[Domaine 2] Est-ce que sur l’objectif D2.01, il est question du PCRA cadre, ou est-il attendu un PCA intégrant les BIA a minima ? Quels sont les documents attendus pour une candidature multi-entités juridiques ou géographiques ?

L’attendu minimal porte sur la formalisation du PCRA de chaque activité critique ayant fait l’objet d’un BIA et il est recommandé de fournir le PCRA cadre (dans le respect de la définition du kit PCA / PRA mis à disposition par l’ANS à l’adresse suivante : https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1Gouvernance et résilience | e-santé). Le tout peut constituer un document unique ou des documents disjoints complémentaires, aucun format n’étant imposé. L'atteinte de l’objectif D2.O1.C est validé selon les différentes typologies de candidats : Pour les GHT avec plusieurs entités juridiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités juridiques représentant au moins 66% de l'activité combinée du candidat. Pour les structures (hors-GHT) ayant plusieurs entités géographiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités géographiques représentant au moins 66% de l'activité combinée du candidat. Si un des périmètres retenus conformément à la liste dessus est applicable aux établissements constituant le candidat, alors le BIA et le PCRA peut être fourni à l’échelle du candidat.

[Domaine 2] D2.O3 Qu'entend-on par "sauvegarde immuable" dans l’objectif D2.O3.C ? Dans quelles conditions l’immuabilité de la sauvegarde est-elle acceptée (utilisation de bande, externalisation, sauvegarde dans un autre établissement membre du GHT ou d’u

Une sauvegarde est considérée immuable si, une fois écrit, son contenu ne peut plus être modifié ni supprimé (volontairement ou involontairement) pendant une durée définie. Cette immuabilité doit être garantie par la "technologie" (certifiée ou non / Implémentation de mécanismes internes ou produit déjà packagé), et non seulement par des procédures organisationnelles. Exemples considérés comme immuables : Bandes WORM (Write Once Read Many), Stockage objet avec verrouillage (Object Lock / mode WORM), Snapshots ou systèmes de sauvegarde offrant un mode immuable intégré. Exemples non immuables / "altérables" : Bandes réinscriptibles classiques, Copies externalisées sans mécanisme technique de verrouillage, Sauvegardes sur disque/NAS standards pouvant être écrasées ou effacées. En résumé : l’externalisation ou la redondance ne suffisent pas ; seule une contrainte technique empêchant toute modification/suppression prématurée (volontaire ou non) permet de qualifier la sauvegarde d’immuable.

[Domaine 2] D2.O3 Dans le cadre de la mise en œuvre d'une stratégie 3-2-1 en réponse à l’objectif D2.O3.C, une copie de sauvegarde hors ligne est-elle bien considérée comme un support différent d'une copie de sauvegarde en ligne ?

Le guide des prérequis et objectifs du domaine 2 précise que la mise en œuvre du principe 3-2-1 implique une copie immuable et d’une copie hors ligne ou hors site. Cela signifie qu’il s’agit d’un support distinct de la sauvegarde en ligne (par exemple : robot cassette, bande, hébergeur tiers).

[Domaine 2] D2.O3.C : Dans le cadre de la mise en œuvre du 3-2-1, il est demandé d’avoir 3 copies sur 2 supports différents dont 1 support hors ligne / hors site. Est-ce que les données du serveur de production peuvent être comptées comme une copie ?

Oui, les données du serveur de production sont considérées comme une copie, et ce conformément aux recommandations de l’ANSSI considérant les données de l’environnement de production (i.e données de l’environnement de production) comme une copie. Néanmoins, une réplication des données de production ne constitue pas une sauvegarde dans l'application du 3-2-1 (i.e. une seule sauvegarde est considérée entre les données de production et sa réplication). En revanche, une réplication des données d'une sauvegarde est bien considérée comme une 2ndsauvegarde disjointe. La stratégie « 3-2-1 » implique la réalisation de 3 copies de données, sur 2 supports différents, dont 1 nécessairement hors-ligne.

[Domaine 2] D2.O4 Dans le cadre de service centralisé (groupe nationaux), les tests de restauration doivent-ils être réalisés dans toutes les structures candidates ? Un test central pour l’ensemble des structures candidates peut-il être réalisé ?

