FAQ de l'offre : Cybersécurité

La constitution de l'équipe projet est demandée dans le prérequis D2.P2. L'équipe projet rassemble les personnes qui seront impliquées dans l’atteinte des objectifs du domaine. 
Le comité de pilotage doit quant à lui s'inscrire dans une gouvernance pérenne de la continuité et la reprise d'activité au-delà de la réalisation du domaine. Le candidat est libre du choix des participants de cette instance, qui peut intégrer des membres de l’équipe projet et/ou suivre les recommandations indiquées dans le kit PCRA mis à disposition. 

Non, le schéma de gouvernance met en lumière les instances et collaborateurs engagés dans une démarche de mise en place pour la continuité et reprise d'activité (attendu au titre de l’objectif D2.O1.A) alors que le PCRA cadre (qui peut être soumis, de manière non requise, en réponse au D2.O1.C) est le plan de réponse du niveau stratégique en cas d’évènement perturbateur.

Si un plateau technique est mutualisé, il est possible de réaliser un seul BIA au titre de cet attendu pour l'ensemble des EG concernées. Le candidat devra veiller à ce que l’analyse d’impact et les dispositifs de continuité d’activité définis intègrent les spécificités propres à chacun des EG considérés. Il devra également indiquer le périmètre des EG couverts dans les documents justificatifs (i.e. BIA et PCRA) transmis.

Oui, cependant Le processus "RH" apparaît aujourd'hui particulièrement vaste pour faire l'objet d'un BIA et d'un PCRA uniques en réponse à l'objectif, et ce au regard de la diversité des sous-processus qu'il porte. Nous recommandons le cas échéant de réaliser les BIA et PCRA en réponse à l'objectif D2.O1.C sur un des sous-processus constitutif de l'activité RH, comme par exemple : la gestion du recrutement, la gestion des formations, la gestion de la paye, la gestion du temps de travail, etc. 
Il est également possible d’adresser le processus « finance » ou le processus « paye » dans le cadre du périmètre processus administratif / support : le choix du périmètre critique étant laissé à l’appréciation du candidat vis-à-vis de son contexte propre. 

La numérisation des archives papiers ne permet pas directement d’atteindre l’un des objectifs du domaine – tant sur les dimensions de continuité d’activité (i.e. D2.O1.C, considérant que les archives ne sont pas directement utilisées à des finalités de continuité d’activité), que sur les dimensions de sauvegarde (i.e. les D2.O2.B et D2.O2.C portant sur le cloisonnement de l’infrastructure de sauvegarde et sur la mise en œuvre du 3-2-1). En conséquence, la dépense n’est pas considérée comme éligible au financement dans le cadre du domaine 2 du programme CaRE.  
Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

La définition des objectifs stratégiques du dispositif de continuité d’activité relève de la responsabilité du candidat au regard des spécificités de son contexte et des cibles qu’il définit dans le cadre de sa démarche. La transmission d’objectifs uniquement qualitatifs constitue l’attendu minimal, bien qu’il soit recommandé que le candidat puisse définir des cibles quantitatives lorsque cela est possible, et ce dans une démarche de pilotage de son dispositif de continuité d’activité. 
Des illustrations d’objectifs stratégiques sont fournies dans le guide PCRA mis à disposition par l’ANS accessible au :
https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip
Pour rappel, la transmission d’un PCRA cadre est recommandée bien qu’elle ne soit pas requise à l’atteinte de l’objectif D2.O1.C. 

La transmission d'une attestation ou d'un contrat de prestation HDS ne permet pas la validation de l'objectif D2.O2.A En effet, la certification HDS impose des exigences en matière de sécurité mais qui ne peuvent être considérées comme portant l'exhaustivité des engagements attendus au titre d'un contrat de service et d'un PAS. En revanche, la transmission du contrat de prestation avec un prestataire HDS répond aux attendus de l'objectif D2.O2.B si ce contrat précise les niveaux de services attendus. 

Conformément au guide des objectifs et prérequis, un test de continuité d'activité (PCA) est attendu dans le cadre de l'objectif D2.O1.C. Il n'est donc pas requis de tester les dispositifs de reprise d'activité dans le cadre dudit objectif. Par ailleurs, et bien que l’ANS recommande vivement de réaliser le test de continuité d’activité sur l’ensemble des risques d’indisponibilité, le guide des objectifs et prérequis précise que le test doit être réalisé sur « au moins » une activité. Les candidats n’ont donc pas l’obligatoire de faire porter le test sur le risque d’indisponibilité informatique. 

La téléphonie ne constitue pas un périmètre priorisé dans le cadre du domaine n°2. Néanmoins, si le bilan d'impact sur les activités (BIA) l'identifie comme un système critique, alors il est attendu que la téléphonie soit couverte par la réalisation de PCA/PRA. 
Cela s’applique pour d’autres périmètres : si un service est jugé comme critique dans le contexte d’un candidat, il peut être considéré comme un service critique d’un périmètre. 
Les contrôles de conformité n'auront pas vocation à challenger les périmètres choisis par l'établissement, sauf si ce qui est présenté posait vraiment question et apparaissait en incohérence avec l'esprit du programme. 

Oui, le SAMU / SMUR peut être considéré comme un service de soin dans le cadre de la réponse à l’objectif D2.O1.C. Toutefois, le dépôt de sang n'est pas considéré directement comme un plateau technique (voir liste exhaustive en réponse à la question 4.13), les activités de la chaîne transfusionnelle s’appuient sur le laboratoire de biologie médicale et peuvent à ce titre, être considérées dans le cadre de la réalisation d'un BIA / PCRA sur le périmètre d'un plateau technique.