Non, le PAS du prestataire n’a pas à reprendre l’intégralité des éléments d’une politique interne de sauvegarde.

En revanche, il est indispensable de vérifier que le PAS couvre bien les exigences attendues (disponibilité, intégrité, sécurité, modalités de restauration) et qu’il répond aux besoins définis par l’établissement.
 

Le test PCA est un exercice terrain qui « simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques » afin de tester la mise en œuvre des solutions de continuité d’activité à l’échelle des services.
C’est donc bien une simulation d’arrêt (d’un service, d’une ressource ou d’un périmètre défini), réalisée de manière contrôlée, pour vérifier l’efficacité du PCA et recueillir un retour d’expérience.
Il est rappelé que les PCA attendus au titre de l'objectif D2.O2.C portent sur le scénario d’indisponibilité numérique et un second scénario d’indisponibilité au choix de l'établissement.

L'exercice peut être réalisé sur tout domaine (au-delà des deux abordés dans l'objectif D2.O1.B), mais la transmission du PCA utilisé et du cas de test est requise.
 

Le test de continuité d'activité doit avoir été réalisé durant la phase opérationnelle du domaine, c'est à dire entre la date de publication de l'arrêté et la date de clôture du guichet de preuve.

De la même manière, les dépenses éligibles doivent être associées à des engagements et factures obtenus durant la phase opérationnelle.
 

La trame de l’état de financement doit être signée par l’ordonnateur (Directeur Général de l’établissement) et le trésorier payeur / agent comptable (pour les établissements publics) ou le DAF / expert-comptable (pour les établissements privés).

Si les signatures sont interverties, cela ne posera pas de difficulté pour les vérificateurs tant qu’il s’agit bien des signatures attendues. À noter que la trame financière peut être signée par l’ordonnateur et le directeur financier, mais le trésorier devra alors transmettre un document signé par lui confirmant la réalité des mandatements pour les dépenses présentées dans la trame financière.

Concernant la trame financière, nous acceptions la trame avec le tableau des coûts internes modifiés, donc la V3 ou V4.

L’arrêté du 18 mars 2024 prévoyait la réalisation d’un exercice de crise en 2023 ou 2024 par tous les établissements du candidat (au sens FINESS PMSI). Désormais, pour valider l’"objectif D1.O3 – Se préparer au risque cyber de l’appel à financement", cet exercice de crise cyber doit être réalisé entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié (nouvelle date limite de dépôt au 30 juin 2025).

Pour que cet exercice rentre dans le périmètre des dépenses éligibles, il doit être réalisé entre le 22 mars 2024 et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement de santé a réalisé 2 ou 3 exercices, il choisit celui qu'il veut déclarer. La part de l'exercice financée par l'ARS ne peut pas faire l'objet d'un financement du Domaine (double financement).

L’exercice doit avoir été réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) : au niveau des EJ pour les établissements publics et au niveau des Entité Géographiques (EG) pour les établissements privés lucratifs et non lucratifs. Il est toutefois possible qu’un exercice réalisé au niveau d'un GHT impliquant plusieurs EJ puisse valider cet objectif, à condition que les directions des EJ concernées aient été impliquées dans cet exercice et que le SI de ces EJ soit unique. Le même principe s’applique pour la réalisation d’un exercice au niveau d’un EJ : les directions des EG concernées doivent avoir été impliquées dans cet exercice et le SI de ces EG doit être unique.

Toute action permettant d'atteindre les objectifs du domaine, quelle que soit sa nature, est valorisable dans le cadre de cet appel à financement.

Les grandes catégories de dépenses s'articulent autour des coûts RH internes, externes et coûts divers comme une montée de version ou l'achat d'une licence. Toute dépense qui concourt directement à la remédiation ou à la détection immédiate d'éléments nécessitant la remédiation, est éligible. 

Des exemples de ces dépenses sont listés dans le webinaire datant du 9 septembre 2024 et portant sur la déclaration des objectifs du domaine : https://www.youtube.com/watch?v=24cP73AaOFE&t=4s

Les coûts RH se calculent à partir du salaire brut annuel de la personne concernée, du nombre d'heures travaillé annuellement et du nombre d'heures dédié au Domaine "Annuaires techniques et exposition sur internet".

Toutes les ressources internes ayant contribué à l'atteinte des objectifs du Domaine doivent être déclarées dans l'état financier.

Il est attendu une première réalisation concrète au bout de 18 mois après le dépôt d’atteinte des objectifs avec des premières actions de convergence mises en œuvre.

Quelques exemples de 1ères réalisations concrètes (jalon à 18 mois après le dépôt d’atteinte des objectifs) : mise en place d'une infrastructure commune pour deux domaines AD, migration de certains services ou utilisateurs vers une nouvelle infrastructure AD commune, création d'une stratégie de gestion des identités et des accès unifiés pour les domaines concernés.

Pour que l'établissement de santé puisse déclarer dans l'état financier les frais associés à un exercice, il est impératif que celui-ci ait été réalisé entre la date de publication de l'arrêté (22/03/2024) et le dépôt de déclaration d’atteinte des objectifs, au plus tard le 30 juin 2025.

Dans le cas où l'établissement a reçu un financement pour un exercice réalisé en 2023, il est possible de déclarer l'exercice de 2024 ou 2025 pour valider l'objectif.

Les exercices de crise sont effectivement à inscrire dans une démarche annuelle (cf. instruction cyber établissements de santé publiée au Bulletin Officiel du 17 février 2025) : https://sante.gouv.fr/fichiers/bo/2025/2025.3.sante.pdf#page=5).

Concernant le Domaine "Annuaires techniques et exposition sur internet" et l'objectif D1.O3, un premier exercice de crise cyber doit être réalisé au sein de tous les établissements du candidat (au sens FINESS PMSI) entre le 1er janvier 2023 et la date de dépôt de la déclaration d’atteinte des objectifs par l’établissement sur le guichet dédié. ​

Toute dépense concourant bien à l'atteinte des objectifs du Domaine "Annuaires techniques et exposition sur internet" doit être inscrite dans l'état financier et cela indépendamment de sa classe.

L'établissement est libre de choisir et de contractualiser avec un industriel qui propose une solution respectant le cahier des charges "Audit exposition sur internet". 

Le service ADS mis à disposition par l'ANSSI doit être utilisé pour auditer les AD : https://esante.gouv.fr/Fiche%20de%20pr%C3%A9sentation%20ADS.