FAQ Structure médico-sociale

Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).

Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2

Oui. Une gouvernance mutualisée peut être mise en place dès lors que son périmètre est clairement défini et que les établissements concernés sont identifiés dans les documents transmis.

Non. Aucun taux minimal de signatures ou d’accusés de réception n’est attendu. L’atteinte de l’objectif peut être démontrée par la production de la charte, accompagnée d’éléments décrivant ses modalités de diffusion et de prise de connaissance par les personnels concernés.

Oui. Les justificatifs peuvent porter, dans un premier temps, sur le périmètre des structures concerné par le POC. Le déploiement de la charte à l’ensemble des établissements de l’organisme pourra être réalisé progressivement dans un second temps.

Oui, les ESSMS rattachés à un GHT/entité juridique sanitaire peuvent candidater au POC dès lors que la candidature porte exclusivement sur le périmètre médico-social.

Toutefois, dans leur réflexion de candidature, les structures doivent tenir compte des financements éventuellement déjà perçus par le GHT/entité juridique sanitaire, notamment dans le cadre des domaines 1 et/ou 2 du programme CaRE. Lorsque les ESSMS ont bénéficié de ces financements au travers de systèmes d’information mutualisés, certains objectifs du POC peuvent d’ores et déjà être considérés comme partiellement ou totalement couverts.

Dans ce contexte :
• pour les objectifs obligatoires du POC, compte tenu du caractère forfaitaire du financement, se positionner sur un parcours avec des objectifs déjà couverts par des financements GHT/entité juridique sanitaire peut rendre la candidature peu pertinente, voire difficile à justifier ;
• pour les objectifs facultatifs, en revanche, les ESSMS peuvent tout à fait candidater en choisissant des objectifs distincts de ceux ayant déjà fait l’objet de financements antérieurs.

Il est attendu que les candidats décrivent de manière particulièrement explicite, dans leur dossier, la stricte distinction entre les périmètres sanitaire et médico-social, en précisant notamment si les ESSMS candidats ont déjà bénéficié de travaux menés par le GHT/entité juridique sanitaire sur la cyber (par exemple sur l’Active Directory dans le cadre du domaine 1 de CaRE).

À ce titre, les candidatures d’ESSMS rattachés à une entité juridique à dominante sanitaire ou à un GHT feront l’objet d’une vigilance renforcée lors de l’instruction, afin de s’assurer de l’absence de double financement sur des thématiques identiques.

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

Le domaine AAP MS vise à accompagner les structures du secteur médico-social dans l’amélioration de leur niveau de cybersécurité, autour des objectifs suivants :
1) Améliorer la résilience des systèmes d’information (détection, réponse et reprise après attaque) ;
2) Réduire l’exposition des structures aux menaces cyber ;
3) Sensibiliser les professionnels du secteur à la cybersécurité ;
4) Favoriser la mutualisation afin de doter les structures de ressources en sécurité des systèmes d’information (SSI) ;
5) Assurer la conformité réglementaire, notamment au regard de la directive NIS2.

Conçu de manière itérative, en concertation avec la task force cyber, les ARS, les Centres Régionaux de Ressources Cyber et les fédérations du secteur, ce dispositif couvrira l’ensemble des thématiques du programme CaRE.

L’appel à projets sera déployé de manière progressive jusqu’en 2027, avec plusieurs phases :
Phase 1 – POC (Proof of Concept) : phase exploratoire visant à tester le dispositif, limitée à environ 21 structures lauréates;

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Oui. Dans le cadre d’une candidature portée par un groupement, l’organisme gestionnaire (OG) peut être désigné comme structure porteuse du projet, y compris lorsque plusieurs établissements et services sociaux et médico‑sociaux (ESSMS) sont impliqués.

L’organisme gestionnaire agit alors pour le compte de l’ensemble des ESSMS concernés par le périmètre du projet et assume la responsabilité du pilotage, de la coordination et de la mise en œuvre des actions au titre de l’appel à projets.

Lorsque l’organisme gestionnaire repose sur plusieurs entités juridiques, l’entité juridique principale devra être renseignée comme structure porteuse de la candidature.

Il est fortement recommandé, dans le cadre des travaux du POC, d’embarquer l’ensemble des entités géographiques éligibles relevant d’une même entité juridique, d’un groupement ou d’un organisme gestionnaire.

Toutefois, les candidats conservent la possibilité de limiter leur candidature à un nombre restreint d’ESSMS, s’ils estiment que cela est plus pertinent au regard de leur organisation ou de leur maturité.

Les entités juridiques, groupements et organismes gestionnaires sont néanmoins invités à faire preuve d’une vigilance particulière au regard du principe de non‑double financement. En effet, il pourra s’avérer complexe, à terme, de distinguer précisément les entités géographiques ayant bénéficié – ou non – de financements dans le cadre du POC de l’AAP.

À titre d’exemple, dès lors que certains ESSMS rattachés à une même entité juridique auront participé au POC, l’ensemble des ESSMS de cette entité pourra être considéré comme ayant bénéficié de travaux sur les thématiques concernées, et ne serait alors plus éligible à de nouveaux financements portant sur les mêmes sujets. Cette approche relève d’une gestion de précaution.

Oui, il est possible de soumettre un document justificatif à la maille d'une direction commune. Dans ce cas, la pièce justificative fournie par le candidat devra préciser la liste des structures inclues dans la direction commune concernées par le document.

La date limite de candidature est fixée au 4 juin 2026.

Oui, c'est possible. Cependant, il est important de noter qu'un dossier ne peut pas avoir deux référents simultanément. Une fois le dossier transféré au nouveau référent, qui doit d'abord créer son compte eCaRE, l'ancien référent n'y aura plus accès. La procédure de réaffectation est détaillée dans le guide d'utilisation eCaRE pour les établissements de santé, disponible sur la page d'accueil de la plateforme Convergence (https://convergence.esante.gouv.fr/).

Pour en savoir plus : https://esante.gouv.fr/essms/cybersecurite

L’ANS pourra vous solliciter si elle juge votre dossier incomplet et ainsi vous donner la main sur votre dossier pour apport de compléments.
Toutefois, l’ANS sera sensible à la complétude des dossiers dès le premier dépôt pour la sélection des lauréats.

La phase opérationnelle est définie entre les périodes suivantes :
• la date de publication du cahier des charges : 31 mars 2026 ;
• la date du dépôt de la déclaration d’atteinte des objectifs par le candidat sur le guichet dédié.

Non, il n’est pas possible de modifier les coordonnées du DSI et/ou du RSSI directement sur la plateforme eCaRE, après la soumission de la candidature.
En cas de changement de coordonnées, vous pouvez le signaler au support de l’ANS via le lien suivant : Contact | Agence du Numérique en Santé

Tout changement de statut du dossier génère automatiquement une notification par email adressée au référent CaRE.

Ces emails sont envoyés depuis l’adresse nepasrepondre.care@esante.gouv.fr. Il est donc recommandé de vérifier que cette adresse n’est pas bloquée par vos filtres ou ajoutée à une liste d’expéditeurs indésirables.