La réalisation d’un test central embarquant l’ensemble des établissements du groupe est acceptée si les mesures de sauvegarde sont identiques dans l’ensemble des établissements. Le justificatif soumis devra préciser le périmètre d’applicabilité du test. Les candidats devront également veiller à ventiler les coûts associés à ce test entre chacun des établissements candidats lors de la soumission de la trame financière.

[Domaine 2] D2.O2.A, Le PAS des solutions hébergées sur des plateformes nationales ou régionales doivent-ils être transmis ?

Non, les contrats de service, PAS et documents de sauvegarde des solutions nationales ou régionales (ex. DMP) ne sont pas attendus dans les preuves demandées. Cette disposition s’explique par le fait que seules les applications sous la responsabilité du candidat sont concernées par les éléments de preuve attendus.

[Domaine 2] D2.O4, Lorsque les activités sont externalisées ou hébergées chez un tiers, comment répondre à cette configuration ? Est-ce qu'un test de restauration d'une application en mode SaaS réalisé par l'éditeur permet de répondre aux exigences du dom

Il est fortement recommandé de traiter la réalisation d'un test de restauration sur des bases de données ou des serveurs hébergés en local. Il est possible de traiter le cas de SI complémentaires : ces derniers peuvent être identifiés comme soutenant une activité identifiée critique au titre de l’objectif D2.O1.C. Par exemple, il n'est pas nécessaire de tester la restauration l'intégralité d'un DPI : le test peut être réalisé sur un logiciel contribuant au fonctionnement du DPI et soutenant l'activité critique concernée. Si aucun SI concourant à l’activité ne repose sur un hébergement internalisé, et sous réserve d'une justification complète et de la transmission des preuves de réalisation de ce test, un test de restauration d’une application SaaS qui serait réalisé par l’éditeur peut être accepté dans le cadre de l’objectif D2.O4. Dans le cas où cette prestation n'est pas incluse dans votre contrat, il vous est demandé de fournir les Plans d'Assurance Sécurité adapté, avec la mention du RTO. Nous vous recommandons d'intégrer explicitement la réalisation de tests de restauration lors du prochain renouvellement de contrat, même si ce dernier intervient après la phase opérationnelle du Domaine 2.

[Domaine 2] D2.O3.D, Sous quelle forme et à quelle fréquence le RSSI d’un GHT doit-il être informé du contrôle de la réalisation des sauvegardes ?

La gouvernance de contrôle de la réalisation des sauvegardes est à définir selon le contexte du GHT. Sa finalité doit être de permettre au RSSI du GHT d’être alerté en cas de besoin et de réaliser les contrôles nécessaires. Cela peut se formaliser par la vérification des sauvegardes de chaque établissement par le RSSI ou la réception d’un rapport de sauvegarde à une fréquence adéquate. Il n’est pas attendu que le RSSI soit informé / mobilisé lors d’une anomalie unique sur un job de sauvegarde, mais dans le cas où les sauvegardes ne sont pas réalisées conformément aux plans définis.

[Domaine 2] D2.O3.C, Une sauvegarde peut-elle se trouver sur une clef USB, connectée au matériel sauvegardé ou non, en permanence ou non ?

Une clef USB (connectée au matériel ou non) présente des risques trop élevés et n’est pas admise comme solution de sauvegarde au titre du domaine 2.

[Domaine 2] D2.O3.C, Est-ce qu’un serveur de dossiers partagés peut contenir une sauvegarde de son propre contenu ?

Non, un serveur de dossiers partagés ne peut pas contenir une sauvegarde de son propre contenu, cette dernière n’étant alors pas considérée comme une copie de sauvegarde au sens du 3-2-1. Si ce serveur contient d’autres données (qui ne sont pas exclusivement des sauvegardes), alors il ne respecterait pas les exigences de cloisonnement définies à l’objectif D2.O3.B et ne répondrait pas aux attendus. Si ce serveur est exclusivement dédié à la sauvegarde et met en œuvre tous les attendus du domaine (bouton rouge, cloisonnement, gestion des accès, etc.), alors il pourrait contenir d’autres sauvegardes et s’intégrer en réponse au domaine 2.

