Non, le PAS du prestataire n’a pas à reprendre l’intégralité des éléments d’une politique interne de sauvegarde.

En revanche, il est indispensable de vérifier que le PAS couvre bien les exigences attendues (disponibilité, intégrité, sécurité, modalités de restauration) et qu’il répond aux besoins définis par l’établissement.
 

Le test PCA est un exercice terrain qui « simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques » afin de tester la mise en œuvre des solutions de continuité d’activité à l’échelle des services.
C’est donc bien une simulation d’arrêt (d’un service, d’une ressource ou d’un périmètre défini), réalisée de manière contrôlée, pour vérifier l’efficacité du PCA et recueillir un retour d’expérience.
Il est rappelé que les PCA attendus au titre de l'objectif D2.O2.C portent sur le scénario d’indisponibilité numérique et un second scénario d’indisponibilité au choix de l'établissement.

L'exercice peut être réalisé sur tout domaine (au-delà des deux abordés dans l'objectif D2.O1.B), mais la transmission du PCA utilisé et du cas de test est requise.
 

Le test de continuité d'activité doit avoir été réalisé durant la phase opérationnelle du domaine, c'est à dire entre la date de publication de l'arrêté et la date de clôture du guichet de preuve.

De la même manière, les dépenses éligibles doivent être associées à des engagements et factures obtenus durant la phase opérationnelle.
 

Certains lauréats de l'appel à projet HospiConnect Alpha ont demandé aux agences proposant des personnels intérimaires avec lesquels ils travaillent de demander que ces professionnels s'enregistrent au RPPS et aient un MIE compatibles (CPS ou e-CPS) avant leur arrivée dans le centre.
De manière générale, ainsi que pour les intérimaires, il peut être utile d'avoir un stock tampon de MIE locaux que la structure peut paramétrer localement pour être flexible hors du RPPS (cela peut d'ailleurs permettre de gérer les arrivées dans les heures non ouvrées grâce à une permanence du poste de sécurité de l'établissement par exemple).

• Le Parcours Éditeur est destiné au fournisseur du logiciel. Il est limité au bac à sable (BAS) pour développer, tester et constituer le dossier d’homologation (Espace de Confiance Pro Santé Connect).
  La solution pourra être déployée en production via le parcours opérateur.
• Le Parcours Opérateur est destiné à l’établissement ou au prestataire exploitant une solution déjà homologuée. Il permet :
  • de s’appuyer sur l'habilitation EDC PSC de l’éditeur ;
  • de demander directement l’accès à la production ;
  • de ne pas repasser par le Bac à Sable.

Pour remplir le test d'intrusion, l'auditeur doit :

1. S'assurer que la première page du formulaire comporte le nom ainsi qu'une description succincte de l'application ;
2. Remplir l'onglet "Base Commune" et l'onglet correspondant au type d'application indiqué dans le champ "Type d'application" ;
3. Compléter l'ensemble des règles de sécurité ;
4. Si une règle de sécurité est notée comme "N/A" ou "NON", ajouter une justification dans la section des commentaires (attention Il est également important d'évaluer les risques de ce résultat, par exemple la présence de l'id de corrélation dans l'URL lors d'un authorization code flow sur PSC via le proxy).;
5. Générer un fichier PDF à partir de la macro du test d'intrusion ou manuellement à partir du descriptif ;
6. Signer électroniquement le formulaire de test d'intrusion.

L’exigence DMP UX 27 stipule que le système doit proposer au professionnel de santé une fonction de recherche et/ou de filtrage basée sur les métadonnées XDS des documents issus du DMP.

Afin d'éclairer la mise en œuvre de cette exigence, voici des précisions à titre indicatif et illustratif sur le niveau d'exigence réglementaire et les recommandations UX destinées à optimiser l'usage au quotidien par le professionnel de santé.

