La base des établissements éligibles mis à disposition sur le site (accessible au lien suivant) de l’Agence du Numérique en Santé précise l’activité de chacune des entités géographiques associés à une entité juridique éligible au domaine. Les candidats sont invités à utiliser ces données pour vérifier que le périmètre d’entité considéré pour la réalisation des BIA / PCRA est conforme à l’objectif de 66% d’activité combinée définie pour les objectifs D2.O1.C et D2.O1.D. 

Le Plan Blanc est un dispositif de crise qui permet à un établissement de santé de mobiliser immédiatement les moyens de toute nature dont il dispose en cas d’afflux de patients, ou pour faire face à une situation sanitaire exceptionnelle.

Le Plan de Continuité et de Reprise d’Activité (PCRA) est un plan de réponse du niveau stratégique en cas d’événement perturbateur entraînant une indisponibilité d’une ou plusieurs ressources critiques.

Le PCRA est complémentaire au Plan Blanc. Si ces deux documents peuvent intégrer certaines procédures conjointes, un Plan Blanc ne constitue pas un PCRA.

Le PCA et le PRA portent sur les aspects métiers et organisationnels de l'établissement, au-delà de l'aspect informatique seul.
Il est fortement recommandé de traiter les 4 scénarios d'indisponibilités listés dans le kit PCA / PRA proposé par l’ANS : indisponibilité des ressources humaines, indisponibilité bâtimentaires, indisponibilité des fournisseurs et indisponibilité informatique.

Toutefois, seul le traitement du scénario d'indisponibilité des systèmes d’information et d'un second scénario au choix sont obligatoires pour atteindre les objectifs du D2.O1.C.

Le schéma de gouvernance attendu pour un candidat doit intégrer les dispositions organisationnelles mises en œuvre pour l'ensemble des entités juridiques/géographiques parties au groupement. A ce titre, un candidat peut à son choix : 
-    Proposer un schéma de gouvernance unique, défini au niveau du candidat, et portant les spécificités propres à chacun des établissements partis au groupement ; 
-    Proposer un schéma de gouvernance pour chacune des entités juridiques/géographiques parties au groupement ; 
-    Proposer, un schéma de gouvernance "chapeau" à l'échelle du candidat, lui-même décliné dans des schémas de gouvernance pour chacune des entités juridiques/géographiques parties au groupement. Ce dernier cas constitue une situation cible mais n'est pas exigé dans le cadre de la réponse à l'objectif.  

Un système d’information peut être qualifié de SI mutualisé lorsqu’il est utilisé par plusieurs établissements d’un même candidat dans une organisation commune. 
La mutualisation ne repose pas uniquement sur l’utilisation d’un même logiciel, mais sur l’existence de pratiques homogènes et convergentes, notamment en matière de sauvegarde et de restauration. Un SI est considéré comme mutualisé lorsqu’il repose sur une instance unique, ou lorsque le même applicatif est déployé avec la même version, le même paramétrage et une organisation commune. 
Des instances indépendantes gérées séparément ne constituent pas un SI mutualisé. Lorsque le SI est mutualisé, les politiques et plans associés peuvent être établis à l’échelle du service mutualisé, sous réserve que leur périmètre soit clairement précisé. 

L’organisation du dispositif de gouvernance constitue en effet l’un des éléments constitutifs du PCRA cadre attendu au titre du D2.O2.C.

Pour autant, l’atteinte de cet objectif repose sur des éléments complémentaires tels que la présentation de l’équipe projet ou la formalisation du macro-planning. Le candidat est libre de présenter l’organisation qui lui apparaît la plus appropriée, et l’équipe projet peut donc intégrer des collaborateurs spécifiques par périmètres adressés.

L'équipe projet, définie en réponse à cet objectif, constituera l'équipe pérenne sur les chantiers de renforcement de la continuité d’activité. Elle diffère, en ce sens, de l'équipe proposée en réponse au prérequis D2.P2 qui est chargée quant à elle des travaux nécessaires à l’atteinte des objectifs de l’objectif D2.O1.
 

La constitution de l'équipe projet est demandée dans le prérequis D2.P2. L'équipe projet rassemble les personnes qui seront impliquées dans l’atteinte des objectifs du domaine. 
Le comité de pilotage doit quant à lui s'inscrire dans une gouvernance pérenne de la continuité et la reprise d'activité au-delà de la réalisation du domaine. Le candidat est libre du choix des participants de cette instance, qui peut intégrer des membres de l’équipe projet et/ou suivre les recommandations indiquées dans le kit PCRA mis à disposition. 

