FAQ de l'offre : Ségur du numérique en santé

Les tests relatifs au PCA sont spécifiques et visent à mettre en pratique les processus opérationnelles de continuité et de reprise d'activité au niveau des services. L’obligation de réalisation d’un exercice de crise cyber ne peut donc pas être remplie par la réalisation d’un exercice de terrain du PCA. 
La seule réalisation d'un exercice de crise cyber ne permet donc pas la validation de l'objectif D2.O1.D : le candidat doit simuler un risque d'indisponibilité au sein des services, et activer les processus de continuité d'activité. Le candidat peut en revanche mutualiser l’exercice de crise cyber et le test PCRA, dès lors que l’exercice couvre explicitement les attendus propres à chacun de ces dispositifs. 
Par ailleurs, la validation de l'objectif D2.O1.D repose sur (i) la formalisation d'un retour d'expérience suite à l'exercice incluant un plan d'amélioration du PCA, et (ii) la soumission d'un planning de réalisation des tests sur l'ensemble des activités critiques. 
Des kits d’exercices de crise cyber prêts à l’emploi sont disponibles sur le site de l’ANS au lien suivant :
https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1
Il est en revanche possible de réaliser simultanément un exercice de cybercrise (dans le format connu, et notamment exigé au titre du Domaine 1) et un exercice de continuité d'activité au sein des services. 

Le candidat doit réaliser un BIA et un PCRA (en réponse à l’objectif D2.O1.C) sur chacun des périmètres a minima (i.e. un service de soin, un plateau technique, le processus administratif le plus critique) couvrant au moins 66% de son activité combinée (analysée à la maille des structures juridiques pour les candidats GHT, et de la maille des structures géographiques pour les autres candidats). 
Il est à noter que les entités considérées par le candidat pour la réalisation du BIA / PCRA peuvent différer selon les périmètres. Les activités considérées pour chacun des périmètres peuvent être différentes d’un établissement à l’autre (par exemple, il est possible au titre du BIA/PCRA sur un service de soin de considérer (i) le service d’oncologie sur une entité, et (ii) le service de cardiologie pour une autre entité). 

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement – y compris les coûts de formation À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 

Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  

Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK

Le BIA est réalisé a minima sur le périmètre suivant : (i) un service de soins ayant un impact majeur sur la prise en charge du patient, (ii) un plateau technique en lien avec le parcours de soins, et (iii) le processus administratif / support le plus critique pour l’établissement. Les candidats ne disposant pas d’un plateau technique sont invités à réaliser un BIA / PCRA sur un 2nd service de soins ou le cas échéant, sur un 2nd service administratif / support s’il ne dispose que d’un service de soins (voir réponse à la question 4.15). 
Le candidat est invité à réaliser un document descriptif des activités décrites du périmètre à minima, et pourra le cas échéant y intégrer des contenus qu’il aurait déjà décrits dans les BIA. 

Non, l’atteinte de l’objectif repose sur la mise en œuvre d’un système d’authentification sécurisé et indépendant pour l’accès aux infrastructures de sauvegarde. Le candidat est libre du choix de la solution mise en œuvre pour atteindre cet objectif, qui peut reposer sur un active directory dédié comme sur des comptes locaux.
Dans le cas où un active directory dédié est mis en œuvre, un niveau supérieur ou égale à 3 doit être obtenu à l’audit ADS réalisé en fin de phase opérationnelle.
 

Le choix du mode de cloisonnement mis en œuvre pour les infrastructures sauvegardes est laissé au choix du candidat.
Le candidat devra soumettre le schéma technique et fonctionnel permettant de présenter la solution, qui devra garantir une capacité technique d’isolation en cas d’incident. 
 

Le candidat est libre d’utiliser la méthodologie de son choix pour atteindre l’objectif, bien qu’il soit vivement recommandé de suivre la méthodologie et les modèles documentaires proposés dans le kit PCRA de l’ANS (accessible aux liens suivants : Espace de Documentation CaRE | E-Santé).

Pour rappel, l’atteinte de l’objectif D2.01.C repose sur :

• l’identification a minima d’un service de soin, d’un plateau technique et du processus administratif le plus critique sur lesquels seront réalisés les BIA ;
• la réalisation du PCRA sur les activités critiques ayant fait l’objet d’un BIA.

La réalisation d’un BIA est donc requise a minima pour les périmètres identifiés et ce dernier doit intégrer les informations suivantes indépendamment du modèle utilisé : (i) la liste des activités considérées, (ii) le degré de criticité de chaque activité selon une échelle temporelle, (iii) les types d’impacts associés à une interruption d’activité, (iv) le délai maximal d’indisponibilité de l’activité, et (v) les besoins matériels et humains liés à l’indisponibilité. 
 

L’objectif D2.01.D vise à tester l’application du PCRA pour en identifier les difficultés rencontrées dans sa mise en œuvre, tirer des retours d’expériences et permettre l’amélioration de la préparation opérationnelle du candidat en cas d’indisponibilité. Dans la mesure où une panne est par essence imprévisible et engage un risque fort pour la continuité d’activité, il est vraisemblable que le candidat n’a pas pu identifier et formaliser l’ensemble des difficultés rencontrées dans l’application du PCRA.

Nous invitons donc les candidats à définir un scénario de test et à organiser un exercice de terrain. Par ailleurs, il est rappelé que la validation de l’objectif D2.01.D repose également sur la formalisation d’un planning de réalisation des exercices portant sur les autres scénarios d’indisponibilité. 
 

Le choix du mode de cloisonnement mis en œuvre pour les infrastructures sauvegardes est laissé au choix du candidat.

Le candidat devra soumettre le schéma technique et fonctionnel permettant de présenter la solution, qui devra garantir une capacité technique d’isolation en cas d’incident.

Non, l’atteinte de l’objectif repose sur la mise en œuvre d’un système d’authentification sécurisé et indépendant pour l’accès aux infrastructures de sauvegarde. Le candidat est libre du choix de la solution mise en œuvre pour atteindre cet objectif, qui peut reposer sur un active directory dédié comme sur des comptes locaux.µ

Dans le cas où un active directory dédié est mis en œuvre, un niveau supérieur ou égale à 3 doit être obtenu à l’audit ADS réalisé en fin de phase opérationnelle.