Le domaine HospiConnect porte sur l’accompagnement technique et financier des établissements pour déployer auprès des professionnels qui y exercent les moyens d’identification électroniques (MIE) les mieux adaptés.

Il vise à simplifier et sécuriser l’accès des professionnels aux services numériques sensibles des établissements et aux services socles nationaux du numérique en santé (par exemple le DMP).

Deux dispositifs de financement complémentaires – et effectifs sur une durée de 3 ans – sont aujourd’hui proposés par les dispositifs HospiConnect/HOP’EN2 et HospiConnect/CaRE.

Le dispositif HospiConnect/CaRE vise à financer les moyens d’authentification électroniques et les composants nécessaires à leur lecture pour permettre aux établissements de santé la mise en œuvre d’une authentification à deux facteurs (2FA) conforme au Référentiel d’Identification Electronique de la PGSSI-S.

Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité confrimé, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.

Il existe des kits adaptés à différents niveaux de maturité :​ débutant, intermédiaire, confirmé. Voici le kit confirmé : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-confirme.zip

Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx

Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité intermédiaire, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.

Il existe des kits adaptés à différents niveaux de maturité :​ débutant, intermédiaire, confirmé. Voici le kit intermédiaire : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-intermediaire.zip

Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx

Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité débutant, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.

Il existe des kits adaptés à différents niveaux de maturité :​ débutant, intermédiaire, confirmé. Voici le kit débutant : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-debutant.zip

Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx

Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Dans la continuité des travaux réalisés pour produire et déployer les kits d'exercices de crise, les établissements sanitaires ont exprimé le besoin d’être accompagnés dans la formalisation et la mise en œuvre de leur Plan de Continuité d’Activité (PCA) et de leur Plan de Reprise d’Activité (PRA). Le programme CaRE propose un kit PCA/PRA constitué d’un ensemble d’outils nécessaires à l’écriture de ces plans. Ce kit s'appuie la documentation de référence en cybersécurité : le Plan Blanc Numérique de la DGOS et  guide de la continuité d’activité du SGDSN. Il adopte une approche orientée métier et non SI. Il est divisé en 4 parties :

Le cadrage du projet, pour initier la démarche : présentation du PCRA, mode d'emploi du kit, lexique, fiche de mission pour le Responsable PCRA et RETEX de la phase pilote : https://esante.gouv.fr/sites/default/files/media_entity/documents/01_kit-pca-pra_cadrage.zip

Les documents méthodologiques, pour comprendre la méthode de rédaction des plans de conduite et reprise d’activité :  fiches, prototype de BIA, trame de PCRA, etc. : https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip

Trois exemples de Bilan d'Impact sur l'Activité (BIA), pour s'inspirer : service RH, service de réanimation, laboratoire : https://esante.gouv.fr/sites/default/files/media_entity/documents/04_kit-pca_pra_exemples-bia.zip
    
La gestion du PCRA, pour maintenir son PCRA à jour : fiche méthodologique sur le maintien en conditions opérationnelles du PCRA : https://esante.gouv.fr/sites/default/files/media_entity/documents/03_kit-pca_pra_gestion-du-pcra.zip

Le domaine 4 est actuellement en cours de construction. Son lancement est envisagé en 2027, conjointement avec le domaine 3, afin d’assurer une articulation cohérente entre la sécurisation des accès distants et celle des postes de travail.

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

L’objectif du domaine 4 est de sécuriser et superviser l’ensemble des postes de travail, afin de détecter au plus tôt les tentatives d’intrusion et les comportements anormaux au sein du système d’information.

Les postes de travail constituent un point d’entrée majeur pour les attaquants, notamment par l’intermédiaire de campagnes d’hameçonnage, de téléchargements malveillants ou de vulnérabilités non corrigées. Une fois compromis, ils peuvent permettre aux attaquants de se propager dans le système d’information et d’accéder à des ressources sensibles. Il est donc nécessaire de renforcer leur sécurisation et leur supervision, qu’il s’agisse des postes individuels, partagés ou nomades, mais aussi des postes à privilèges et à usages sensibles.

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

La méthodologie de calcul est explicitée dans le guide des prérequis et des objectifs publié sur le portail esante.gouv.fr de l'Agence Numérique en Santé.

Elle s'appuie notamment sur la Note d’information n° DGOS/PF2/2019/207 du 26 septembre 2019 relative à la définition et au suivi des ressources et des charges des systèmes d’information hospitaliers. Cette note s'applique également aux établissements privés.​

​Dans les 1.7% du budget numérique des établissements de santé, la rémunération des personnels (annexe c) n'est pas prise en compte. Afin de pouvoir comparer le budget déclaré par les candidats dans l’objectif 5 à ces 1.7%, les salaires ne sont pas à intégrer au calcul du budget dédié au numérique dans l’objectif D1-O5.​

​Dans la même logique, le montant des subventions CaRE doit être traité de la même façon que les autres subventions (et donc a priori pas déduite du montant du budget calculé).​

Les priorités ne dépendent pas des axes du plan d'action mais des thématiques/sujets identifiés comme prioritaires par l'équipe programme CaRE. 

La transmission d'une attestation ou d'un contrat de prestation HDS ne permet pas la validation de l'objectif D2.O2.A En effet, la certification HDS impose des exigences en matière de sécurité mais qui ne peuvent être considérées comme portant l'exhaustivité des engagements attendus au titre d'un contrat de service et d'un PAS. En revanche, la transmission du contrat de prestation avec un prestataire HDS répond aux attendus de l'objectif D2.O2.B si ce contrat précise les niveaux de services attendus. 

La téléphonie ne constitue pas un périmètre priorisé dans le cadre du domaine n°2. Néanmoins, si le bilan d'impact sur les activités (BIA) l'identifie comme un système critique, alors il est attendu que la téléphonie soit couverte par la réalisation de PCA/PRA. 
Cela s’applique pour d’autres périmètres : si un service est jugé comme critique dans le contexte d’un candidat, il peut être considéré comme un service critique d’un périmètre. 
Les contrôles de conformité n'auront pas vocation à challenger les périmètres choisis par l'établissement, sauf si ce qui est présenté posait vraiment question et apparaissait en incohérence avec l'esprit du programme. 

L’ensemble des SI jugés comme critiques permettant la réalisation des activités traités dans le cadre de l'objectif D2.O1.C (soit une à plusieurs application(s) par périmètre) doivent être adressés dans le cadre de l'objectif D2.O2.B. 

Oui, cependant Le processus "RH" apparaît aujourd'hui particulièrement vaste pour faire l'objet d'un BIA et d'un PCRA uniques en réponse à l'objectif, et ce au regard de la diversité des sous-processus qu'il porte. Nous recommandons le cas échéant de réaliser les BIA et PCRA en réponse à l'objectif D2.O1.C sur un des sous-processus constitutif de l'activité RH, comme par exemple : la gestion du recrutement, la gestion des formations, la gestion de la paye, la gestion du temps de travail, etc. 
Il est également possible d’adresser le processus « finance » ou le processus « paye » dans le cadre du périmètre processus administratif / support : le choix du périmètre critique étant laissé à l’appréciation du candidat vis-à-vis de son contexte propre.