Non, dans la mesure où son infrastructure n'est pas opérée par l'établissement. En revanche, si un point d'accès existe entre l'application et le SIH (VPN, API...), celui-ci fait partie du périmètre.

De manière générale, il n'est pas possible d'exclure simplement des sites "vitrines" ou qui n’auraient "aucun lien avec le SI" du périmètre, car les situations sont très diverses. Chaque vulnérabilité doit être analysée, et si le risque résiduel est faible, cela doit être mentionné dans le rapport d'audit. ​

La notion de site "sans lien avec le SI" est discutable. Par exemple, un site institutionnel sans lien technique avec le SI hospitalier, mais qui publie des ressources statiques, peut présenter des risques. S'il renvoie vers des plateformes externes de paiement ou un portail patient, sa compromission pourrait permettre des détournements de paiements ou la récupération de credentials. Ces risques ne doivent pas être ignorés et doivent être inclus dans le périmètre, bien qu'ils puissent être mitigés lors de l'audit.​

Concernant les hébergeurs, ils proposent tous, et notamment OVH, des offres qui vont de l’hébergement grand public (qui expose souvent du FTP effectivement) à de l’hébergement professionnel dédié, et pour certains avec des options HDS, avec toute une gamme intermédiaire. Évidemment les coûts sont croissants, et doivent être en rapport avec la finalité du site.

La migration d'un AD au cours de la phase opérationnelle n'aura pas d'impact. Le nouvel AD devra cependant être fonctionnel au moment de la déclaration de l'atteinte des objectifs et respecter la cible de l'objectif D1.O2.B (2 audits ADS successifs avec un score supérieur ou égal à 2).​

Dans le cas d’une migration vers Azure AD, 2 cas de figure sont possibles : ​

- Configuration hybride cloud/local : la recopie locale doit être auditée via le service ADS de l'ANSSI.​

- Configuration 100% cloud : Pour les établissements qui utilisent Azure AD / Microsoft Entra ID (AD dans le cloud), l’outil ORADAD ne fonctionne pas avec ce type d’architecture. Un outil spécifique appelé ORADAZ, adapté à ce type d’architecture, est en cours de développement par l‘ANSSI. En revanche, sa mise en production pour la phase opérationnelle du Domaine "Annuaires techniques et exposition sur internet" ne peut pas être garantie. Dans ce cas, il est nécessaire que les ES concernés se fassent connaître auprès de la direction de programme pour identifier les modalités d'accompagnement à mettre en place.

La sécurisation des annuaires techniques reste un des pivots de ce premier appel à financement. Avant de pouvoir répondre à cette question, les ES doivent préciser leur situation auprès des ARS et fournir notamment les éléments suivants : architecture (nombre de postes, d'utilisateurs), infrastructure générale de l'établissement (réseau, datacenter...), et actions de remédiation prévues pour le domaine.

Les ES sont également invités à prendre contact avec le support ANS du programme pour présenter leur situation et l'infrastructure mise en place (https://esante.gouv.fr/contact).

Les liens entre le PCRA et le guide plan blanc numérique sont explicités dans le webinaire du 15 mars 2025 dédié au PCRA  : https://www.youtube.com/watch?v=JKqmBuy0AZk.

Dans le cas où un établissement de santé (ES) perdrait ses accès à un conteneur ZED, nous distinguons deux scénarios : ​​

• Si l'ES a encore accès à l'autre conteneur mis à sa disposition dans le cadre de la déclaration d'atteinte des objectifs, il peut télécharger à nouveau une version vide de ce conteneur en cliquant sur le bouton "Télécharger un conteneur" de l'objectif correspondant. Il aura ainsi un deuxième conteneur ZED vide dont il connait les accès et qu'il pourra renommer et ouvrir en utilisant les identifiants connus. Une fois les preuves déposées dans ce conteneur, l'ES peut le charger dans tous les espaces de dépôt acceptant des fichiers ZED (objectifs D1.O1 et D1.O2).​​
• Si l'ES a perdu les accès aux deux conteneurs ZED mis à sa disposition, nous pouvons lui assigner un nouveau conteneur ZED suite à l'envoi d'une demande au support Convergence (ans-support-convergence@esante.gouv.fr). L'ES pourra alors télécharger le nouveau conteneur depuis son formulaire de déclaration, en notant les identifiants qui lui seront communiqués pour ouvrir le conteneur ZED.​​

A noter que les administrateurs de la plateforme Convergence n'ont pas accès aux identifiants et mots de passe des conteneurs ZED mis à disposition des établissements.​

Nous vous invitons à contacter votre ARS et l'ATIH ainsi qu'à nous faire part de cette information via notre support : https://esante.gouv.fr/contact dans le cas où vous votre demande n'aboutirait pas.

Dans ce cas, notamment si le professionnel n'a pas traité les courriels lui rappelant l'arrivée à échéance de sa eCPS, il faut supprimer sa e-CPS et la ré-activer.

Pour ce faire, veuillez cliquer sur "Supprimer ma e-CPS" sous la partie "Compte" dans les paramètres de l'application.

L'ANS va réaliser des opérations de contrôle, tant techniques que financiers, afin de vérifier la bonne atteinte des objectifs par les établissements. Ces opérations se dérouleront par une étude des pièces transmises par l'établissement en amont, complétée, si nécessaire, par des entretiens avec l'établissement.

Les étapes sont les suivantes :

-Un premier niveau de vérification sera réalisé par les ARS pour vérifier la complétude du dossier.

- Un second niveau de vérification sera effectué par l’ANS pour contrôler l’atteinte des objectifs. Les webinaires des 16 juillet et 9 septembre détaillent le contenu de ces contrôles. Vous pouvez les consulter sur la chaîne de l'ANS : https://www.youtube.com/watch?v=24cP73AaOFE et https://www.youtube.com/watch?v=FX6ItQPhstY

Les appels à financements n'ont pas pour ambition de ralentir les initiatives des établissements qui ont le souci de renforcer au quotidien leur sécurité opérationnelle.

Nous ne préconisons pas aux établissements d'attendre que les arrêtés soient publiés pour oeuvrer au quotidien dans leur mission.

Nous invitons toutefois les établissements à partager leurs expériences dans le cadre des ateliers de co-construction (en lien avec leurs fédérations ou leurs ARS) afin que nous puissions définir des objectifs qui permettent de valoriser des travaux à engager. 

Oui, l'application e-CPS peut tout à fait fonctionner sans carte SIM, à condition d'avoir une connexion à internet.

Il n'y a pas de notion de durée de validité de la clé FIDO2 en revanche l'appairage de la clé de sécurité FIDO2 à l'identité nationale ProSanté Connect aura une durée limitée (le professionnel devra procéder au ré-appairage de sa clé de sécurité tous les x mois).

Les utilisateurs / structures peuvent acheter ces clés FIDO2 en se référant à une liste de modèles autorisés par l’ANS.

La liste des modèles autorisés est en cours d’élaboration.

En activant une clé de sécurité FIDO2 via une eCPS, il est ainsi possible d'obtenir un moyen d'identification électronique (MIE) "Physique" compatible avec Pro Santé Connect (PSC) et donc de répondre à la problématique des populations non éligibles à la carte physique.
Les professionnels détenteurs d'une CPE peuvent actuellement activer une eCPx mais cela reste un MIE adossé à une identité locale.

Il faut une CPS ou eCPS pour appairer la clé de sécurité FIDO2 à l'identité nationale ProSanté Connect (PSC). L’authentification FIDO2 permet de s’affranchir du lecteur de carte et/ou du réseau mobile pour l'usage de la eCPS sur smartphone.