FAQ de l'offre : Cybersécurité

Comme indiqué dans le cadre du webinaire jalon du 23 mars 2026, la définition de processus "administratif" peut être entendue au sens de processus administratif / support. A ce titre, les activités de restauration, de blanchisserie, d'admission ou encore de transport du patient peuvent tout à fait être considérées.  

Le schéma de gouvernance attendu pour un candidat doit intégrer les dispositions organisationnelles mises en œuvre pour l'ensemble des entités juridiques/géographiques parties au groupement. A ce titre, un candidat peut à son choix : 
-    Proposer un schéma de gouvernance unique, défini au niveau du candidat, et portant les spécificités propres à chacun des établissements partis au groupement ; 
-    Proposer un schéma de gouvernance pour chacune des entités juridiques/géographiques parties au groupement ; 
-    Proposer, un schéma de gouvernance "chapeau" à l'échelle du candidat, lui-même décliné dans des schémas de gouvernance pour chacune des entités juridiques/géographiques parties au groupement. Ce dernier cas constitue une situation cible mais n'est pas exigé dans le cadre de la réponse à l'objectif.  

L’ensemble des SI jugés comme critiques permettant la réalisation des activités traités dans le cadre de l'objectif D2.O1.C (soit une à plusieurs application(s) par périmètre) doivent être adressés dans le cadre de l'objectif D2.O2.B. 

L'objectif D2.O2.A porte sur la définition d'une politique de sauvegarde et de restauration. Conformément au guide des objectifs et prérequis, nous confirmons que le contrat de service doit bien être transmis en sus des PAS. Les documents attendus sont les suivants en cas de SI métier externalisé ou sauvegarde externalisée sur le périmètre propre au candidat : 
1)    L'inventaire complet des applications en mode SaaS, précisant pour chaque application si un PAS a été obtenu  
2)    Contrat de service : Document définissant les niveaux de services attendus, les responsabilités de chaque partie, les délais de récupération des données, notamment.  
3)    Plan d’Assurance Sécurité (PAS) du prestataire pour deux des applications inventoriées (des justificatifs différents étant attendus selon la présence ou non du document). 

Les contrats de service sont obligatoires uniquement dans le cadre de l'objectif D2.O3.C, relatif à une externalisation de l'hébergement.  
Néanmoins et pour les objectifs D2.O2.B, D2.O3.B et D2.O3.D, les Contrats de Niveau de Service (CNS/SLA) ne sont pas explicitement attendus mais peuvent être utilisés comme preuves alternatives lorsque les documents préférentiellement attendus (i.e. calendrier de sauvegarde, extrait de PAS, procédures de gestion des incidents) ne sont pas disponibles.  

Oui, l'inventaire doit porter sur l'ensemble des solutions en mode SaaS sous responsabilité du candidat. Ceci est également applicable pour la suite M365 en considérant l'ensemble des périmètres mis à disposition en mode SaaS.  Seuls les établissements (juridiques et/ou géographiques) du périmètre sanitaire doivent nécessairement être traités dans le cadre du présent domaine. Il n'est donc pas requis de réaliser l'inventaire sur le périmètre des structures médico-sociales.  

Conformément au guide des objectifs et prérequis, il est précisé que dans le cadre d'un SI mutualité et au titre du D2.O2.B : "les candidats multi-établissements, conformément à l’objectif D2.O2.A, doivent intégrer un projet d’harmonisation sur 18 mois post appel à financements, des plans de sauvegarde et de restauration au niveau du candidat" 
Dans ce cadre, le planning prévisionnel attendu au titre du D2.O2.B doit également s'inscrire dans une durée de 18 mois post appel à financement. 

Le Domaine 2 porte sur le périmètre sanitaire. A ce titre, les candidats GHT n’ont aucune obligation d’intégrer les établissements médico-sociaux dans le cadre des travaux conduits en réponse aux différents objectifs bien que cela puisse être recommandée en vue de renforcer la résilience globale du candidat. 

La totalité des établissements sanitaires du GHT doivent être couverts par la gouvernance de contrôle de la réalisation des sauvegardes, et non uniquement les 66% d’activité combinée 

Conformément aux indications de la trame de l’état financier de l'appel à financement (disponible sur le site de l'ANS au lien suivant : https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK ), une dépense est considérée éligible si la commande et la facture ont été émises durant la phase opérationnelle.  
Les prestations externes doivent dont être facturées avant la fin de la phase opérationnelle (i.e. date de soumission du dossier d'atteinte des objectifs, soit au plus tard le 18/11/2026). 

La soumission du dossier d'atteinte des objectifs vaut finalisation de la phase opérationnelle pour le candidat, et ce conformément aux dispositions introduites par l'arrêté du 3 juillet 2025. 
Néanmoins, et comme dans le cadre du domaine n°1, les équipes de conformité de l'ANS réaliseront une analyse des pièces fournies et pourront le cas échéant soumettre des demandes de compléments aux candidats. Ces derniers auront alors l'opportunité de faire évoluer leur dossier au regard des demandes formulées.  
Il est rappelé que les derniers paiements (sous réserve de la finalisation préalable des opérations de conformité) auront lieu le 19/06/2027.