Une clef USB (connectée au matériel ou non) présente des risques trop élevés et n’est pas admise comme solution de sauvegarde au titre du domaine 2.

Non, un serveur de dossiers partagés ne peut pas contenir une sauvegarde de son propre contenu, cette dernière n’étant alors pas considérée comme une copie de sauvegarde au sens du 3-2-1.
Si ce serveur contient d’autres données (qui ne sont pas exclusivement des sauvegardes), alors il ne respecterait pas les exigences de cloisonnement définies à l’objectif D2.O3.B et ne répondrait pas aux attendus.
Si ce serveur est exclusivement dédié à la sauvegarde et met en œuvre tous les attendus du domaine (bouton rouge, cloisonnement, gestion des accès, etc.), alors il pourrait contenir d’autres sauvegardes et s’intégrer en réponse au domaine 2.

Oui, la réalisation d’un diagnostic des règles de pare feu de la zone qui héberge la sauvegarde peut être une dépense éligible à un financement du domaine, dès lors qu’elle contribue directement à la mise en œuvre du cloisonnement de l’infrastructure de sauvegarde.
Ce diagnostic peut également permettre de faire état des règles actuellement mise en place ainsi que d’identifier les points d'améliorations pour la mise en trajectoire.

Non. Dans le cadre du D2.O3.A, il n'est pas exigé que l'AD soit dédié exclusivement à l'infrastructure de sauvegarde. Un AD d'administration partagé avec d'autres composants d'administration du SI est acceptable, à condition qu'il soit distinct de l'AD de production et qu'il n'intègre aucun compte ou usage de production.

Oui, afin de prétendre au financement du programme, il est demandé de présenter les preuves d’atteinte de chaque objectif.

Dans le cas où les pratiques de sauvegarde et de restauration sont déjà pleinement harmonisées à l’échelle des EJ/EG concernées au travers d’un SI mutualisé, et qu’aucune amélioration ou action complémentaire d’harmonisation n’est identifiée, une note explicative démontrant que les exigences d’harmonisation sont d’ores et déjà satisfaites pour et qu’aucune action supplémentaire n’est nécessaire pourra alors être transmise en justification, sans qu’un planning prévisionnel d’harmonisation ne soit attendu.

Les pièces justificatives devront toutefois être fournies pour chacun des établissements concernés, même lorsque celles-ci sont identiques. La note explicative, qui pourra être commune à plusieurs établissements, devra préciser les modalités et le cheminement ayant conduit à l’harmonisation des pratiques de sauvegarde et de restauration à l’échelle du SI mutualisé.

Pour rappel, un SI est considéré comme mutualisé lorsqu'il repose sur une instance unique ou lorsque le même applicatif est déployé dans plusieurs établissements avec la même version, le même paramétrage et la même organisation.

Le planning de réalisation des autres exercices de PCA ne fait pas l’objet d’un contenu minimal obligatoire. Il doit toutefois préciser a minima la nature des exercices prévus, les services ou périmètres concernés ainsi que les dates prévisionnelles de réalisation.

Afin de renforcer progressivement la résilience de l’établissement, il est recommandé de prévoir des exercices couvrant les différents scénarios d’indisponibilité et d’impliquer, à terme, l’ensemble des entités concernées.

Les candidats sont également invités à faire figurer dans ce planning les exercices qui pourraient être réalisés après l’atteinte du sous-objectif D2.O1.D, notamment pour les services qui n’auraient pas encore été intégrés au dispositif ou qui ne seraient pas encore ouverts.

Non, dans le cadre de l'objectif D2.O1.C, il est demandé de traiter les BIA et PCRA sur a minima 3 services critiques : un service de soin, un plateau technique et un service support/administratif.

La possibilité de traiter deux services de soins est offerte uniquement aux établissements ne disposant pas de plateau technique, et non à ceux qui ne pourraient pas traiter ce service critique pendant la phase opérationnelle.

Pour l’objectif D2.O2.A « Formaliser les politiques de sauvegarde », le candidat doit transmettre la liste complète des applications en mode SaaS en précisant, pour chacune d’elle, si un PAS a été obtenu. Deux PAS (ou attestation d’existence) doivent être fournis.

Pour l’objectif D2.O3.A « Mettre en œuvre une authentification sécurisée pour les infrastructures de sauvegarde » un PAS ou un extrait de celui-ci doit être transmis lorsque l’infrastructure de sauvegarde est externalisée.

