Le financement du POC est attribué sous forme forfaitaire en fonction du parcours et du nombre d’entités géographiques éligibles incluses dans la candidature.
En revanche, les lauréats du POC seront amenés, au cours du projet, à renseigner une trame financière permettant de retracer l’ensemble des dépenses ayant contribué à l’atteinte des objectifs sélectionnés. Cette trame précisera notamment les coûts associés à chaque objectif du parcours.

Ces éléments sont requis à des fins de suivi et de retour d’expérience (RETEX), en vue d’alimenter les futures itérations du dispositif.

Les dépenses déclarées, y compris celles liées au temps de mobilisation des ressources humaines, devront être cohérentes avec les objectifs du POC retenus et dûment justifiées.

Le financement est accordé au forfait dès lors que l’ensemble des objectifs est atteint. La trame financière a principalement pour objectif d’affiner les hypothèses relatives aux dépenses engagées dans le cadre du POC, de mieux comprendre les modalités de mise en œuvre retenues par les lauréats et d’alimenter la réflexion sur le modèle financier à retenir pour la généralisation du dispositif.

Les établissements sont par ailleurs invités à privilégier, lorsque cela est pertinent au regard de leurs besoins, les prestations proposées par leur CRRC.

Non, le cahier des charges publié le 31/03/2026 (disponible ici) fait explicitement référence au régime des aides de minimis, qui fixe un plafond de 300 000 € par entreprise sur une période de trois années glissantes.

À ce titre, seules les aides qualifiées juridiquement d’« aides de minimis » doivent être prises en compte dans le calcul de ce plafond.
Les financements relevant d’autres fondements juridiques ne sont pas intégrés dans ce calcul, y compris lorsqu’ils portent sur des thématiques connexes telles que le numérique, la cybersécurité ou la modernisation des systèmes d’information.

En particulier, les financements attribués dans le cadre du programme ESMS numérique ne relèvent pas du régime des aides de minimis ; les montants perçus à ce titre ne sont donc pas à inclure dans le calcul du plafond de 300 000€.

Ainsi, un candidat ayant bénéficié de financements importants au titre d’ESMS numérique peut demeurer pleinement éligible au POC de l’AAP, sous réserve que le plafond des aides relevant du régime de minimis ne soit pas dépassé par ailleurs.

Dans le cadre de la candidature à ce POC, les candidats devront déclarer uniquement les aides relevant du régime de minimis qu’ils ont perçues ou qui leur ont été octroyées. Les modalités précises de cette déclaration seront communiquées aux lauréats.

Le financement est accordé sous forme de subvention forfaitaire.

Son montant dépend :
• du parcours de cybersécurité choisi (parcours 1, 2 ou 3) ;
• du nombre d’entités géographiques (EG) intégrées dans la candidature.

Le calcul repose sur un montant unitaire par EG, variable selon le parcours, auquel s’applique une règle de dégressivité par tranche d’EG :
• les 4 premières EG sont financées à 100 % ;
• des taux dégressifs s’appliquent ensuite selon le nombre total d’EG ;
• aucun financement n’est accordé au-delà de la 12ᵉ EG.

Exemples illustratifs :
• Parcours 1 – candidat avec 2 EG
o Montant unitaire parcours 1 : 9 400 € / EG, avec 2 EG financées à 100 %
o Montant de la subvention : 18 800 €

• Parcours 2 – Organisme gestionnaire regroupant 8 EG
o Montant unitaire parcours 2 : 17 000 € / EG, avec application des taux dégressifs à partir de la 5ᵉ
EG
o Montant de la subvention : 102 000 €

• Parcours 3 – Grappe regroupant 25 EG
o Montant unitaire parcours 3 : 17 000 € / EG, avec financement jusqu’à l’EG 12 uniquement
o Montant de la subvention : 115 600 €

La subvention est versée en fonction de l’atteinte des objectifs cibles du parcours retenu.

L’attendu minimal porte sur la formalisation du PCRA de chaque activité critique ayant fait l’objet d’un BIA et il est recommandé de fournir le PCRA cadre (dans le respect de la définition du kit PCA / PRA mis à disposition par l’ANS à l’adresse suivante : https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1Gouvernance et résilience | e-santé).

Le tout peut constituer un document unique ou des documents disjoints complémentaires, aucun format n’étant imposé.

L'atteinte de l’objectif D2.O1.C est validé selon les différentes typologies de candidats :

• Pour les GHT avec plusieurs entités juridiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités juridiques représentant au moins 66% de l'activité combinée du candidat.
• Pour les structures (hors-GHT) ayant plusieurs entités géographiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités géographiques représentant au moins 66% de l'activité combinée du candidat.

Si un des périmètres retenus conformément à la liste dessus est applicable aux établissements constituant le candidat, alors le BIA et le PCRA peut être fourni à l’échelle du candidat.

Une sauvegarde est considérée immuable si, une fois écrit, son contenu ne peut plus être modifié ni supprimé (volontairement ou involontairement) pendant une durée définie. Cette immuabilité doit être garantie par la "technologie" (certifiée ou non / Implémentation de mécanismes internes ou produit déjà packagé), et non seulement par des procédures organisationnelles.

