Conformément au guide des objectifs et prérequis, un test de continuité d'activité (PCA) est attendu dans le cadre de l'objectif D2.O1.C. Il n'est donc pas requis de tester les dispositifs de reprise d'activité dans le cadre dudit objectif. Par ailleurs, et bien que l’ANS recommande vivement de réaliser le test de continuité d’activité sur l’ensemble des risques d’indisponibilité, le guide des objectifs et prérequis précise que le test doit être réalisé sur « au moins » une activité. Les candidats n’ont donc pas l’obligatoire de faire porter le test sur le risque d’indisponibilité informatique. 

Le test PCA est un exercice terrain qui « simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques » afin de tester la mise en œuvre des solutions de continuité d’activité à l’échelle des services.
C’est donc bien une simulation d’arrêt (d’un service, d’une ressource ou d’un périmètre défini), réalisée de manière contrôlée, pour vérifier l’efficacité du PCA et recueillir un retour d’expérience.
Il est rappelé que les PCA attendus au titre de l'objectif D2.O2.C portent sur le scénario d’indisponibilité numérique et un second scénario d’indisponibilité au choix de l'établissement.

L'exercice peut être réalisé sur tout domaine (au-delà des deux abordés dans l'objectif D2.O1.B), mais la transmission du PCA utilisé et du cas de test est requise.
 

Le test de continuité d'activité doit avoir été réalisé durant la phase opérationnelle du domaine, c'est à dire entre la date de publication de l'arrêté et la date de clôture du guichet de preuve.

De la même manière, les dépenses éligibles doivent être associées à des engagements et factures obtenus durant la phase opérationnelle.
 

Dans le cas d’un SI mutualisé, un PCA unique peut être réalisé concernant la prise en compte du risque numérique. Le PCA doit néanmoins prendre en compte les spécificités organisationnelles de chaque établissement utilisant le SI mutualisé, et pourra inclure ces éléments au sein d’un PCA unique.

La réalisation d'un exercice de test PCA portant sur un périmètre inclus dans le SI mutualisé répond à l'exigence de réalisation d'un exercice de continuité d'activité (i.e. la réalisation d'un test minimum est attendu dans le cadre de cet objectif).

Le test doit être réalisé à l’échelle d’un service : si les services d’une entité A et d’une entité B s’appuient sur un même SI mutualité, alors le test doit être réalisé sur chacun des services des deux entités. Le scénario de test doit être identique et il est recommandé de réaliser simultanément sur les sites concernés. 

Il est rappelé que le test doit avoir été réalisé sur un nombre d’établissements (juridiques pour un GHT, ou géographique pour un candidat privé) représentant au moins 66% de l'activité du candidat.
 

Les tests relatifs au PCA sont spécifiques et visent à mettre en pratique les processus opérationnelles de continuité et de reprise d'activité au niveau des services. L’obligation de réalisation d’un exercice de crise cyber ne peut donc pas être remplie par la réalisation d’un exercice de terrain du PCA. 
La seule réalisation d'un exercice de crise cyber ne permet donc pas la validation de l'objectif D2.O1.D : le candidat doit simuler un risque d'indisponibilité au sein des services, et activer les processus de continuité d'activité. Le candidat peut en revanche mutualiser l’exercice de crise cyber et le test PCRA, dès lors que l’exercice couvre explicitement les attendus propres à chacun de ces dispositifs. 
Par ailleurs, la validation de l'objectif D2.O1.D repose sur (i) la formalisation d'un retour d'expérience suite à l'exercice incluant un plan d'amélioration du PCA, et (ii) la soumission d'un planning de réalisation des tests sur l'ensemble des activités critiques. 
Des kits d’exercices de crise cyber prêts à l’emploi sont disponibles sur le site de l’ANS au lien suivant :
https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1
Il est en revanche possible de réaliser simultanément un exercice de cybercrise (dans le format connu, et notamment exigé au titre du Domaine 1) et un exercice de continuité d'activité au sein des services. 

Un test PCA ou exercice terrain simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques et teste la mise en œuvre des solutions de continuité d’activité à l’échelle des services de soins (niveau opérationnel). Il est également possible d’y éprouver la coordination et la conduite (niveau tactique) ainsi que le pilotage (niveau stratégique).

Des ressources méthodologiques sont mises à disposition par l’ANS et accessibles au lien suivant : https://esante.gouv.fr/media/12261

Il est fortement recommandé de réaliser un test portant sur les 4 scénarios d'indisponibilités listés dans le kit PCA / PRA proposé par l’ANS : indisponibilité des ressources humaines, indisponibilité bâtimentaires, indisponibilité des fournisseurs et indisponibilité informatique.  

Toutefois, la validation de l’objectif D2.O1.D repose sur la conduite d’un seul exercice de continuité d’activité, libre de choix par le candidat. L’ANS recommande néanmoins de réaliser un test abordant simultanément plusieurs scénarios d’indisponibilité. 

-    Pour les GHT avec plusieurs entités juridiques : le test du PCA doit être réalisé pour un nombre d’entité juridique représentant au moins 66% de l’activité combinée du candidat ; 
-    Pour les structures (hors GHT) ayant plusieurs entités géographiques : le test du PCA doit être réalisé pour un nombre d’entité géographique représentant au moins 66% de l’activité combinée du candidat. 

