FAQ Etablissement de santé

L’objectif D2.01.D vise à tester l’application du PCRA pour en identifier les difficultés rencontrées dans sa mise en œuvre, tirer des retours d’expériences et permettre l’amélioration de la préparation opérationnelle du candidat en cas d’indisponibilité. Dans la mesure où une panne est par essence imprévisible et engage un risque fort pour la continuité d’activité, il est vraisemblable que le candidat n’a pas pu identifier et formaliser l’ensemble des difficultés rencontrées dans l’application du PCRA.

Nous invitons donc les candidats à définir un scénario de test et à organiser un exercice de terrain. Par ailleurs, il est rappelé que la validation de l’objectif D2.01.D repose également sur la formalisation d’un planning de réalisation des exercices portant sur les autres scénarios d’indisponibilité. 
 

Pour justifier de l’atteinte de l’objectif, le candidat doit fournir : 

• un inventaire complet des applications en mode SaaS, en précisant pour chacune si un PAS a été obtenu ;
• deux PAS présentés à titre d’exemple.

Les vérificateurs pourront, le cas échéant, demander la transmission d’autres PAS cités dans l’inventaire.
L’exigence s’applique bien à toutes les applications SaaS et sauvegardes externalisées relevant du SI de l’établissement, indépendamment des domaines fonctionnels considérés.
 

Conformément au guide des objectifs et prérequis, un test de continuité d'activité (PCA) est attendu dans le cadre de l'objectif D2.O1.C. Il n'est donc pas requis de tester les dispositifs de reprise d'activité dans le cadre dudit objectif. Par ailleurs, et bien que l’ANS recommande vivement de réaliser le test de continuité d’activité sur l’ensemble des risques d’indisponibilité, le guide des objectifs et prérequis précise que le test doit être réalisé sur « au moins » une activité. Les candidats n’ont donc pas l’obligatoire de faire porter le test sur le risque d’indisponibilité informatique. 

Le test PCA est un exercice terrain qui « simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques » afin de tester la mise en œuvre des solutions de continuité d’activité à l’échelle des services.
C’est donc bien une simulation d’arrêt (d’un service, d’une ressource ou d’un périmètre défini), réalisée de manière contrôlée, pour vérifier l’efficacité du PCA et recueillir un retour d’expérience.
Il est rappelé que les PCA attendus au titre de l'objectif D2.O2.C portent sur le scénario d’indisponibilité numérique et un second scénario d’indisponibilité au choix de l'établissement.

L'exercice peut être réalisé sur tout domaine (au-delà des deux abordés dans l'objectif D2.O1.B), mais la transmission du PCA utilisé et du cas de test est requise.
 

Le test de continuité d'activité doit avoir été réalisé durant la phase opérationnelle du domaine, c'est à dire entre la date de publication de l'arrêté et la date de clôture du guichet de preuve.

De la même manière, les dépenses éligibles doivent être associées à des engagements et factures obtenus durant la phase opérationnelle.
 

Dans le cas d’un SI mutualisé, un PCA unique peut être réalisé concernant la prise en compte du risque numérique. Le PCA doit néanmoins prendre en compte les spécificités organisationnelles de chaque établissement utilisant le SI mutualisé, et pourra inclure ces éléments au sein d’un PCA unique.

La réalisation d'un exercice de test PCA portant sur un périmètre inclus dans le SI mutualisé répond à l'exigence de réalisation d'un exercice de continuité d'activité (i.e. la réalisation d'un test minimum est attendu dans le cadre de cet objectif).

Le test doit être réalisé à l’échelle d’un service : si les services d’une entité A et d’une entité B s’appuient sur un même SI mutualité, alors le test doit être réalisé sur chacun des services des deux entités. Le scénario de test doit être identique et il est recommandé de réaliser simultanément sur les sites concernés. 

Il est rappelé que le test doit avoir été réalisé sur un nombre d’établissements (juridiques pour un GHT, ou géographique pour un candidat privé) représentant au moins 66% de l'activité du candidat.
 

Les tests relatifs au PCA sont spécifiques et visent à mettre en pratique les processus opérationnelles de continuité et de reprise d'activité au niveau des services. L’obligation de réalisation d’un exercice de crise cyber ne peut donc pas être remplie par la réalisation d’un exercice de terrain du PCA. 
La seule réalisation d'un exercice de crise cyber ne permet donc pas la validation de l'objectif D2.O1.D : le candidat doit simuler un risque d'indisponibilité au sein des services, et activer les processus de continuité d'activité. Le candidat peut en revanche mutualiser l’exercice de crise cyber et le test PCRA, dès lors que l’exercice couvre explicitement les attendus propres à chacun de ces dispositifs. 
Par ailleurs, la validation de l'objectif D2.O1.D repose sur (i) la formalisation d'un retour d'expérience suite à l'exercice incluant un plan d'amélioration du PCA, et (ii) la soumission d'un planning de réalisation des tests sur l'ensemble des activités critiques. 
Des kits d’exercices de crise cyber prêts à l’emploi sont disponibles sur le site de l’ANS au lien suivant :
https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1
Il est en revanche possible de réaliser simultanément un exercice de cybercrise (dans le format connu, et notamment exigé au titre du Domaine 1) et un exercice de continuité d'activité au sein des services. 

