FAQ de l'offre : Cybersécurité

Oui, les données du serveur de production sont considérées comme une copie, et ce conformément aux recommandations de l’ANSSI considérant les données de l’environnement de production (i.e données de l’environnement de production) comme une copie. 
Néanmoins, une réplication des données de production ne constitue pas une sauvegarde dans l'application du 3-2-1 (i.e. une seule sauvegarde est considérée entre les données de production et sa réplication). En revanche, une réplication des données d'une sauvegarde est bien considérée comme une 2ndsauvegarde disjointe.
La stratégie « 3-2-1 » implique la réalisation de 3 copies de données, sur 2 supports différents, dont 1 nécessairement hors-ligne. 

Le candidat doit uniquement renseigner la trame de l’état financier en y indiquant les temps mobilisés par chaque professionnel dans le cadre de l’appel à financement, et en ventilant les temps mobilisés par objectif. L’Agence du Numérique en Santé n’attend pas d’autres documents justificatifs relatifs à la mobilisation des équipes. Il est rappelé qu’un récapitulatif de paie annuel (au titre de 2025 et/ou 2026) ou un journal de paie est attendu pour chacun des salariés en annexe de la trame de l’état financier.  

S’agissant de la mobilisation de fonds européens, des contrôles complémentaires a posteriori peuvent être réalisés à l’initiative de la Commission Européenne. Dans ce cadre, il est recommandé aux candidats de (i) formaliser des lettres de mission permettant de justifier de la mobilisation des personnels les plus engagés dans l’atteinte des objectifs du domaine, (ii) tenir à jour un document de suivi des temps mobilisés. La formalisation et la signature de lettres de mission permet de justifier de la nouveauté des coûts engagés pour l’atteinte des objectifs du domaine et pour lesquels des subventions auront été accordées. 
Le format de la lettre de mission est libre. Elle doit néanmoins inclure les informations essentielles suivantes : le temps consacré, la personne concernée, la mission attribuée, le nom de l'établissement de santé et les signatures associées. 

La base des établissements éligibles mis à disposition sur le site (accessible au lien suivant) de l’Agence du Numérique en Santé précise l’activité de chacune des entités géographiques associés à une entité juridique éligible au domaine. Les candidats sont invités à utiliser ces données pour vérifier que le périmètre d’entité considéré pour la réalisation des BIA / PCRA est conforme à l’objectif de 66% d’activité combinée définie pour les objectifs D2.O1.C et D2.O1.D. 

Non. Les audits ne font pas partie des objectifs du programme et ne sont donc pas éligibles à un financement. Elles constituent une réponse à un besoin global de continuité et de reprise d'activité mais n'agissent pas directement sur les capacités opérationnelles du candidat et l’atteinte des objectifs du domaine 2.  

La règle 3-2-1 n'est pas garantie si les copies sont réalisées sur une même technologie altérable, en ce qu’elle repose sur la diversité effective des mécanismes de sauvegarde. Le candidat doit démontrer l'existence d'au moins 2 supports réellement différents, d'une copie immuable et d'au moins une copie hors site / hors ligne.  Ainsi la présence d'un site de secours ou d'un cloud ne suffit pas si les 3 copies reposent sur des solutions modifiables ou exposées aux mêmes risques. Les candidats doivent démontrer la complémentarité des supports et la robustesse de son schéma face aux cyberattaques. 

Une réplication n'est pas une sauvegarde dans la mesure où elle reproduit immédiatement toute modification ou corruption. Elle ne permet donc de revenir à un état antérieur. 
Le 3-2-1, exige des copies indépendantes du système de production, la possibilité de restaurer un état antérieur, d’être stockée sur un support distinct, d’être immuable et ne pas être automatiquement modifié par les opérations de production.  Aussi, la mise en place d’un système de réplication ne permet pas de répondre aux objectifs du domaine et ne constitue pas une dépense éligible. 

Pour rappel, les candidats doivent définir une trajectoire de mise en œuvre du 3-2-1 mais son opérationnalisation n’est pas attendue dans le cadre de l’objectif D2.O3.C. Ainsi, les candidats ne sont pas tenus de soumettre des preuves relatives à l’immuabilité des copies. 

Il est rappelé que l’immuabilité est obtenue par la concomitance de plusieurs dispositifs. A titre d’exemple, les situations suivantes ne permettent pas de garantir une immuabilité des copies : une procédure organisationnelle sans justification technique, un support en coffre-fort sans verrouillage logiciel ou matériel, une sauvegarde externalisée mais modifiable (pas de WORM / Object Lock). 
L'établissement doit donc s’engager dans une trajectoire associant une contrainte technique en complément de contrainte organisationnelle afin d’empêcher toute altération prématurée. 

Actuellement, il n’existe pas d’API pour la commande automatique de cartes à identifiant national. En régime de fonctionnement nominal, elles seront proposées pour automatiser ces processus.

Le référentiel d'identification électronique s'applique à compter du 1er juin 2022. Chacun des 3 volets du référentiel d'identification électronique peut intégrer des dates d'application de certaines des exigences.

Oui, chaque structure de santé responsable d'au moins un service numérique en santé sujet à des exigences du référentiel d'identification électronique doit établir annuellement cet engagement. Il permet de garantir que la direction de la structure est informée du niveau de conformité atteint vis à vis du référentiel, et qu'elle approuve le plan d'action associé. La production de l'engagement reste obligatoire même si la structure n'utilise que des moyens d'identification électronique mis à disposition par l'ANS (carte CPS, e-CPS).