Non, le schéma de gouvernance met en lumière les instances et collaborateurs engagés dans une démarche de mise en place pour la continuité et reprise d'activité (attendu au titre de l’objectif D2.O1.A) alors que le PCRA cadre (qui peut être soumis, de manière non requise, en réponse au D2.O1.C) est le plan de réponse du niveau stratégique en cas d’évènement perturbateur.

L’objectif D2.O1.B porte sur l’intégration du volet cyber dans le plan blanc, incluant notamment les modalités de signalement suivantes :

• les modalités de signalement montantes correspondent aux processus organisant la remontée en interne et vers les autorités externes compétentes (par exemple : ANSSI, ARS, CERT Santé) en cas d’incident ;
• les modalités de signalement descendantes correspondent aux processus organisant la prise en compte et le traitement d’une alerte reçue.
   

Si le volet numérique du plan blanc s’appuie sur le PCRI et intègre clairement les risques numériques (cellule de crise, modalités de signalement), alors l'exigence peut être atteinte. Auquel cas, l'établissement sera invité à transmettre son PCRI en tant que document justificatif.

Néanmoins, la mention unique du PCRI - sans lien explicite avec le plan blanc, et sans prise en compte des impacts sur les processus métier, ne permet pas l'atteinte de l'objectif.
 

La soumission d'un "plan blanc" couvrant plusieurs entités juridiques différentes est autorisée au titre de l'objectif.

Le candidat devra veiller à ce que le document précise son périmètre d'application et intègre - le cas échéant - les spécificités des différentes structures. 
 

Dans le cadre d'atteinte de l'objectifs D2.O1.B "Décrire les procédures de réponse à la gestion de la crise cyber", il est demandé d'intégrer les risques numériques au plan blanc. 
Ces modalités de réponse doivent s'entendre comme des modalités organisationnelles et de gouvernance de la gestion de la crise cyber (). La description des actions techniques à un incident n'est pas attendue dans le plan blanc, et ce dans la mesure où elle relève des autres dispositifs tels que PCA/PRA/procédures de réponse à la gestion de la crise cyber /etc. 
À ce titre, il est recommandé que le plan blanc (ou son extrait) puisse permettre d’identifier : 
•    la prise en compte explicite du risque numérique comme un type de crise à part entière ; 
•    les conditions de déclenchement d’une gestion de crise cyber ; 
•    l’organisation de la cellule de crise en cas d’incident numérique (rôles, pilotage, articulation avec la 
direction et le SI) ; 
•    les principes généraux de gestion de la crise (coordination, communication, signalement). 

Dans le cadre de l'objectif de continuité d'activité, deux documents sont à différencier : 

• le BIA, c'est-à-dire le document résultant de l’analyse de l’impact d’une perturbation sur la conduite des activités de l’établissement (et ce, selon la cause de la perturbation : SI, RH, locaux, fournisseurs). L’évaluation de la criticité d’une activité fait partie des travaux préparatoires à la rédaction d’un BIA ;
• le PCRA, c'est à dire le document opérationnel décrivant les solutions de continuité et/ou de reprise mises en place pour chaque activité critique identifiée.

La fiche de synthèse issue du BIA permet l'identification des activités critiques, mais ne permet pas seule de répondre à l'objectif.

Il est nécessaire que l'établissement définisse son plan de continuité et de reprise d'activité sur le périmètre critique identifié grâce au BIA.
 

Un « périmètre » correspond à une activité critique ou une fonction identifiée comme devant faire l’objet d’un PCA/PRA suite à la réalisation d'un BIA.

A titre d’exemple, un périmètre peut être : un service de soins, un plateau technique, un processus administratif.
 

Le candidat doit formaliser le PCRA sur les activités critiques ayant fait l’objet d’un BIA. La qualification du périmètre auquel est rattaché un processus métier est au choix de l'établissement.

Les plateaux techniques communément admis dans la section d’analyse médicotechnique sont les suivantes : blocs opératoires, bloc gynéco-obstétrical, anesthésiologie, laboratoire d’analyse médicale biologique, laboratoire d’anatomo-pathologie, imagerie, médecine nucléaire, exploration fonctionnelle (cardio-vasculaire, pneumologique, d’urodynamique, autres), réadaptation et rééducation fonctionnelle polyvalente.
En complément, la pharmacie peut bien être considérée comme un plateau technique au titre de l’objectif.