FAQ de l'offre : Ségur du numérique en santé

Les tests relatifs au PCA sont spécifiques et visent à mettre en pratique les processus opérationnelles de continuité et de reprise d'activité au niveau des services. L’obligation de réalisation d’un exercice de crise cyber ne peut donc pas être remplie par la réalisation d’un exercice de terrain du PCA. 
La seule réalisation d'un exercice de crise cyber ne permet donc pas la validation de l'objectif D2.O1.D : le candidat doit simuler un risque d'indisponibilité au sein des services, et activer les processus de continuité d'activité. Le candidat peut en revanche mutualiser l’exercice de crise cyber et le test PCRA, dès lors que l’exercice couvre explicitement les attendus propres à chacun de ces dispositifs. 
Par ailleurs, la validation de l'objectif D2.O1.D repose sur (i) la formalisation d'un retour d'expérience suite à l'exercice incluant un plan d'amélioration du PCA, et (ii) la soumission d'un planning de réalisation des tests sur l'ensemble des activités critiques. 
Des kits d’exercices de crise cyber prêts à l’emploi sont disponibles sur le site de l’ANS au lien suivant :
https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1
Il est en revanche possible de réaliser simultanément un exercice de cybercrise (dans le format connu, et notamment exigé au titre du Domaine 1) et un exercice de continuité d'activité au sein des services. 

Le candidat doit réaliser un BIA et un PCRA (en réponse à l’objectif D2.O1.C) sur chacun des périmètres a minima (i.e. un service de soin, un plateau technique, le processus administratif le plus critique) couvrant au moins 66% de son activité combinée (analysée à la maille des structures juridiques pour les candidats GHT, et de la maille des structures géographiques pour les autres candidats). 
Il est à noter que les entités considérées par le candidat pour la réalisation du BIA / PCRA peuvent différer selon les périmètres. Les activités considérées pour chacun des périmètres peuvent être différentes d’un établissement à l’autre (par exemple, il est possible au titre du BIA/PCRA sur un service de soin de considérer (i) le service d’oncologie sur une entité, et (ii) le service de cardiologie pour une autre entité). 

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement – y compris les coûts de formation À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 

Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  

Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement. À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 
 
Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  
 
Les coûts de renouvellement d'un système de sauvegarde ou d'achat d'un pare-feu interne sont des dépenses éligibles respectivement dans le cadre des objectifs D2.O3.C et D2.O3.B. Concernant l’achat d’un bastion, dans le cadre de l’objectif D2.O3, il peut être considéré comme une dépense éligible uniquement s’il s’inscrit dans un projet plus large d’isolement de l’infrastructure de sauvegarde qui doit inclure le cloisonnement du réseau. 
Pour rappel, une synthèse sur l’éligibilité des dépenses est prévue au chapitre n°3 (page 10) du guide des objectifs et prérequis publié pour le domaine. 

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK
 

Il est possible pour un établissement de valoriser des actions de formation si elles ont permis de contribuer directement à l'atteinte d'un objectif (par exemple, pour des professionnels disposant d'une lettre de mission) du présent domaine. Les formations citées en exemples (ISO 270001, 27002, 27005, EBIOS) ne contribuent pas directement à l’atteinte d’un objectif du domaine, et ne sont pas des dépenses considérées éligibles. 
Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

Les documents justificatifs attendus dans le cadre du domaine seront soumis par le candidat au travers de la plateforme sécurisée e-CaRE, et pour les documents les plus sensibles, au travers d'un conteneur Zed. Les documents transmis sont exclusivement analysés par les équipes de votre Agence Régionale de Santé (à l’exception des documents présents dans un conteneur Zed) et de l'Agence du Numérique de Santé aux fins de contrôle telles que définies dans la convention entre l'ANS et le candidat. Par ailleurs, ladite convention fixe également les durées de conservation et les modalités de suppression des données recueillies.  

Pour rappel, dans le cas des objectifs D2.O2.A et D2.O2.B, le candidat est libre de fournir en lieu et place des PAS exigées : (i) si le document est disponible, une attestation de présence du document, (ii) si le document est incomplet, une attestation ou une justification des démarches engagées, (iii) si le document est indisponible, le motif de non-présence du document ainsi que le nom du prestataire et de la solution. 

