Non, l'objectif est bien d'atteindre un score de 2 et ces mesures ne seront pas prise en compte.

'Conformément à l'objectif D1.O2.A, des audits doivent être réalisés tous les deux mois sur l'ensemble du périmètre exposé durant la phase opérationnelle. Pour ce faire, il est nécessaire d'utiliser le service SILENE (ANSSI) ou une plateforme d'audit industrielle conforme au cahier des charges.

Selon l'objectif D1.O2.B, les deux derniers rapports d'audit ne doivent pas présenter de vulnérabilités critiques. Seule une plateforme d’audit industrielle conforme au cahier des charges peut être utilisée pour ces audits. Il est recommandé, mais non obligatoire, que ces audits soient réalisés par la même société.

La réalisation de l’audit est obligatoire pour prétendre aux financements du Domaine "Annuaires techniques et exposition sur internet". Nous rappelons que l'intérêt de cet audit réside dans le fait que la sécurité de l'AD est souvent mise en cause lors des attaques, quel que soit le domaine d'activité. De plus, le DPI n’est pas le seul élément du SIH contenant des données sensibles.

Il est rappelé que dans le cadre de l'objectif D1.O6, il est attendue une trajectoire de convergence et non la trajetoire en elle-même. Ces dépenses n'étant pas nécessaires à la formalisation de la trajectoire, elle ne sont donc pas éligibles.

Uniquement la partie qui concourt à l’atteinte de l’objectif : si la version du CMS utilisée expose des vulnérabilités critiques, sa mise à jour peut être prise en compte. Si des modules complémentaires développés par l’établissement sont dans le même cas, leur redéveloppement peut être pris en compte. En revanche, les travaux de charte graphique, éditoriaux, etc. ne sont pas éligibles. ​

Une dépense est éligible si elle contribue à l'atteinte des objectifs du domaine. Toute dépense qui concourt directement à la remédiation ou à la détection immédiate d'éléments nécessitant la remédiation, est éligible. Les dépenses suivantes n'y concourant pas, elles ne sont pas éligibles (liste non exhaustive) :

- Une application SaaS exposée par un fournisseur

- Une analyse de risque, un EDR ou un abonnement PRIS

- Mise en place d'un gestionnaire de mot de passe

- Mise en place d'un outil de MAJ sur des serveurs LINUX sans les arrêter

Le coût de la prestation de fusion de X AD en un seul et unique AD peut être pris en charge à condition que cette action contribue à la diminution des vulnérabilités. Par exemple, si l'AD convergé présente un score de sécurité supérieur à celui des AD de départ.​

Les exercices de crise peuvent être menés en interne sans faire appel à une prestation extérieure. L'établissement devra cependant fournir la preuve de la tenue de cet exercice (scénario, RETEX post exercice…) pour valider l'objectif D1.O3.

Les certifications ISO 27001 et HDS ne sont pas objectivées dans le cadre du Domaine "Annuaires techniques et exposition sur internet".

Le calcul des ETP ne concerne que les ressources internes à l'établissement de santé (ES).

Oui, l'année de référence pour le calcul de la part du numérique dans le budget de l'établissement sera 2023 dans tous les cas.

Pour l'objectif D1.O5, seule la part dédiée au sanitaire doit être déclarée. Le travail de répartition pourra être réalisé avec la DAF de l'établissement.

L'objectif D1.O5 couvre les postes SI et pas uniquement SSI. Pour calculer le budget alloué au numérique, il faut prendre en compte les postes qui comportent un composant SI ou SSI (compté en ETP) que ce soit pour un salarié ou un prestataire.​ ​

L'utilisation des kit de l'ANS est fortement recommandée. Ils comportent plusieurs niveaux de difficulté. Ils peuvent être l’opportunité pour les Etablissements de Santé (ES) de passer à un niveau supérieur si leur maturité s’est améliorée.