Cette méthode d’authentification, actuellement en cours de spécification par les acteurs institutionnels, devrait permettre de résoudre la situation évoquée. En effet, tel qu’envisagé actuellement, l’utilisateur patient aura à terme le choix entre deux méthodes d’authentification suite à une demande de visualisation d'un examen d'imagerie : FranceConnect et Application Carte Vitale. Ainsi, si l'utilisateur sélectionne la méthode d’authentification proposée par le service Application Carte Vitale, alors le titulaire de la carte vitale (càd parent) auprès de laquelle il est associé en tant qu'ayant droit (exemple : enfant) affilié à son régime sera en mesure de se connecter et de visualiser les images médicales associées au compte-rendu.