FAQ de l'offre : Ségur du numérique en santé

L’utilisation d’un composant tiers déjà homologué par le CNDA ne dispense pas systématiquement de réaliser une demande dans le cadre de la mise en conformité de votre solution logicielle. Dans la majorité des cas, une démarche reste nécessaire, cela dépend du type de composant tiers et de son mode d’intégration.

Afin de clarifier les règles applicables, plusieurs situations doivent être distinguées :

Premier cas de figure : le composant principal de la solution logicielle PS utilise un composant additionnel non autonome

Un composant additionnel non autonome est appelé au CNDA "application EAI" dans le cas du DMP ou "moteur à IHM" masquée dans le cas de l'INSi.

Dans ce cas :

• Chaque application EAI ou chaque moteur à IHM masquée doit passer une homologation au CNDA.
• Chaque composant principal d'une solution logicielle qui intègre une application EAI / moteur à IHM masquée doit passer une homologation au CNDA.

A noter que l'homologation est complète mais plus rapide car les applications EAI/moteur à IHM masquée ont déjà validé une partie des tests à repasser.

Deuxième cas de figure : le composant principal de la solution logicielle PS utilise un composant additionnel autonome

Un composant additionnel autonome est une application (tierce) à part entière avec des IHM autonomes et visibles. Au CNDA, il s'agit d'une application autonome. Le composant principal d'une solution logicielle PS s'interface avec l'application autonome (tierce) via un appel contextuel. L'opérateur de la solution logicielle PS peut opérer une instance dédiée de la solution autonome (tierce) ou peut utiliser une instance mutualisée opérée par l'éditeur de la solution autonome tierce.

Dans ce cas :

• Chacune de ces applications autonomes tierces doit passer une homologation au CNDA.
• Dans le cas du composant principal de la solution logicielle PS :
  • Si l'opérateur du composant principal de la solution logicielle PS opère aussi une instance dédiée de l'application autonome (tierce) alors le composant principal de la solution logicielle PS doit passer une homologation d'interfaçage avec l'application autonome (tierce) dans le cadre de la conformité DMP.
  • Pour l’INSi et l’Ordonnance Numérique les éditeurs intégrant des composants tierces (moteur coté CNDA) doivent déposer une demande de conformité en mode apparent.
    • Dans le cas où le logiciel intègre un composant déjà autorisé « INSi » et/ou « Ordonnance Numérique » en mode IHM apparente, l’éditeur n’a pas à constituer de dossier de preuves de tests, il peut passer directement à l’étape d’examen de conformité indiquée à l’Article 5.3 : Etape d’examen.
      Dans le cas où le logiciel intègre un composant déjà autorisé « INSi » en mode IHM masquée (ou semi masquée), l’éditeur doit réaliser toute la procédure les phases de la procédure de conformité.

Cette phase a pour finalité d'échanger sur le rapport du test d'intrusion, notamment si des manquements aux règles de sécurité sont détectées. L'auditeur devra communiquer les résultats du test d'intrusion à l'éditeur en clarifiant les points suivants :

• Les détails techniques des vulnérabilités identifiées ;
• L'impact potentiel des non-conformités aux règles de sécurité et le niveau de risque associé ;
• Les solutions concrètes permettant de corriger les potentielles failles ;
• La définition des prochaines étapes (définition d’une date permettant d’évaluer de nouveau les vulnérabilités recensées).

La phase de test implique la réalisation de tests en boîte grise, où l'auditeur dispose d'informations préalables, ainsi que la réalisation de compléments en boîte noire, où l'auditeur agit sans informations préalables dans le but de repérer les failles et d'obtenir une évaluation exhaustive de la sécurité de l'application. Cette phase dure en moyenne 3 à 4 jours.

La clause de revoyure permet d'avoir un engagement de la part de l'auditeur pour tester de nouveau les exigences non validées lors du test d'intrusion et d'effectuer un contre-audit afin de vérifier si les mesures de sécurité nécessaires ont été mises en œuvre.

La phase de rapport consiste à la fourniture par l'auditeur du rapport du test d’intrusion en remplissant et en signant électroniquement le formulaire correspondant. Ce document regroupe l’ensemble des résultats du test d’intrusion ainsi que le référencement de l’application.  

Non. L'équivalence des preuves ne s'applique qu'entre solutions logicielles référencées en Vague 2.

Entre la vague 1 et la vague 2 il s'agit d'héritage du référencement, qui ne peut être utilisé que dans le même type de dispositif :​

• Un DPI Va1 vers une candidature DPI Va2​
• Un RIS Va1 vers une candidature RIS Va2​
• Un LGC Va1 vers une candidature LGC Va2​
• Un MS DUI Va1 (MS1 PA/PHDOM, MS2 PDE ou MS2 PDS) vers une candidature MS DUI Va2​
• Un LGO Va1 vers une candidature LGO Va2​

Oui. Même si le logiciel « technique » est unique, chaque nom commercial correspond à un NIL distinct, et nécessite donc une demande de conformité CNDA propre.

Pour bénéficier de l’équivalence des preuves, vous devrez obtenir le premier référencement. Dans le formulaire d’éligibilité de la candidature de la solution B, vous pouvez indiquer que vous comptez bénéficier de l’équivalence des preuves de la solution A en cours de référencement. 

A  l'obtention du référencement de la solution A, vous pourrez, dans votre candidature B, demander à rouvrir votre formulaire d’éligibilité pour indiquer le NRU de la solution A, et déposer l’attestation sur l’honneur indiquant que le composant principal de votre solution B est identique à celui de la solution A. Les preuves communes aux deux dispositifs ne vous seront pas demandées au niveau de l’espace de dépôt des preuves.

Point d'attention : le NRU de la solution A doit impérativement être complété dans la candidature B avant la Date 2 du deuxième dispositif. A défaut le dossier B sera considéré comme incomplet à cette date et sera rejeté.

Si votre Solution a été référencée en vague 1, en renseignant le numéro de référencement vague 1 dans la candidature vague 2 les preuves déjà validées en vague 1 et reprises dans le REM vague 2 sont automatiquement retirées du périmètre de dépôt. Elles sont invisibilisées dans Convergence.

Point d'attention : si la candidature Vague 2 porte sur des profils différents de la Vague 1, alors les preuves du périmètre Vague 1 sont demandées pour ces profils.​

Les listes d’équivalence seront publiés en même temps que les textes réglementaires notamment les Référentiels d'Exigences Minimales (REM). Une fois les textes publiés, ces documents sont disponibles sur le Portail de la esanté des Entreprises du Numérique en Santé dans la rubrique "Documentation" volet "La procédure de Référencement" des différents couloirs / dispositifs.