Oui, il s’agit de deux supports différents.

En revanche aucun des deux n’est ‘hors ligne’ (1 du 3-2-1).
 

L'objectif D02.03.C porte sur l'ensemble des données nécessaires à la continuité des activités critiques.

Les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l'appel à financement Domaine 2.

A titre d’exemple, l’achat d’un équipement pour « le cloisonnement de son infrastructure de sauvegarde » ou l’achat d’un robot cassette pour avoir « une copie hors ligne » sont bien valorisables en ce qui concerne les dépenses réalisées pendant la phase opérationnelle.

Conformément au guide des objectifs et prérequis, il est précisé que dans le cadre d'un SI mutualité et au titre du D2.O2.B : "les candidats multi-établissements, conformément à l’objectif D2.O2.A, doivent intégrer un projet d’harmonisation sur 18 mois post appel à financements, des plans de sauvegarde et de restauration au niveau du candidat" 
Dans ce cadre, le planning prévisionnel attendu au titre du D2.O2.B doit également s'inscrire dans une durée de 18 mois post appel à financement. 

L’ensemble des SI jugés comme critiques permettant la réalisation des activités traitées dans le cadre de l'objectif D2.O1.C (soit une à plusieurs application(s) par périmètre) doivent être adressés dans le cadre de l'objectif D2.O2.B.

Le délai de réplication mentionné dans l'objectif D2.O2.B ne fait pas référence au RPO (Recovery Point Objective) qui correspond à l’intervalle de temps acceptable pendant lequel les données peuvent être perdues en cas de sinistre.
Dans le cadre de l'objectif D2.O2.B, le délai de réplication correspond au temps défini par le candidat comme étant pertinent pour relancer, après un sinistre, une copie des données de sauvegarde d'un système vers un autre. Ce délai permet notamment de vérifier l'intégrité et l'état des sauvegardes avant d'engager leur réplication.

Toutefois, le délai effectif n’est pas attendu au titre de l’objectif, mais une valeur cible doit être définie dans la politique de sauvegarde à transmettre. Ce délai doit être pertinent et cohérent au vu de la structure de l’établissement.

Dans le cadre d’un GHT, un mécanisme de centralisation des alertes au niveau du RSI de GHT est attendu. Il est possible que des premiers niveaux d’alerte soient traités au niveau des RSI des établissements parties.

L'objectif D2.O2.A porte sur la définition d'une politique de sauvegarde et de restauration. Conformément au guide des objectifs et prérequis, nous confirmons que le contrat de service doit bien être transmis en sus des PAS. Les documents attendus sont les suivants en cas de SI métier externalisé ou sauvegarde externalisée sur le périmètre propre au candidat : 
1)    L'inventaire complet des applications en mode SaaS, précisant pour chaque application si un PAS a été obtenu  
2)    Contrat de service : Document définissant les niveaux de services attendus, les responsabilités de chaque partie, les délais de récupération des données, notamment.  
3)    Plan d’Assurance Sécurité (PAS) du prestataire pour deux des applications inventoriées (des justificatifs différents étant attendus selon la présence ou non du document). 

Oui, l'inventaire doit porter sur l'ensemble des solutions en mode SaaS sous responsabilité du candidat. Ceci est également applicable pour la suite M365 en considérant l'ensemble des périmètres mis à disposition en mode SaaS.  Seuls les établissements (juridiques et/ou géographiques) du périmètre sanitaire doivent nécessairement être traités dans le cadre du présent domaine. Il n'est donc pas requis de réaliser l'inventaire sur le périmètre des structures médico-sociales.  

Non, le PAS du prestataire n’a pas à reprendre l’intégralité des éléments d’une politique interne de sauvegarde.

En revanche, il est indispensable de vérifier que le PAS couvre bien les exigences attendues (disponibilité, intégrité, sécurité, modalités de restauration) et qu’il répond aux besoins définis par l’établissement.
 

Il n’existe pas de trame de questions formalisée dans le cadre du programme CaRE. Il appartient à l’établissement de s’assurer que les documents contractuels fournis par l’éditeur couvrent bien ses besoins, notamment en matière de disponibilité des plateformes, de sauvegardes et d’attentes métiers.

Il appartient à l’établissement de s’assurer que les documents contractuels fournis par l’éditeur couvrent bien ses besoins, notamment en matière de disponibilité des plateformes (DMIA), de sauvegarde (PDMA) et d’attentes métiers.
 

La transmission d'une attestation ou d'un contrat de prestation HDS ne permet pas la validation de l'objectif.  
En revanche, la transmission du contrat de service et du PAS d'un prestataire HDS répondent aux attendus de l'objectif D2.O2.B. 
 

Il est attendu dans le D2.O2.A que le candidat transmette une politique de sauvegarde couvrant l'ensemble de son système d'information. La politique de sauvegarde énumère les règles de sauvegarde s’appliquant à chaque type de données. 

Par conséquent, si un type de donnée fait l’objet de règles spécifiques, cette politique doit en faire mention.
 

L’objectif D2.01.D vise à tester l’application du PCRA pour en identifier les difficultés rencontrées dans sa mise en œuvre, tirer des retours d’expériences et permettre l’amélioration de la préparation opérationnelle du candidat en cas d’indisponibilité. Dans la mesure où une panne est par essence imprévisible et engage un risque fort pour la continuité d’activité, il est vraisemblable que le candidat n’a pas pu identifier et formaliser l’ensemble des difficultés rencontrées dans l’application du PCRA.

Nous invitons donc les candidats à définir un scénario de test et à organiser un exercice de terrain. Par ailleurs, il est rappelé que la validation de l’objectif D2.01.D repose également sur la formalisation d’un planning de réalisation des exercices portant sur les autres scénarios d’indisponibilité. 
 

Pour justifier de l’atteinte de l’objectif, le candidat doit fournir : 

• un inventaire complet des applications en mode SaaS, en précisant pour chacune si un PAS a été obtenu ;
• deux PAS présentés à titre d’exemple.

Les vérificateurs pourront, le cas échéant, demander la transmission d’autres PAS cités dans l’inventaire.
L’exigence s’applique bien à toutes les applications SaaS et sauvegardes externalisées relevant du SI de l’établissement, indépendamment des domaines fonctionnels considérés.