Domaine Annuaires techniques et exposition sur internet

Le premier appel à financement du programme CaRE pour les établissements de santé vise le renforcement de leur niveau de sécurité en maitrisant leur exposition sur Internet et en consolidant la maitrise des annuaires techniques. Les cyberattaques récentes montrent que l’exposition Internet est l’un des vecteurs principaux de pénétration par les attaquants dans le système d’information des établissements de santé.

L’Active Directory (annuaire technique) est ensuite le principal moyen de propagation, par lequel les attaquants obtiennent des privilèges élevés, leur permettant d’infliger plus de dégâts.

Le premier appel à financement vise à :

• atteindre un premier niveau de remédiation de l'exposition sur Internet ;
• atteindre un premier niveau de remédiation de la configuration des annuaires techniques (AD) ;
• se préparer au risque d’une cyberattaque ;
• s’auto-évaluer sur sa maturité vis-à-vis des risques cyber ;
• prévoir une trajectoire de convergence des annuaires techniques au niveau du GHT (pour les ES publics).

Pour en savoir plus sur l'arrêté du financement du domaine Annuaires techniques et exposition sur internet. Vous pouvez également consulter les ressources documentaires du domaine en cliquant sur le bouton ci-dessous.

Le guichet de déclaration d’atteinte des objectifs du premier appel à financement du plan CaRE a fermé le 30 juin 2025.

À la clôture du guichet, plus de 1 000 candidats ont déclaré avoir atteint les objectifs fixés, soit près de 90 % des candidatures validées.

La phase d’instruction des dossiers est désormais en cours, menée séquentiellement par les ARS et l’ANS. Elle s’achèvera : 

• le 30 septembre 2025 pour les ARS, 

• et le 31 décembre 2025 pour l’ANS. 

Programme CaRE - Atteinte des objectifs Domaine 1 Questions fréquentes et points d'attention

Domaine Stratégie de continuité et de reprise d’activité

L’objectif du domaine Stratégie de continuité et de Reprise d’activité est de permettre aux établissements sanitaires et médico-sociaux, en cas d’incident, de reconstituer rapidement les services critiques et d’assurer la continuité et la reprise de leur activité.

Lors d’une attaque de type rançongiciel (une des principales menaces), les attaquants cherchent à chiffrer les données des ES, mais aussi les sauvegardes, rendant la reprise d’activité particulièrement complexe, avec des pertes de données massives et critiques. Un effort particulier doit être porté sur la capacité des établissements à se préparer, s’organiser et à réagir dans le cadre d’une cyberattaque, notamment dans la mise en place de sauvegardes non contaminables et restaurables pour toutes les applications critiques.​

Lancement du domaine

L’arrêté publié le 16 juillet 2025 lance le nouvel appel à financement du programme CaRE. 

Les principaux jalons de cet appel à financement sont détaillés dans les annexes de l’arrêté. 

Pour en savoir plus sur l'arrêté du financement du domaine Stratégie de continuité et de reprise d'activité, vous pouvez également consulter les ressources documentaires du domaine en cliquant sur le bouton ci-dessous.

Conformément à l’arrêté du 3 juillet 2025, publié au Journal Officiel le 16 juillet 2025, le guichet de dépôt des candidatures sera ouvert du 2 septembre au 31 octobre 2025.

Pour déposer votre candidature dans le domaine concerné, vous pourrez utiliser la plateforme « Convergence – eCaRE ».

Le lien vers cette plateforme sera mis à disposition sur ce site très prochainement.

 Programme CaRE - Présentation du Domaine 2 : Stratégie de continuité et de reprise d'activité

Domaine Sécurisation des accès distants

L'objectif du domaine 3 est de sécuriser l'ensemble des accès distants, couvrant à la fois les fournisseurs et les accès du personnel des établissements.
Le grand nombre de fournisseurs nécessitant des connexions avec les solutions déployées dans les établissements de santé crée un risque accru d'intrusions par des attaquants exploitant ces "portes ouvertes". Il est donc nécessaire de sécuriser les accès distants, non seulement pour la télémaintenance, mais aussi pour le personnel des établissements de santé.

L'ouverture du domaine se fera courant d'année 2025

L'ouverture du domaine se fera courant d'année 2026

Domaine HospiConnect

Le domaine HospiConnect, inscrit dans l’axe 4 du programme CaRE, porte sur l’accompagnement technique et financier des établissements pour déployer auprès des professionnels qui y exercent les moyens d’identification électroniques (MIE) les mieux adaptés.

Il vise à simplifier et sécuriser l’accès des professionnels aux services numériques sensibles des établissements et aux services socles nationaux du numérique en santé (par exemple le DMP), sur la base :

• D’une identité sectorielle nationale unique;
• De l’utilisation de moyens d’identification électronique (MIE) à double-facteur d’authentification (2FA) associé à cette identité, en particulier les dispositifs proposés par la fédération ProSanté Connect ;
• De la mise en œuvre de solutions d’Identity & Access management (IAM) pour améliorer la gestion des habilitations et de briques de Single Sign On (SSO) pour simplifier l’authentification des professionnels.

Plusieurs appels à projets sont prévus dès mars 2024, avec des financements dédiés à destination des structures candidates :

• Phase 1 – ALPHA : Appel à projet d’expérimentation destiné à un nombre limité de structures (15) ;
• Phase 2 - BETA : AAP destiné à un nombre étendu de structures ;
• Phase 3 - GÉNÉRALISATION : dispositif destiné à toutes les structures.

Programme CaRE - HospiConnect - Présentation de l'appel à projet alpha

Présentation du premier appel à projet lié au domaine HospiConnect :

• Rappel des enjeux d'HospiConnect ;
• Présentation détaillée du contenu de l'appel à projet ;
• Modalité et calendrier pour candidater.