FAQ de l'offre : Cybersécurité

La téléphonie ne constitue pas un périmètre priorisé dans le cadre du domaine n°2. Néanmoins, si le bilan d'impact sur les activités (BIA) l'identifie comme un système critique, alors il est attendu que la téléphonie soit couverte par la réalisation de PCA/PRA. 
Cela s’applique pour d’autres périmètres : si un service est jugé comme critique dans le contexte d’un candidat, il peut être considéré comme un service critique d’un périmètre. 
Les contrôles de conformité n'auront pas vocation à challenger les périmètres choisis par l'établissement, sauf si ce qui est présenté posait vraiment question et apparaissait en incohérence avec l'esprit du programme. 

Oui, le SAMU / SMUR peut être considéré comme un service de soin dans le cadre de la réponse à l’objectif D2.O1.C. Toutefois, le dépôt de sang n'est pas considéré directement comme un plateau technique (voir liste exhaustive en réponse à la question 4.13), les activités de la chaîne transfusionnelle s’appuient sur le laboratoire de biologie médicale et peuvent à ce titre, être considérées dans le cadre de la réalisation d'un BIA / PCRA sur le périmètre d'un plateau technique. 

Comme indiqué dans le cadre du webinaire jalon du 23 mars 2026, la définition de processus "administratif" peut être entendue au sens de processus administratif / support. A ce titre, les activités de restauration, de blanchisserie, d'admission ou encore de transport du patient peuvent tout à fait être considérées.  

Le schéma de gouvernance attendu pour un candidat doit intégrer les dispositions organisationnelles mises en œuvre pour l'ensemble des entités juridiques/géographiques parties au groupement. A ce titre, un candidat peut à son choix : 
-    Proposer un schéma de gouvernance unique, défini au niveau du candidat, et portant les spécificités propres à chacun des établissements partis au groupement ; 
-    Proposer un schéma de gouvernance pour chacune des entités juridiques/géographiques parties au groupement ; 
-    Proposer, un schéma de gouvernance "chapeau" à l'échelle du candidat, lui-même décliné dans des schémas de gouvernance pour chacune des entités juridiques/géographiques parties au groupement. Ce dernier cas constitue une situation cible mais n'est pas exigé dans le cadre de la réponse à l'objectif.  

L’ensemble des SI jugés comme critiques permettant la réalisation des activités traités dans le cadre de l'objectif D2.O1.C (soit une à plusieurs application(s) par périmètre) doivent être adressés dans le cadre de l'objectif D2.O2.B. 

L'objectif D2.O2.A porte sur la définition d'une politique de sauvegarde et de restauration. Conformément au guide des objectifs et prérequis, nous confirmons que le contrat de service doit bien être transmis en sus des PAS. Les documents attendus sont les suivants en cas de SI métier externalisé ou sauvegarde externalisée sur le périmètre propre au candidat : 
1)    L'inventaire complet des applications en mode SaaS, précisant pour chaque application si un PAS a été obtenu  
2)    Contrat de service : Document définissant les niveaux de services attendus, les responsabilités de chaque partie, les délais de récupération des données, notamment.  
3)    Plan d’Assurance Sécurité (PAS) du prestataire pour deux des applications inventoriées (des justificatifs différents étant attendus selon la présence ou non du document). 

Les contrats de service sont obligatoires uniquement dans le cadre de l'objectif D2.O3.C, relatif à une externalisation de l'hébergement.  
Néanmoins et pour les objectifs D2.O2.B, D2.O3.B et D2.O3.D, les Contrats de Niveau de Service (CNS/SLA) ne sont pas explicitement attendus mais peuvent être utilisés comme preuves alternatives lorsque les documents préférentiellement attendus (i.e. calendrier de sauvegarde, extrait de PAS, procédures de gestion des incidents) ne sont pas disponibles.  

Oui, l'inventaire doit porter sur l'ensemble des solutions en mode SaaS sous responsabilité du candidat. Ceci est également applicable pour la suite M365 en considérant l'ensemble des périmètres mis à disposition en mode SaaS.  Seuls les établissements (juridiques et/ou géographiques) du périmètre sanitaire doivent nécessairement être traités dans le cadre du présent domaine. Il n'est donc pas requis de réaliser l'inventaire sur le périmètre des structures médico-sociales.  

Conformément au guide des objectifs et prérequis, il est précisé que dans le cadre d'un SI mutualité et au titre du D2.O2.B : "les candidats multi-établissements, conformément à l’objectif D2.O2.A, doivent intégrer un projet d’harmonisation sur 18 mois post appel à financements, des plans de sauvegarde et de restauration au niveau du candidat" 
Dans ce cadre, le planning prévisionnel attendu au titre du D2.O2.B doit également s'inscrire dans une durée de 18 mois post appel à financement. 

Le Domaine 2 porte sur le périmètre sanitaire. A ce titre, les candidats GHT n’ont aucune obligation d’intégrer les établissements médico-sociaux dans le cadre des travaux conduits en réponse aux différents objectifs bien que cela puisse être recommandée en vue de renforcer la résilience globale du candidat. 

La totalité des établissements sanitaires du GHT doivent être couverts par la gouvernance de contrôle de la réalisation des sauvegardes, et non uniquement les 66% d’activité combinée