Le BIA est réalisé a minima sur le périmètre suivant : (i) un service de soins ayant un impact majeur sur la prise en charge du patient, (ii) un plateau technique en lien avec le parcours de soins, et (iii) le processus administratif / support le plus critique pour l’établissement. Les candidats ne disposant pas d’un plateau technique sont invités à réaliser un BIA / PCRA sur un 2nd service de soins ou le cas échéant, sur un 2nd service administratif / support s’il ne dispose que d’un service de soins (voir réponse à la question 4.15). 
Le candidat est invité à réaliser un document descriptif des activités décrites du périmètre à minima, et pourra le cas échéant y intégrer des contenus qu’il aurait déjà décrits dans les BIA. 

Comme indiqué dans le DSR, l'habilitation EDC PSC Editeur (Editeur de logiciel utilisateur et Editeur de Proxy e-santé) est obligatoire et constitue un pré requis à votre référencement Ségur.

Dans le cas où vous n’avez pas obtenu l’habilitation Editeur de logiciel utilisateur et/ou l’habilitation Editeur de Proxy e-santé de l’EDC PSC Editeur à l’échéance de la Date 3 du guichet Ségur (date limite de fin des échanges de l’Editeur avec l’ANS), vous devez transmettre une capture d’écran de l’étape "Dépôt de preuves" du guichet EDC PSC Editeur devant obligatoirement afficher :

• Le numéro unique de référencement (NRU),
• Le nom de la solution,
• Et l'ensemble des chapitres EDC PSC validés.

Exemple d’une copie écran attendue :

Image

Comme indiqué dans le DSR, l'habilitation EDC PSC Editeur (Editeur de logiciel utilisateur et Editeur de Proxy e-santé) est obligatoire et constitue un pré requis à votre référencement Ségur.

Dans le cas où vous n’avez pas obtenu l’habilitation Editeur de logiciel utilisateur et/ou l’habilitation Editeur de Proxy e-santé de l’EDC PSC à l’échéance de la Date 2 du guichet Ségur (date limite de dépôt d'un dossier complet), vous devez transmettre une capture d’écran de l’étape "Dépôt de preuves" du guichet EDC PSC Editeur devant obligatoirement afficher :

• Le numéro unique de référencement (NRU),
• Le nom de la solution,
• L'ensemble des chapitres soumis au moins une fois,
• La validation du chapitre « Prérequis maturité technique » et l’obtention de l’Autorisation d’accès aux environnements de test des acteurs de l’Espace de confiance.
  • A noter : l’atteinte de la Date 2 implique que ce chapitre « Prérequis maturité technique » ait été validé et que vous ayez obtenu cette Autorisation d’accès aux environnements de test des acteurs de l’Espace de confiance (utilisateurs et Proxy e-santé) afin que vous puissiez contractualiser avec le CNDA. Ce prérequis EDC PSC est ainsi nécessaire afin que vous soyez en mesure de déposer l’attestation d’homologation du CNDA attendue à la Date 2, ou à défaut le dépôt au CNDA de l'ensemble des éléments attendus du dossier de l'homologation concernée, tel qu'attesté par le CNDA (via une copie d’écran de son espace personnel CNDA mettant en visibilité la date de retour prévisionnelle) .

Exemple d’une copie d'écran attendue :

Image

La nouvelle version du scénario complète les informations à renseigner lors de la création de l'unité.

Ces ajouts ont été réalisés afin d'aligner le scénario de conformité avec les données attendues dans le cadre des spécifications d'interopérabilité

En complément de l'ID ROR, de la catégorie d'organisation et du mode de prise en charge, il est désormais demandé de renseigner :

• Le nom de l'unité
• L'accueil séquentiel ;
• La temporalité d'accueil.

Le scénario fournit également les valeurs attendues pour la démonstration :

• Identifiant ROR : 41/50616
• Nom de l'unité : Hébergement Complet Internat
• Catégorie d'organisation : 01 – Appartement thérapeutique en psychiatrie
• Mode de prise en charge : 46 – Hébergement (accueil jour et nuit)
• Accueil séquentiel : True
• Temporalité d'accueil : 02 – Permanent.