FAQ de l'offre : Cybersécurité

La définition des objectifs stratégiques du dispositif de continuité d’activité relève de la responsabilité du candidat au regard des spécificités de son contexte et des cibles qu’il définit dans le cadre de sa démarche. La transmission d’objectifs uniquement qualitatifs constitue l’attendu minimal, bien qu’il soit recommandé que le candidat puisse définir des cibles quantitatives lorsque cela est possible, et ce dans une démarche de pilotage de son dispositif de continuité d’activité. 
Des illustrations d’objectifs stratégiques sont fournies dans le guide PCRA mis à disposition par l’ANS accessible au :
https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip
Pour rappel, la transmission d’un PCRA cadre est recommandée bien qu’elle ne soit pas requise à l’atteinte de l’objectif D2.O1.C. 

La transmission d'une attestation ou d'un contrat de prestation HDS ne permet pas la validation de l'objectif D2.O2.A En effet, la certification HDS impose des exigences en matière de sécurité mais qui ne peuvent être considérées comme portant l'exhaustivité des engagements attendus au titre d'un contrat de service et d'un PAS. En revanche, la transmission du contrat de prestation avec un prestataire HDS répond aux attendus de l'objectif D2.O2.B si ce contrat précise les niveaux de services attendus. 

Conformément au guide des objectifs et prérequis, un test de continuité d'activité (PCA) est attendu dans le cadre de l'objectif D2.O1.C. Il n'est donc pas requis de tester les dispositifs de reprise d'activité dans le cadre dudit objectif. Par ailleurs, et bien que l’ANS recommande vivement de réaliser le test de continuité d’activité sur l’ensemble des risques d’indisponibilité, le guide des objectifs et prérequis précise que le test doit être réalisé sur « au moins » une activité. Les candidats n’ont donc pas l’obligatoire de faire porter le test sur le risque d’indisponibilité informatique. 

La téléphonie ne constitue pas un périmètre priorisé dans le cadre du domaine n°2. Néanmoins, si le bilan d'impact sur les activités (BIA) l'identifie comme un système critique, alors il est attendu que la téléphonie soit couverte par la réalisation de PCA/PRA. 
Cela s’applique pour d’autres périmètres : si un service est jugé comme critique dans le contexte d’un candidat, il peut être considéré comme un service critique d’un périmètre. 
Les contrôles de conformité n'auront pas vocation à challenger les périmètres choisis par l'établissement, sauf si ce qui est présenté posait vraiment question et apparaissait en incohérence avec l'esprit du programme. 

Oui, le SAMU / SMUR peut être considéré comme un service de soin dans le cadre de la réponse à l’objectif D2.O1.C. Toutefois, le dépôt de sang n'est pas considéré directement comme un plateau technique (voir liste exhaustive en réponse à la question 4.13), les activités de la chaîne transfusionnelle s’appuient sur le laboratoire de biologie médicale et peuvent à ce titre, être considérées dans le cadre de la réalisation d'un BIA / PCRA sur le périmètre d'un plateau technique. 

Comme indiqué dans le cadre du webinaire jalon du 23 mars 2026, la définition de processus "administratif" peut être entendue au sens de processus administratif / support. A ce titre, les activités de restauration, de blanchisserie, d'admission ou encore de transport du patient peuvent tout à fait être considérées.  

Le schéma de gouvernance attendu pour un candidat doit intégrer les dispositions organisationnelles mises en œuvre pour l'ensemble des entités juridiques/géographiques parties au groupement. A ce titre, un candidat peut à son choix : 
-    Proposer un schéma de gouvernance unique, défini au niveau du candidat, et portant les spécificités propres à chacun des établissements partis au groupement ; 
-    Proposer un schéma de gouvernance pour chacune des entités juridiques/géographiques parties au groupement ; 
-    Proposer, un schéma de gouvernance "chapeau" à l'échelle du candidat, lui-même décliné dans des schémas de gouvernance pour chacune des entités juridiques/géographiques parties au groupement. Ce dernier cas constitue une situation cible mais n'est pas exigé dans le cadre de la réponse à l'objectif.  

L’ensemble des SI jugés comme critiques permettant la réalisation des activités traités dans le cadre de l'objectif D2.O1.C (soit une à plusieurs application(s) par périmètre) doivent être adressés dans le cadre de l'objectif D2.O2.B. 

L'objectif D2.O2.A porte sur la définition d'une politique de sauvegarde et de restauration. Conformément au guide des objectifs et prérequis, nous confirmons que le contrat de service doit bien être transmis en sus des PAS. Les documents attendus sont les suivants en cas de SI métier externalisé ou sauvegarde externalisée sur le périmètre propre au candidat : 
1)    L'inventaire complet des applications en mode SaaS, précisant pour chaque application si un PAS a été obtenu  
2)    Contrat de service : Document définissant les niveaux de services attendus, les responsabilités de chaque partie, les délais de récupération des données, notamment.  
3)    Plan d’Assurance Sécurité (PAS) du prestataire pour deux des applications inventoriées (des justificatifs différents étant attendus selon la présence ou non du document). 

Les contrats de service sont obligatoires uniquement dans le cadre de l'objectif D2.O3.C, relatif à une externalisation de l'hébergement.  
Néanmoins et pour les objectifs D2.O2.B, D2.O3.B et D2.O3.D, les Contrats de Niveau de Service (CNS/SLA) ne sont pas explicitement attendus mais peuvent être utilisés comme preuves alternatives lorsque les documents préférentiellement attendus (i.e. calendrier de sauvegarde, extrait de PAS, procédures de gestion des incidents) ne sont pas disponibles.