FAQ de l'offre : Ségur du numérique en santé

L'exigence 28 du Référentiel d'Identification Electronique (RIE) précise qu'afin de garantir un niveau de fiabilité à l’état de l’art des identités, au 1/01/2025 au plus tard, la mise en œuvre d’une brique de SSO (Single Sign-On) est requise pour les structures qui :

• soit sont responsables de plus de 5 services sensibles,
• soit comptent plus de 5 000 professionnels ayant accès à au moins un service sensible.

Le Référentiel d'Identification Electronique définira une liste de critères prenant en compte les exigences ProSanté Connect sur les fédérateurs d'identité tiers permettant aux structures de s'orienter dans leurs choix de MIE.

La certification HAS des établissements de santé concerne tous les établissements de santé français, publics et privés (https://www.has-sante.fr/jcms/c_411173/fr/comprendre-la-certification-pour-la-qualite-des-soins).

Les établissements et services sociaux et médico-sociaux (ESSMS) font l'objet d'une évaluation différente (https://www.has-sante.fr/jcms/c_2838131/fr/comprendre-la-nouvelle-evaluation-des-essms).

Nous vous invitons à contacter le CRRC(centre régional de ressources cyber) de votre région afin de prendre connaissance de l'offre et des différents services proposés pour réaliser un diagnostic et un exercice de crise. 

Il y a des CRRC dans chaque région. Les contacts des CRRC sont publiés ici : https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-2

À terme, oui : elle sera remplacée par la signature électronique du CR bio et/ou l'apposition d'un cachet électronique visible sur le document (cas d'impression / rematérialisation).

Au vu de la complexité, ce sujet a été repoussé pour la vague 2 du financement à l'équipement. Le référentiel de force probante est disponible à cette adresse : https://esante.gouv.fr/force-probante-des-documents-de-sante 

La trame de l’état de financement doit être signée par l’ordonnateur (Directeur Général de l’établissement) et le trésorier payeur / agent comptable (pour les établissements publics) ou le DAF / expert-comptable (pour les établissements privés).

Si les signatures sont interverties, cela ne posera pas de difficulté pour les vérificateurs tant qu’il s’agit bien des signatures attendues. À noter que la trame financière peut être signée par l’ordonnateur et le directeur financier, mais le trésorier devra alors transmettre un document signé par lui confirmant la réalité des mandatements pour les dépenses présentées dans la trame financière.

Concernant la trame financière, nous acceptions la trame avec le tableau des coûts internes modifiés, donc la V3 ou V4.

L’arrêté du 18 mars 2024 prévoyait la réalisation d’un exercice de crise en 2023 ou 2024 par tous les établissements du candidat (au sens FINESS PMSI). Désormais, pour valider l’"objectif D1.O3 – Se préparer au risque cyber de l’appel à financement", cet exercice de crise cyber doit être réalisé entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié (nouvelle date limite de dépôt au 30 juin 2025).

Pour que cet exercice rentre dans le périmètre des dépenses éligibles, il doit être réalisé entre le 22 mars 2024 et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement de santé a réalisé 2 ou 3 exercices, il choisit celui qu'il veut déclarer. La part de l'exercice financée par l'ARS ne peut pas faire l'objet d'un financement du Domaine (double financement).

L’exercice doit avoir été réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) : au niveau des EJ pour les établissements publics et au niveau des Entité Géographiques (EG) pour les établissements privés lucratifs et non lucratifs. Il est toutefois possible qu’un exercice réalisé au niveau d'un GHT impliquant plusieurs EJ puisse valider cet objectif, à condition que les directions des EJ concernées aient été impliquées dans cet exercice et que le SI de ces EJ soit unique. Le même principe s’applique pour la réalisation d’un exercice au niveau d’un EJ : les directions des EG concernées doivent avoir été impliquées dans cet exercice et le SI de ces EG doit être unique.

Toute action permettant d'atteindre les objectifs du domaine, quelle que soit sa nature, est valorisable dans le cadre de cet appel à financement.

Les grandes catégories de dépenses s'articulent autour des coûts RH internes, externes et coûts divers comme une montée de version ou l'achat d'une licence. Toute dépense qui concourt directement à la remédiation ou à la détection immédiate d'éléments nécessitant la remédiation, est éligible. 

Des exemples de ces dépenses sont listés dans le webinaire datant du 9 septembre 2024 et portant sur la déclaration des objectifs du domaine : https://www.youtube.com/watch?v=24cP73AaOFE&t=4s