1. Cadre réglementaire et portée de l'exigence
   • Sur le plan réglementaire : Le texte de l'exigence SC.DMP/UX.27 n'impose pas de liste exhaustive de métadonnées obligatoires à filtrer, ni de modalités techniques strictes d'implémentation du filtrage (par exemple, type d'interface ou combinaison exacte de filtres).
   • Conséquence pour la conformité : Les éléments présentés ci-dessous ne constituent pas des exigences strictes de vérification, mais des recommandations d'ergonomie et de bonnes pratiques.
2. Recommandations fonctionnelles (À titre indicatif et d'amélioration UX)
   Pour offrir une valeur ajoutée maximale aux professionnels de santé et leur permettre de retrouver rapidement les informations pertinentes au sein du DMP du patient, il est fortement recommandé de proposer :
   • Des fonctionnalités combinées :
     • Un module de filtrage ciblé par critère.
     • Une possibilité de tri (ex. tri chronologique inverse par défaut).
     • Une recherche par mot-clé au sein des métadonnées affichées.
3. Exemples de critères et métadonnées recommandés pour le filtrage / tri
   Afin d'optimiser la lisibilité de la liste des documents, il est pertinent d'offrir des capacités de recherche ou de filtre sur les champs de métadonnées suivants :
   • La date du document / de l'acte :
     • Filtrage par période (ex. derniers 6 mois, année en cours) ou intervalle de dates.
   • La nature du document médical :
     • Par intitulé du type-code : Compte-rendu d'imagerie, Compte-rendu de Biologie, Lettre de liaison, Prescription de produits de santé, Synthèse Médical etc.
     • Par titre précis : Échographie abdominale, Consultation de cardiologie, etc.
   • L'auteur du document :
     • Par nom de l'auteur : Recherche textuelle ou sélection de l'émetteur.
     • Par profession / spécialité : Filtrage par Médecin généraliste, Radiologue, Pharmacien, Orthophoniste etc.
     • Par établissement / structure : Filtrage par centre hospitalier, cabinet, laboratoire, etc.
   • Le niveau de confidentialité :
     • Le filtrage sur l’invisibilité des documents fait l’objet d’une vérification obligatoire de cette exigence.

Conclusion

Bien que la liberté d'implémentation soit laissée à l'éditeur quant aux métadonnées XDS choisies pour le filtrage, l'intégration de ces critères clés (Date, Type/Titre, Auteur/Profession/Établissement) constitue un levier majeur d'ergonomie et d'efficacité pour le gain de temps médical.
 

Les travaux d'extension du dispositif ROC ont commencé pour les établissements ayant une activité PSY et SSR, avec comme objectif une extension rapide dans le contexte des établissements ex-DG.

Le dispositif ROC concerne exclusivement les établissements de santé, quel que soit le statut (public, privé à but non lucratif et privé à but lucratif).

Néanmoins les téléservices AMC proposés dans le cadre de la médecine de ville sont proches des téléservices proposés dans le cadre du dispositif ROC.

L'activité d’hospitalisation à domicile (HAD) est incluse dans la première phase de déploiement du dispositif ROC auprès des établissements ex-DG (EPS et EBNL) ayant une activité hospitalière médecine – chirurgie – obstétrique – odontologie (MCOO).

Le dispositif ROC couvre l’ensemble des prestations des établissements : les actes et consultations externes (ACE) et les séjours. Les principes généraux de fonctionnement de ROC (usage de téléservices temps réel en amont de la facturation dématérialisée permettant de sécuriser celle-ci) sont les mêmes pour l'activité externe et les séjours.

Après une première phase de déploiement avec ROC V1 dans les établissements publics MCO, le dispositif étend son périmètre aux secteurs PSY, HAD et SMR, avec une expérimentation sur les établissements du secteur privé (ex-OQN) qui est en cours d'organisation (ROC V2).

La reprise du rôle d'opérateur national du déploiement et de la supervision (ONDS) par l'ANS s'effectue progressivement suite à une première phase de réversibilité qui a été conduite entre juin et décembre 2024 avec le précédent opérateur national du déploiement.

Le dispositif ROC concerne tous les établissements de santé, quel que soit le statut (public, privé à but non lucratif et privé à but lucratif).

Les cartes CPS sont gérées par les professionnels eux-mêmes via le Portail maCarte dédié à la gestion de la carte.

En cas de sortie de l'établissement par le professionnel, il repart avec sa carte. En attendant la télémise à jour des cartes, si le professionnel ou l'autorité d'enregistrement met une date de fin à une activité ou déclare une nouvelle activité, une nouvelle carte lui sera envoyée. Avec la télémise à jour, il suffira au professionnel de faire la mise à jour sur sa carte une fois la déclaration faite au RPPS.

En cas de perte, il peut en recommander une auprès de l'ANS.

Les preuves demandées sont majoritairement de la documentation spécifique à chaque exigence, une attestation sur l'honneur, ainsi que le formulaire du test d'intrusion en particulier pour l'exigence SC.SSI/GEN.18. Elles permettent de vérifier que les processus en question sont bien mis en œuvre et conformes à une démarche SSI.