Un test PCA ou exercice terrain simule en temps réel l’indisponibilité d’une ou plusieurs ressources critiques et teste la mise en œuvre des solutions de continuité d’activité à l’échelle des services de soins (niveau opérationnel). Il est également possible d’y éprouver la coordination et la conduite (niveau tactique) ainsi que le pilotage (niveau stratégique).

Des ressources méthodologiques sont mises à disposition par l’ANS et accessibles au lien suivant : https://esante.gouv.fr/media/12261

Il est fortement recommandé de réaliser un test portant sur les 4 scénarios d'indisponibilités listés dans le kit PCA / PRA proposé par l’ANS : indisponibilité des ressources humaines, indisponibilité bâtimentaires, indisponibilité des fournisseurs et indisponibilité informatique.  

Toutefois, la validation de l’objectif D2.O1.D repose sur la conduite d’un seul exercice de continuité d’activité, libre de choix par le candidat. L’ANS recommande néanmoins de réaliser un test abordant simultanément plusieurs scénarios d’indisponibilité. 

-    Pour les GHT avec plusieurs entités juridiques : le test du PCA doit être réalisé pour un nombre d’entité juridique représentant au moins 66% de l’activité combinée du candidat ; 
-    Pour les structures (hors GHT) ayant plusieurs entités géographiques : le test du PCA doit être réalisé pour un nombre d’entité géographique représentant au moins 66% de l’activité combinée du candidat. 

Le test doit avoir être réalisé durant la phase opérationnelle de l'appel à financement, et un calendrier de planification des autres tests doit être soumis. Il n’est pas nécessaire de signer les documents justificatifs de réalisation du test. En revanche, il sera nécessaire fournir le PCA utilisé (s’il n’a pas déjà été soumis dans le cadre de l’objectif D2.O1.C), le scénario de test mis en œuvre ainsi qu’un retour d’expériences du test intégrant un plan d’amélioration continue. 

Le "Fichier BIA_SCA_CRA" permet d'outiller les candidats dans la démarche de réalisation du BIA et d’identification des solutions de continuité d’activité.

Il est possible de soumettre le fichier Excel en réponse à la production du BIA pour chacun des périmètres a minima en réponse à l'attendu.

Les onglets successifs de "scénario" (par risque d'indisponibilité) peuvent servir d’appui dans la définition et la formalisation des dispositifs de continuité d'activité.
Néanmoins, la transmission unique de la trame Excel ne saurait constituer un PCRA, qui doit être un document détaillé et directement applicable par les équipes. La trame transmise peut donc être recevable au titre du « BIA » mais pas du « PCRA » attendu.

Dans le cas exclusif où les dispositifs de continuité d’activité relevant d’un service porté par un autre établissement (par exemple, un GCS ou un établissement tiers avec lequel une activité est mutualisée) étaient en partie mis en œuvre opérationnellement par les équipes du candidat alors il est possible que le candidat réalise un BIA/PCRA sur ce périmètre.

Auquel cas, nous invitons à la plus grande vigilance dans le cadre de la déclaration de vos dépenses éligibles afin de prévenir toute « double déclaration » de travaux qui seraient également mis en avant par d’autres candidats (i.e. le GCS ou un établissement tiers).

Dans le cas où les dispositifs de continuité d’activité seraient exclusivement mis en œuvre par les équipes tierces portant le service mutualisé, alors il ne sera pas admis que le candidat réalise un BIA/PCRA sur ce périmètre a minima.

L'évaluation de la criticité d'un processus est de la responsabilité du candidat au regard de sa connaissance des spécificités de son contexte. Dans le cadre de l'objectif D2.O1.C, le candidat doit transmettre un document décrivant les activités critiques sur les périmètres à minima.

La justification de la criticité des périmètres sélectionnés n'est pas requise. De même, le choix des scénarios d’indisponibilité traités (au-delà de celui d’indisponibilité des SI qui est requis) pour chaque service critique relève de la responsabilité du candidat, au regard de sa connaissance des spécificités de son contexte, et il n’est pas attendu qu’il soit justifié.

Non, la validation de l'objectif D2.O1.C repose sur la transmission du BIA et du PCRA établi sur a minima le périmètre de trois activités critiques (i.e. service de soins, plateau technique, processus administration) et de la liste des activités critiques identifiées. La transmission d'un plan d'action n'est pas acceptée. 

La définition des objectifs stratégiques du dispositif de continuité d’activité relève de la responsabilité du candidat au regard des spécificités de son contexte et des cibles qu’il définit dans le cadre de sa démarche. La transmission d’objectifs uniquement qualitatifs constitue l’attendu minimal, bien qu’il soit recommandé que le candidat puisse définir des cibles quantitatives lorsque cela est possible, et ce dans une démarche de pilotage de son dispositif de continuité d’activité. 
Des illustrations d’objectifs stratégiques sont fournies dans le guide PCRA mis à disposition par l’ANS accessible au :
https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip
Pour rappel, la transmission d’un PCRA cadre est recommandée bien qu’elle ne soit pas requise à l’atteinte de l’objectif D2.O1.C. 

Si un plateau technique est mutualisé, il est possible de réaliser un seul BIA au titre de cet attendu pour l'ensemble des EG concernées. Le candidat devra veiller à ce que l’analyse d’impact et les dispositifs de continuité d’activité définis intègrent les spécificités propres à chacun des EG considérés. Il devra également indiquer le périmètre des EG couverts dans les documents justificatifs (i.e. BIA et PCRA) transmis.