FAQ Etablissement de santé

Comment pouvons-nous vous aider ?

Les plus recherchés : Pro Santé Connect Programme CaRE HDS

Explorez les thématiques du moment

Pro Santé Connect

Une seule authentification pour tous vos services. Les réponses pour raccorder votre établissement.

Toutes les FAQ PSC

Programme CaRE

Renforcer la résilience cyber de votre établissement : les réponses sur les dispositifs et les financements CaRE.

Toutes les FAQ CaRE

Répertoire FINESS

Votre structure, correctement identifiée partout. Les réponses sur le répertoire FINESS et ses démarches.

Toutes les FAQ FINESS

Ségur du Numérique en Santé

Référencement, financement, preuves à fournir : les réponses pour piloter votre mise en conformité Ségur.

Toutes les FAQ Ségur

Les dernières FAQ publiées

[ Date de mise à jour : 5 Nov. 2026 ] Produit / Service : CERT Santé

Oui. L’ANS met à votre disposition sa plateforme de formation e-santé, avec plusieurs vidéos d'accompagnement concernant la cybersécurité. Vous y trouverez, notamment, comment demander un audit de cybersurveillance, comment signaler un incident grave de sécurité SI, comment améliorer vos mots de passe, ou comment identifier les emails malveillants.

Consultez la formation "cybersécurité en santé"

Consultez la formation "cybersécurité et mes pratiques individuelles"

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 5 Nov. 2026 ] Produit / Service : CERT Santé

Lors du signalement de votre incident sur le portail https://signalement.social-sante.gouv.fr/espace-declaration/profil ou au 09 72 43 91 25, vous aurez l'opportunité de demander un accompagnement.

Le CERT-Santé prendra alors contact avec vous pour vous accompagner. Le portail du CERT Santé dispose également de dossiers thématiques pour vous accompagner en cas de crise.

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 5 Nov. 2026 ] Produit / Service : CERT Santé

Le ministère a lancé un portail de signalement des événements sanitaires indésirables destinés aux particuliers, professionnels de santé, et entreprises.

Le CERT Santé assure le traitement des signalements des incidents de sécurité les jours ouvrés de 9h à 18h. En dehors de ces heures, il est possible de contacter l’ANSSI.

CERT Santé
+33 (0)9 72 43 91 25
Agence du Numérique en Santé
2-10 Rue d'Oradour-sur-Glane
75015 Paris

Consultez le Portail de signalement des événements sanitaires indésirables

Contactez le CERT Santé

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 2 Nov. 2026 ] Produit / Service : Programme CaRE

Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).

Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 2 Nov. 2026 ] Produit / Service : Programme CaRE

L'arrêté du 22 janvier 2025, modifiant l'arrêté du 18 mars 2024 relatif à un programme de financement destiné à renforcer la sécurité numérique des établissements de santé - Fonction - "Annuaires techniques et exposition sur internet" , a été publié au Journal officiel le 30 janvier 2025 (https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000051058973). Cet arrêté rectificatif a prolongé le délai d'atteinte des objectifs.

La date limite de dépôt du dossier de déclaration d’atteinte des objectifs est reportée au 30 juin 2025 (au lieu du 28 mars 2025).

Cette réponse vous a-t-elle été utile ?

FAQ Etablissement de santé

Comment pouvons-nous vous aider ?

Explorez les thématiques du moment

Pro Santé Connect

Programme CaRE

Répertoire FINESS

Ségur du Numérique en Santé

Les dernières FAQ publiées

Existe-t-il des formations à la cybersécurité ?

Existe-t-il des outils et dispositifs au niveau national ou régional qui sont proposés après une crise réelle de cyberattaque ?

Comment signaler un incident ?

[Kits CaRE] Kits d'aide à la réalisation d'exercices de gestion de crise spécifique au secteur médico-social

[AAP Médico-Social] Quel est le délai pour déposer les pièces justificatives d'atteinte des objectifs après l'ouverture de l'accès à la plateforme ?