FAQ Etablissement de santé

À terme, oui : elle sera remplacée par la signature électronique du CR bio et/ou l'apposition d'un cachet électronique visible sur le document (cas d'impression / rematérialisation).

Au vu de la complexité, ce sujet a été repoussé pour la vague 2 du financement à l'équipement. Le référentiel de force probante est disponible à cette adresse : https://esante.gouv.fr/force-probante-des-documents-de-sante 

La trame de l’état de financement doit être signée par l’ordonnateur (Directeur Général de l’établissement) et le trésorier payeur / agent comptable (pour les établissements publics) ou le DAF / expert-comptable (pour les établissements privés).

Si les signatures sont interverties, cela ne posera pas de difficulté pour les vérificateurs tant qu’il s’agit bien des signatures attendues. À noter que la trame financière peut être signée par l’ordonnateur et le directeur financier, mais le trésorier devra alors transmettre un document signé par lui confirmant la réalité des mandatements pour les dépenses présentées dans la trame financière.

Concernant la trame financière, nous acceptions la trame avec le tableau des coûts internes modifiés, donc la V3 ou V4.

L’arrêté du 18 mars 2024 prévoyait la réalisation d’un exercice de crise en 2023 ou 2024 par tous les établissements du candidat (au sens FINESS PMSI). Désormais, pour valider l’"objectif D1.O3 – Se préparer au risque cyber de l’appel à financement", cet exercice de crise cyber doit être réalisé entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié (nouvelle date limite de dépôt au 30 juin 2025).

Pour que cet exercice rentre dans le périmètre des dépenses éligibles, il doit être réalisé entre le 22 mars 2024 et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement de santé a réalisé 2 ou 3 exercices, il choisit celui qu'il veut déclarer. La part de l'exercice financée par l'ARS ne peut pas faire l'objet d'un financement du Domaine (double financement).

L’exercice doit avoir été réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) : au niveau des EJ pour les établissements publics et au niveau des Entité Géographiques (EG) pour les établissements privés lucratifs et non lucratifs. Il est toutefois possible qu’un exercice réalisé au niveau d'un GHT impliquant plusieurs EJ puisse valider cet objectif, à condition que les directions des EJ concernées aient été impliquées dans cet exercice et que le SI de ces EJ soit unique. Le même principe s’applique pour la réalisation d’un exercice au niveau d’un EJ : les directions des EG concernées doivent avoir été impliquées dans cet exercice et le SI de ces EG doit être unique.

Toute action permettant d'atteindre les objectifs du domaine, quelle que soit sa nature, est valorisable dans le cadre de cet appel à financement.

Les grandes catégories de dépenses s'articulent autour des coûts RH internes, externes et coûts divers comme une montée de version ou l'achat d'une licence. Toute dépense qui concourt directement à la remédiation ou à la détection immédiate d'éléments nécessitant la remédiation, est éligible. 

Des exemples de ces dépenses sont listés dans le webinaire datant du 9 septembre 2024 et portant sur la déclaration des objectifs du domaine : https://www.youtube.com/watch?v=24cP73AaOFE&t=4s

L'appel à financement du Domaine "Annuaires techniques et exposition sur internet" prend en charge les travaux réalisés entre la date de publication de l'arrêté (22 mars 2024) et la date de déclaration de l'atteinte des objectifs par l'Etablissement de Santé (ES). Pour qu'une dépense soit recevable dans le cadre du domaine, il faut donc que la facture et le bon de commande soient datés entre le 22 mars et la date de déclaration d'atteinte des objectifs (30 juin 2025 maximum).

Point d'attention : Pour les commandes dont la date est antérieure à la publication de l'arrêté, le candidat doit fournir soit un bon de commande, soit une facture indiquant que la date de démarrage des travaux est postérieure à la publication de l'arrêté. Les attestations ne seront pas acceptées comme preuve.

Les coûts RH se calculent à partir du salaire brut annuel de la personne concernée, du nombre d'heures travaillé annuellement et du nombre d'heures dédié au Domaine "Annuaires techniques et exposition sur internet".

Toutes les ressources internes ayant contribué à l'atteinte des objectifs du Domaine doivent être déclarées dans l'état financier.

Il est attendu une première réalisation concrète au bout de 18 mois après le dépôt d’atteinte des objectifs avec des premières actions de convergence mises en œuvre.

Quelques exemples de 1ères réalisations concrètes (jalon à 18 mois après le dépôt d’atteinte des objectifs) : mise en place d'une infrastructure commune pour deux domaines AD, migration de certains services ou utilisateurs vers une nouvelle infrastructure AD commune, création d'une stratégie de gestion des identités et des accès unifiés pour les domaines concernés.

Pour que l'établissement de santé puisse déclarer dans l'état financier les frais associés à un exercice, il est impératif que celui-ci ait été réalisé entre la date de publication de l'arrêté (22/03/2024) et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement a reçu un financement pour un exercice réalisé en 2023, il est possible de déclarer l'exercice de 2024 ou 2025 pour valider l'objectif.

Les exercices de crise sont effectivement à inscrire dans une démarche annuelle (cf. instruction cyber établissements de santé publiée au Bulletin Officiel du 17 février 2025) : https://sante.gouv.fr/fichiers/bo/2025/2025.3.sante.pdf#page=5).

Concernant le Domaine "Annuaires techniques et exposition sur internet" et l'objectif D1.O3, un premier exercice de crise cyber doit être réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié. ​

L'arrêté du 22 janvier 2025, modifiant l'arrêté du 18 mars 2024 relatif à un programme de financement destiné à renforcer la sécurité numérique des établissements de santé - Fonction - "Annuaires techniques et exposition sur internet" , a été publié au Journal officiel le 30 janvier 2025 (https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000051058973).

Cet arrêté rectificatif a redéfini la phase opérationnelle. Le démarrage de la phase opérationnelle doit être compris entre la date de publication de l’arrêté du Domaine "Annuaires techniques et exposition sur internet" (22 mars 2024) et le 20 septembre 2024. Cette date du 20 septembre a été décidée en concertation avec l’ANSSI pour ne pas impacter les établissements de santé par la non mise à disposition du portail club SSI cet été.

La phase opérationnelle s’achève au dépôt de la déclaration d'atteinte des objectifs par l'établissement sur le guichet dédié, soit le 30 juin 2025 au plus tard​.

Toute dépense concourant bien à l'atteinte des objectifs du Domaine "Annuaires techniques et exposition sur internet" doit être inscrite dans l'état financier et cela indépendamment de sa classe.

L'établissement est libre de choisir et de contractualiser avec un industriel qui propose une solution respectant le cahier des charges "Audit exposition sur internet". 

Le service ADS mis à disposition par l'ANSSI doit être utilisé pour auditer les AD : https://esante.gouv.fr/Fiche%20de%20pr%C3%A9sentation%20ADS.