Non, le PAS du prestataire n’a pas à reprendre l’intégralité des éléments d’une politique interne de sauvegarde.

En revanche, il est indispensable de vérifier que le PAS couvre bien les exigences attendues (disponibilité, intégrité, sécurité, modalités de restauration) et qu’il répond aux besoins définis par l’établissement.
 

Le test PCA est un exercice terrain qui « simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques » afin de tester la mise en œuvre des solutions de continuité d’activité à l’échelle des services.
C’est donc bien une simulation d’arrêt (d’un service, d’une ressource ou d’un périmètre défini), réalisée de manière contrôlée, pour vérifier l’efficacité du PCA et recueillir un retour d’expérience.
Il est rappelé que les PCA attendus au titre de l'objectif D2.O2.C portent sur le scénario d’indisponibilité numérique et un second scénario d’indisponibilité au choix de l'établissement.

L'exercice peut être réalisé sur tout domaine (au-delà des deux abordés dans l'objectif D2.O1.B), mais la transmission du PCA utilisé et du cas de test est requise.
 

Le test de continuité d'activité doit avoir été réalisé durant la phase opérationnelle du domaine, c'est à dire entre la date de publication de l'arrêté et la date de clôture du guichet de preuve.

De la même manière, les dépenses éligibles doivent être associées à des engagements et factures obtenus durant la phase opérationnelle.
 

Certains lauréats de l'appel à projet HospiConnect Alpha ont demandé aux agences proposant des personnels intérimaires avec lesquels ils travaillent de demander que ces professionnels s'enregistrent au RPPS et aient un MIE compatibles (CPS ou e-CPS) avant leur arrivée dans le centre.
De manière générale, ainsi que pour les intérimaires, il peut être utile d'avoir un stock tampon de MIE locaux que la structure peut paramétrer localement pour être flexible hors du RPPS (cela peut d'ailleurs permettre de gérer les arrivées dans les heures non ouvrées grâce à une permanence du poste de sécurité de l'établissement par exemple).

Non, l’atteinte de l’objectif repose sur la mise en œuvre d’un système d’authentification sécurisé et indépendant pour l’accès aux infrastructures de sauvegarde. Le candidat est libre du choix de la solution mise en œuvre pour atteindre cet objectif, qui peut reposer sur un active directory dédié comme sur des comptes locaux.
Dans le cas où un active directory dédié est mis en œuvre, un niveau supérieur ou égale à 3 doit être obtenu à l’audit ADS réalisé en fin de phase opérationnelle.
 

D2.03.C : Dans le cadre de la mise en œuvre du 3-2-1, il est en effet demandé d’avoir 3 copies sur 2 supports différents dont 1 support hors ligne / hors site. 

Non, les données du serveur de production ne peuvent pas être considérées comme une copie. La stratégie « 3-2-1 » implique la réalisation de 3 copies de sauvegarde, sur 2 supports différents, dont 1 nécessairement hors-ligne.

L’ANSSI rappelle dans son document « Sauvegarde des SI » qu’il est « essentiel de pouvoir disposer de trois copies des données sauvegardées : la sauvegarde initiale et deux copies supplémentaires. Cette redondance réduit le risque de perte de données en cas de défaillance d’un ou plusieurs supports ».

Aussi, le serveur de production ne peut pas être considéré comme une copie.
 

L’arrêté du 18 mars 2024 prévoyait la réalisation d’un exercice de crise en 2023 ou 2024 par tous les établissements du candidat (au sens FINESS PMSI). Désormais, pour valider l’"objectif D1.O3 – Se préparer au risque cyber de l’appel à financement", cet exercice de crise cyber doit être réalisé entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié (nouvelle date limite de dépôt au 30 juin 2025).

Pour que cet exercice rentre dans le périmètre des dépenses éligibles, il doit être réalisé entre le 22 mars 2024 et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement de santé a réalisé 2 ou 3 exercices, il choisit celui qu'il veut déclarer. La part de l'exercice financée par l'ARS ne peut pas faire l'objet d'un financement du Domaine (double financement).

L’exercice doit avoir été réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) : au niveau des EJ pour les établissements publics et au niveau des Entité Géographiques (EG) pour les établissements privés lucratifs et non lucratifs. Il est toutefois possible qu’un exercice réalisé au niveau d'un GHT impliquant plusieurs EJ puisse valider cet objectif, à condition que les directions des EJ concernées aient été impliquées dans cet exercice et que le SI de ces EJ soit unique. Le même principe s’applique pour la réalisation d’un exercice au niveau d’un EJ : les directions des EG concernées doivent avoir été impliquées dans cet exercice et le SI de ces EG doit être unique.

Il est attendu une première réalisation concrète au bout de 18 mois après le dépôt d’atteinte des objectifs avec des premières actions de convergence mises en œuvre.

Quelques exemples de 1ères réalisations concrètes (jalon à 18 mois après le dépôt d’atteinte des objectifs) : mise en place d'une infrastructure commune pour deux domaines AD, migration de certains services ou utilisateurs vers une nouvelle infrastructure AD commune, création d'une stratégie de gestion des identités et des accès unifiés pour les domaines concernés.

Pour que l'établissement de santé puisse déclarer dans l'état financier les frais associés à un exercice, il est impératif que celui-ci ait été réalisé entre la date de publication de l'arrêté (22/03/2024) et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement a reçu un financement pour un exercice réalisé en 2023, il est possible de déclarer l'exercice de 2024 ou 2025 pour valider l'objectif.

Les exercices de crise sont effectivement à inscrire dans une démarche annuelle (cf. instruction cyber établissements de santé publiée au Bulletin Officiel du 17 février 2025) : https://sante.gouv.fr/fichiers/bo/2025/2025.3.sante.pdf#page=5).

Concernant le Domaine "Annuaires techniques et exposition sur internet" et l'objectif D1.O3, un premier exercice de crise cyber doit être réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié. ​

L'établissement est libre de choisir et de contractualiser avec un industriel qui propose une solution respectant le cahier des charges "Audit exposition sur internet". 

Le service ADS mis à disposition par l'ANSSI doit être utilisé pour auditer les AD : https://esante.gouv.fr/Fiche%20de%20pr%C3%A9sentation%20ADS.

L'objectif D1.O6 ne demande pas de réaliser la convergence mais de construire et documenter la trajectoire menant à cette convergence. Celle-ci concerne bien tous les AD du GHT.

Ce document doit inclure un planning projet prévoyant une trajectoire de convergence de l’infrastructure AD avec un 1er jalon réalisé dans une échéance maximale de 18 mois après l'appel à financement du Domaine "Annuaires techniques et exposition sur internet". Il doit également préciser les modalités organisationnelles à mettre en œuvre, telles que l'existence d’un responsable et la mutualisation des équipes SI dédiées à ces sujets, ainsi que le budget prévisionnel nécessaire au projet. Le formalisme de rédaction est laissé libre (pas de trame fournie par le programme).

L'objectif est de ce fait validé sans action supplémentaire nécessaire si tous les AD du Groupement Hospitalier Territorial (GHT) sont bien convergés. Dans ce cas, le GHT devra fournir la description de son infrastructure AD convergée comme justificatif de l'atteinte de l'objectif D1.O6.B.