Le test doit avoir être réalisé durant la phase opérationnelle de l'appel à financement, et un calendrier de planification des autres tests doit être soumis. Il n’est pas nécessaire de signer les documents justificatifs de réalisation du test. En revanche, il sera nécessaire fournir le PCA utilisé (s’il n’a pas déjà été soumis dans le cadre de l’objectif D2.O1.C), le scénario de test mis en œuvre ainsi qu’un retour d’expériences du test intégrant un plan d’amélioration continue. 

Le "Fichier BIA_SCA_CRA" permet d'outiller les candidats dans la démarche de réalisation du BIA et d’identification des solutions de continuité d’activité.

Il est possible de soumettre le fichier Excel en réponse à la production du BIA pour chacun des périmètres a minima en réponse à l'attendu.

Les onglets successifs de "scénario" (par risque d'indisponibilité) peuvent servir d’appui dans la définition et la formalisation des dispositifs de continuité d'activité.
Néanmoins, la transmission unique de la trame Excel ne saurait constituer un PCRA, qui doit être un document détaillé et directement applicable par les équipes. La trame transmise peut donc être recevable au titre du « BIA » mais pas du « PCRA » attendu.

Dans le cas exclusif où les dispositifs de continuité d’activité relevant d’un service porté par un autre établissement (par exemple, un GCS ou un établissement tiers avec lequel une activité est mutualisée) étaient en partie mis en œuvre opérationnellement par les équipes du candidat alors il est possible que le candidat réalise un BIA/PCRA sur ce périmètre.

Auquel cas, nous invitons à la plus grande vigilance dans le cadre de la déclaration de vos dépenses éligibles afin de prévenir toute « double déclaration » de travaux qui seraient également mis en avant par d’autres candidats (i.e. le GCS ou un établissement tiers).

Dans le cas où les dispositifs de continuité d’activité seraient exclusivement mis en œuvre par les équipes tierces portant le service mutualisé, alors il ne sera pas admis que le candidat réalise un BIA/PCRA sur ce périmètre a minima.

L'évaluation de la criticité d'un processus est de la responsabilité du candidat au regard de sa connaissance des spécificités de son contexte. Dans le cadre de l'objectif D2.O1.C, le candidat doit transmettre un document décrivant les activités critiques sur les périmètres à minima.

La justification de la criticité des périmètres sélectionnés n'est pas requise. De même, le choix des scénarios d’indisponibilité traités (au-delà de celui d’indisponibilité des SI qui est requis) pour chaque service critique relève de la responsabilité du candidat, au regard de sa connaissance des spécificités de son contexte, et il n’est pas attendu qu’il soit justifié.

Non, la validation de l'objectif D2.O1.C repose sur la transmission du BIA et du PCRA établi sur a minima le périmètre de trois activités critiques (i.e. service de soins, plateau technique, processus administration) et de la liste des activités critiques identifiées. La transmission d'un plan d'action n'est pas acceptée. 

La définition des objectifs stratégiques du dispositif de continuité d’activité relève de la responsabilité du candidat au regard des spécificités de son contexte et des cibles qu’il définit dans le cadre de sa démarche. La transmission d’objectifs uniquement qualitatifs constitue l’attendu minimal, bien qu’il soit recommandé que le candidat puisse définir des cibles quantitatives lorsque cela est possible, et ce dans une démarche de pilotage de son dispositif de continuité d’activité. 
Des illustrations d’objectifs stratégiques sont fournies dans le guide PCRA mis à disposition par l’ANS accessible au :
https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip
Pour rappel, la transmission d’un PCRA cadre est recommandée bien qu’elle ne soit pas requise à l’atteinte de l’objectif D2.O1.C. 

Si un plateau technique est mutualisé, il est possible de réaliser un seul BIA au titre de cet attendu pour l'ensemble des EG concernées. Le candidat devra veiller à ce que l’analyse d’impact et les dispositifs de continuité d’activité définis intègrent les spécificités propres à chacun des EG considérés. Il devra également indiquer le périmètre des EG couverts dans les documents justificatifs (i.e. BIA et PCRA) transmis.

Le candidat doit réaliser un BIA et un PCRA (en réponse à l’objectif D2.O1.C) sur chacun des périmètres a minima (i.e. un service de soin, un plateau technique, le processus administratif le plus critique) couvrant au moins 66% de son activité combinée (analysée à la maille des structures juridiques pour les candidats GHT, et de la maille des structures géographiques pour les autres candidats). 
Il est à noter que les entités considérées par le candidat pour la réalisation du BIA / PCRA peuvent différer selon les périmètres. Les activités considérées pour chacun des périmètres peuvent être différentes d’un établissement à l’autre (par exemple, il est possible au titre du BIA/PCRA sur un service de soin de considérer (i) le service d’oncologie sur une entité, et (ii) le service de cardiologie pour une autre entité). 

Dans le cadre de l'objectif D2.O1.C, les attendus sont les suivants :

• le candidat doit réaliser un BIA puis formaliser un PCRA par activité critique (au minimum : un service de soins, un processus administratif critique, un plateau technique, soit au moins 4 PCRA) ;
• chaque PCRA décrit les solutions de continuité et de reprise propres à l’activité considérée ;
• le candidat doit également soumettre le PCRA cadre, qui est le plan de réponse du niveau stratégique en cas d’évènement perturbateur. Il n’est pas demandé de produire un PCA global unique couvrant toutes les activités. 

L’exigence est bien la formalisation du PCA cadre et des PCRA par activité critique identifiée dans le BIA.