Exemples considérés comme immuables :

• Bandes WORM (Write Once Read Many),
• Stockage objet avec verrouillage (Object Lock / mode WORM),
• Snapshots ou systèmes de sauvegarde offrant un mode immuable intégré.

Exemples non immuables / "altérables" :

• Bandes réinscriptibles classiques,
• Copies externalisées sans mécanisme technique de verrouillage,
• Sauvegardes sur disque/NAS standards pouvant être écrasées ou effacées.

En résumé : l’externalisation ou la redondance ne suffisent pas ; seule une contrainte technique empêchant toute modification/suppression prématurée (volontaire ou non) permet de qualifier la sauvegarde d’immuable.

Le guide des prérequis et objectifs du domaine 2 précise que la mise en œuvre du principe 3-2-1 implique une copie immuable et d’une copie hors ligne ou hors site. Cela signifie qu’il s’agit d’un support distinct de la sauvegarde en ligne (par exemple : robot cassette, bande, hébergeur tiers).

Oui, les données du serveur de production sont considérées comme une copie, et ce conformément aux recommandations de l’ANSSI considérant les données de l’environnement de production (i.e données de l’environnement de production) comme une copie.
Néanmoins, une réplication des données de production ne constitue pas une sauvegarde dans l'application du 3-2-1 (i.e. une seule sauvegarde est considérée entre les données de production et sa réplication). En revanche, une réplication des données d'une sauvegarde est bien considérée comme une 2ndsauvegarde disjointe.
La stratégie « 3-2-1 » implique la réalisation de 3 copies de données, sur 2 supports différents, dont 1 nécessairement hors-ligne.

La réalisation d’un test central embarquant l’ensemble des établissements du groupe est acceptée si les mesures de sauvegarde sont identiques dans l’ensemble des établissements. Le justificatif soumis devra préciser le périmètre d’applicabilité du test.
Les candidats devront également veiller à ventiler les coûts associés à ce test entre chacun des établissements candidats lors de la soumission de la trame financière.

Non, les contrats de service, PAS et documents de sauvegarde des solutions nationales ou régionales (ex. DMP) ne sont pas attendus dans les preuves demandées. Cette disposition s’explique par le fait que seules les applications sous la responsabilité du candidat sont concernées par les éléments de preuve attendus.

Il est fortement recommandé de traiter la réalisation d'un test de restauration sur des bases de données ou des serveurs hébergés en local. Il est possible de traiter le cas de SI complémentaires : ces derniers peuvent être identifiés comme soutenant une activité identifiée critique au titre de l’objectif D2.O1.C.

Par exemple, il n'est pas nécessaire de tester la restauration l'intégralité d'un DPI : le test peut être réalisé sur un logiciel contribuant au fonctionnement du DPI et soutenant l'activité critique concernée.

Si aucun SI concourant à l’activité ne repose sur un hébergement internalisé, et sous réserve d'une justification complète et de la transmission des preuves de réalisation de ce test, un test de restauration d’une application SaaS qui serait réalisé par l’éditeur peut être accepté dans le cadre de l’objectif D2.O4.

Dans le cas où cette prestation n'est pas incluse dans votre contrat, il vous est demandé de fournir les Plans d'Assurance Sécurité adapté, avec la mention du RTO. Nous vous recommandons d'intégrer explicitement la réalisation de tests de restauration lors du prochain renouvellement de contrat, même si ce dernier intervient après la phase opérationnelle du Domaine 2.

La gouvernance de contrôle de la réalisation des sauvegardes est à définir selon le contexte du GHT. Sa finalité doit être de permettre au RSSI du GHT d’être alerté en cas de besoin et de réaliser les contrôles nécessaires. Cela peut se formaliser par la vérification des sauvegardes de chaque établissement par le RSSI ou la réception d’un rapport de sauvegarde à une fréquence adéquate. Il n’est pas attendu que le RSSI soit informé / mobilisé lors d’une anomalie unique sur un job de sauvegarde, mais dans le cas où les sauvegardes ne sont pas réalisées conformément aux plans définis.

Une clef USB (connectée au matériel ou non) présente des risques trop élevés et n’est pas admise comme solution de sauvegarde au titre du domaine 2.

Non, un serveur de dossiers partagés ne peut pas contenir une sauvegarde de son propre contenu, cette dernière n’étant alors pas considérée comme une copie de sauvegarde au sens du 3-2-1.
Si ce serveur contient d’autres données (qui ne sont pas exclusivement des sauvegardes), alors il ne respecterait pas les exigences de cloisonnement définies à l’objectif D2.O3.B et ne répondrait pas aux attendus.
Si ce serveur est exclusivement dédié à la sauvegarde et met en œuvre tous les attendus du domaine (bouton rouge, cloisonnement, gestion des accès, etc.), alors il pourrait contenir d’autres sauvegardes et s’intégrer en réponse au domaine 2.

Oui, la réalisation d’un diagnostic des règles de pare feu de la zone qui héberge la sauvegarde peut être une dépense éligible à un financement du domaine, dès lors qu’elle contribue directement à la mise en œuvre du cloisonnement de l’infrastructure de sauvegarde.
Ce diagnostic peut également permettre de faire état des règles actuellement mise en place ainsi que d’identifier les points d'améliorations pour la mise en trajectoire.