Pour l’objectif D2.O3.B « Mettre en œuvre un cloisonnement des infrastructures de sauvegarde » un PAS ou un extrait de celui-ci doit également être fourni lorsque l’infrastructure de sauvegarde est externalisée.
Enfin, pour l’objectif D2.O3.C « Mettre en œuvre une stratégie de sauvegarde 3-2-1 » un PAS ou un extrait de celui-ci est requis dans le cas d’une infrastructure de sauvegarde externalisée.

Pour l’ensemble de ces objectifs, lorsqu’un PAS requis ne peut être transmis, le candidat doit préciser lors du dépôt du dossier, le motif de cette absence ainsi que le nom du prestataire concerné.

La trame financière transmise lors du dépôt des preuves d’atteinte des objectifs devra recenser l'ensemble des coûts engagés ainsi que les dépenses prévisionnelles jusqu'à la fin de la phase opérationnelle.

À compter de ce dépôt, aucune nouvelle ligne de coût ne pourra être ajoutée. Seuls les montants ou informations relatifs à des dépenses déjà renseignées dans la trame pourront être actualisés au début de la phase d’instruction, lorsqu’ils n’auront pas pu être intégrés au moment du dépôt, notamment en raison de délais de traitement administratif ou comptable (par exemple, des coûts internes du mois de novembre dont le traitement par l’agence comptable n’aurait pas encore été finalisé).

Une version non signée de la trame financière peut être transmise lors du dépôt du dossier. La signature devra toutefois être réalisée préalablement à l’instruction financière, lors de la complétude des lignes relatives aux dépenses prévisionnelles.

Oui, seules les dépenses concourant à l’atteinte des objectifs réalisées entre la date de publication de l'arrêté et la date de dépôt de l'atteinte des objectifs peuvent être prises en compte pour le calcul du montant de financement.

Conformément aux indications de la trame de l’état financier de l'appel à financement (disponible sur le site de l'ANS au lien suivant : https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK ), une dépense est considérée éligible si la commande et la facture ont été émises durant la phase opérationnelle.  
Les prestations externes doivent dont être facturées avant la fin de la phase opérationnelle (i.e. date de soumission du dossier d'atteinte des objectifs, soit au plus tard le 18/11/2026). 

Les objectifs du programme ont été élaborés en concertation entre l’ANS et la HAS. Bien qu’ils soient alignés sur les exigences de la certification, seule la HAS est habilitée à délivrer la décision de certification.

Plusieurs documents nécessitent la validation de la direction ou d'une instance décisionnelle dans le cadre de l'atteinte des prérequis et des objectifs.

Pour rappel, les documents justificatifs devant faire l'objet d'une validation sont les suivants : 

• Au titre du D2.P1 : la PSSI doit être "validée par le représentant légal du candidat, ou le cas échéant, par chaque établissement". Le document doit donc être signé formellement par une personne habilitée.
• Au titre du D2.O1.A : le schéma de gouvernance du PCRA doit être "signé par la direction du candidat " et accompagné du "compte rendu d'une instance décisionnelle" ayant validé ce schéma.

Il est attendu un document signé formellement par une personne habilitée, et un compte rendu de l'instance ayant validée le schéma.

Dans le cas où une délégation de signature est mise en place par le représentant légal du candidat, alors les documents peuvent être signés par ce directeur fonctionnel. Le candidat est alors invité à soumettre une pièce justifiant de la délégation de signature dudit directeur.
 

La soumission du dossier d'atteinte des objectifs vaut finalisation de la phase opérationnelle pour le candidat, et ce conformément aux dispositions introduites par l'arrêté du 3 juillet 2025. 
Néanmoins, et comme dans le cadre du domaine n°1, les équipes de conformité de l'ANS réaliseront une analyse des pièces fournies et pourront le cas échéant soumettre des demandes de compléments aux candidats. Ces derniers auront alors l'opportunité de faire évoluer leur dossier au regard des demandes formulées.  
Il est rappelé que les derniers paiements (sous réserve de la finalisation préalable des opérations de conformité) auront lieu le 19/06/2027. 

La téléphonie ne constitue pas un périmètre priorisé dans le cadre du Domaine 2.

Néanmoins, si le bilan d'impact sur les activités (BIA) l'identifie comme un système critique, alors il est attendu que la téléphonie soit couverte par la réalisation de PCA/PRA.