FAQ Etablissement de santé

Ces services numériques sont désignés comme étant les services numériques "sensibles" définis dans le volet du référentiel consacré aux acteurs de santé personnes physiques. Ceci comprend les services partagés ou intégrant des services partagés, des services accessibles à distance, des services intégrant des traitements de données ou des accès de grande échelle.
Ce périmètre inclut en particulier :
- le DPI, accédant ou non au DMP ;
- la gestion administrative des patients (GAP) ;
- les services de biologie médicale ;
- les services de prise de rendez-vous ;
- les services de télémédecine ;
- les logiciels d'aide à la prescription (LAP) ;
- les logiciel de suivi de patients ;
- ...

Le répertoire RPPS est en phase d'extension (RPPS+) pour devenir le répertoire de référence de l'ensemble des professionnels de santé. Cependant certaines catégories de personnel d'une structure resteront inéligibles au RPPS, et nécessiteront alors le déploiement de moyens d'identification électronique alternatifs pour accéder à des services numériques en santé.

L'audit interne exigé dans le cadre de l'homologation de sécurité peut être réalisé par toute personne ou équipe d'audit disposant des compétences SSI en adéquation avec le sujet et le niveau de sécurité requis. Il peut s'agir d'une équipe interne à la structure ou d'un prestataire tiers compétent.

Le référentiel d'identification électronique ne définit pas de durée maximale afin de laisser chaque responsable de service juger, en fonction du contexte et des contraintes portant sur son service, de la durée optimale. Il doit s'agir d'un compromis justifié associé à un risque résiduel jugé acceptable.
La durée doit prendre en compte la vraisemblance d'usurpation d'identité qui découle de cette facilité, et il paraît a priori difficile de porter cette durée au-delà du temps de présence continue du professionnel dans l'environnement d'utilisation du moyen d'identification électronique.

Oui, les moyens dument homologués par une structure sont utilisables au-delà du 01/01/2026. La réauthentification par un seul des deux facteurs du moyen d’identification électronique est autorisée dans ce cadre et sous condition de respecter les exigences relatives à ce cas d'usage.
Le volet sans contact de la carte CPx peut être utilisé comme facteur de possession de la carte CPx si cette même carte a été utilisée pour l'identification électronique préalable à cette réauthentification.

Oui, le terminal d'exécution de l'application peut être considéré comme un facteur de possession à condition que la vérification d'utilisation effective de ce terminal soit assez fiable. Par exemple, les applications mobiles de génération de TOTP exploitent une clé cryptographique déposée sur le terminal au moment de l'enrôlement, et protégée par la suite, afin de s'assurer de la présence du terminal dans le processus d'authentification.

Une structure de santé est tenue d'homologuer tout moyen d'identification électronique qu'elle autorise sur l'un de ses services numérique dès lors qu'il ne s'agit pas d'un moyen mis à disposition par l'administration (CPS, e-CPS, ApCV) ou d'un moyen de niveau substantiel eIDAS.
L'homologation est alors obligatoire et à réaliser au plus tard pour le 1er janvier 2026, sous peine de devoir interdire le moyen d'identification électronique non homologué.

Le premier engagement doit être établi le plus tôt possible, et au plus tard avant le 31/05/2023 (fréquence annuelle).
La communication de cet engagement à l'ANS n'est pas demandée. L'engagement pourra être demandé dans le cadre de l'identification électronique indirecte ou d'autres interconnexions de SI, ou bien en cas d'audit de sécurité.

Le référentiel d'identification électronique s'adresse conjointement :
- aux structures de santé et aux professionnels de santé responsables d'un service numérique en santé, devant appliquer le référentiel pour l'accès à ces services
- aux structures de santé qui délivre des moyens d'authentification aux utilisateurs de services numériques en santé, chargées de vérifier l'adéquation de ces moyens avec les exigences du référentiel
- aux professionnels de santé qui se connectent à des services numériques en santé couverts par ce référentiel, en tant qu'utilisateurs devant employer des moyens d'authentification conformes.

Il est nécessaire d'analyser les facteurs d'authentification de chacune de ces méthodes afin de s'assurer qu'il s'agit bien de deux facteurs distincts et que cette association ne présente pas de risque inacceptable d'usurpation.
Par exemple, si l'ouverture du VPN est associée à la possession vérifiée d'un certain poste de travail, et que l'authentification applicative se fait par mot de passe, alors l'identification électronique est bien à deux facteurs et sa fiabilité dépend des caractéristiques de chaque authentification.
A contrario, l'ouverture du VPN par un mot de passe, associée à un autre mot de passe applicatif, ne constitue pas une authentification à deux facteurs distincts.

Dans le cadre du Ségur numérique programme SONS, des exigences sont en cours de définition à destination des éditeurs concernant notamment la mise en conformité avec le référentiel d'identification électronique.
Les structures peuvent obtenir des financements lorsqu'elles mettent en oeuvre des solutions référencées Segur.
En particulier, les DPI référencés Segur mettront à disponibilité les services nécessaires aux structures pour leur mise en conformité.

Non, même si les applications mobiles pour smartphone ou les OTP SMS permettent de construire des solutions d'authentification à deux facteurs, ce ne sont pas les seules. A titre d'exemple, sont utilisables des cartes à puce (cartes CPx ou cartes d'établissement), des clés USB (type clé FIDO2 U2F), des badges sans contact associés à un secret, voire des dispositifs exploitant une empreinte digitale (vérifiée localement) ou une autre donnée biométrique.

L'ANS propose de consulter en détail la présente Foire Aux Questions concernant le référentiel d'identification électronique, et renvoie les personnes intéressées aux webinaires déjà disponibles consacrés aux trois volets du référentiel.
L'ANS met de plus à disposition sur son site un formulaire de contact permettant en particulier de faire remonter des remarques concernant les référentiels de la PGSSI-S.

L'ANS met à disposition sur son site différents vecteurs de support aux structures de santé devant appliquer ses référentiels : Guides associés aux documents de la PGSSI-S, webinaires, foire aux questions, …
A consulter sur : https://esante.gouv.fr/ et https://industriels.esante.gouv.fr/

L'engagement de sécurisation des modalités d'identification électronique doit être signé par un responsable légal du fournisseur des services numériques en santé concernés, ou, à défaut, par un délégataire dûment habilité.