[AAP Médico-Social] [Parcours 2] Dans le parcours 2, un taux minimal de signatures ou d’accusés de réception est-il attendu pour démontrer la prise de connaissance de la charte de sécurité des systèmes d’information au titre de l’objectif P2.O2.1 ?

Non. Aucun taux minimal de signatures ou d’accusés de réception n’est attendu. L’atteinte de l’objectif peut être démontrée par la production de la charte, accompagnée d’éléments décrivant ses modalités de diffusion et de prise de connaissance par les personnels concernés.

[AAP Médico-Social] [Parcours 2] Dans le parcours 2, une charte de sécurité des systèmes d’information déployée sur le seul périmètre de structures couvertes par le POC peut-elle être retenue comme justificatif de l’objectif P2.O2.1 ?

Oui. Les justificatifs peuvent porter, dans un premier temps, sur le périmètre des structures concerné par le POC. Le déploiement de la charte à l’ensemble des établissements de l’organisme pourra être réalisé progressivement dans un second temps.

[AAP Médico-Social] Les ESSMS rattachés à un GHT ou à une entité juridique à dominante sanitaire peuvent-ils candidater au POC de l’AAP ?

Oui, les ESSMS rattachés à un GHT/entité juridique sanitaire peuvent candidater au POC dès lors que la candidature porte exclusivement sur le périmètre médico-social. Toutefois, dans leur réflexion de candidature, les structures doivent tenir compte des financements éventuellement déjà perçus par le GHT/entité juridique sanitaire, notamment dans le cadre des domaines 1 et/ou 2 du programme CaRE. Lorsque les ESSMS ont bénéficié de ces financements au travers de systèmes d’information mutualisés, certains objectifs du POC peuvent d’ores et déjà être considérés comme partiellement ou totalement couverts. Dans ce contexte : • pour les objectifs obligatoires du POC, compte tenu du caractère forfaitaire du financement, se positionner sur un parcours avec des objectifs déjà couverts par des financements GHT/entité juridique sanitaire peut rendre la candidature peu pertinente, voire difficile à justifier ; • pour les objectifs facultatifs, en revanche, les ESSMS peuvent tout à fait candidater en choisissant des objectifs distincts de ceux ayant déjà fait l’objet de financements antérieurs. Il est attendu que les candidats décrivent de manière particulièrement explicite, dans leur dossier, la stricte distinction entre les périmètres sanitaire et médico-social, en précisant notamment si les ESSMS candidats ont déjà bénéficié de travaux menés par le GHT/entité juridique sanitaire sur la cyber (par exemple sur l’Active Directory dans le cadre du domaine 1 de CaRE). À ce titre, les candidatures d’ESSMS rattachés à une entité juridique à dominante sanitaire ou à un GHT feront l’objet d’une vigilance renforcée lors de l’instruction, afin de s’assurer de l’absence de double financement sur des thématiques identiques.

[AAP Médico-Social] Qu'est ce que le Appel à Projets Médico-Social ?

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace. Le domaine AAP MS vise à accompagner les structures du secteur médico-social dans l’amélioration de leur niveau de cybersécurité, autour des objectifs suivants : 1) Améliorer la résilience des systèmes d’information (détection, réponse et reprise après attaque) ; 2) Réduire l’exposition des structures aux menaces cyber ; 3) Sensibiliser les professionnels du secteur à la cybersécurité ; 4) Favoriser la mutualisation afin de doter les structures de ressources en sécurité des systèmes d’information (SSI) ; 5) Assurer la conformité réglementaire, notamment au regard de la directive NIS2. Conçu de manière itérative, en concertation avec la task force cyber, les ARS, les Centres Régionaux de Ressources Cyber et les fédérations du secteur, ce dispositif couvrira l’ensemble des thématiques du programme CaRE. L’appel à projets sera déployé de manière progressive jusqu’en 2027, avec plusieurs phases : Phase 1 – POC (Proof of Concept) : phase exploratoire visant à tester le dispositif, limitée à environ 21 structures lauréates; Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

[AAP Médico-Social] Dans le cas de groupements, l’organisme gestionnaire (OG) peut-il être désigné comme établissement porteur, même si plusieurs ESSMS sont engagés dans le projet ?

Oui. Dans le cadre d’une candidature portée par un groupement, l’organisme gestionnaire (OG) peut être désigné comme structure porteuse du projet, y compris lorsque plusieurs établissements et services sociaux et médico‑sociaux (ESSMS) sont impliqués. L’organisme gestionnaire agit alors pour le compte de l’ensemble des ESSMS concernés par le périmètre du projet et assume la responsabilité du pilotage, de la coordination et de la mise en œuvre des actions au titre de l’appel à projets. Lorsque l’organisme gestionnaire repose sur plusieurs entités juridiques, l’entité juridique principale devra être renseignée comme structure porteuse de la candidature.

[AAP Médico-Social] Une entité juridique, groupement ou organisme gestionnaire doivent-ils nécessairement candidater pour l’ensemble de leurs entités géographiques éligibles ?

Il est fortement recommandé, dans le cadre des travaux du POC, d’embarquer l’ensemble des entités géographiques éligibles relevant d’une même entité juridique, d’un groupement ou d’un organisme gestionnaire. Toutefois, les candidats conservent la possibilité de limiter leur candidature à un nombre restreint d’ESSMS, s’ils estiment que cela est plus pertinent au regard de leur organisation ou de leur maturité. Les entités juridiques, groupements et organismes gestionnaires sont néanmoins invités à faire preuve d’une vigilance particulière au regard du principe de non‑double financement. En effet, il pourra s’avérer complexe, à terme, de distinguer précisément les entités géographiques ayant bénéficié – ou non – de financements dans le cadre du POC de l’AAP. À titre d’exemple, dès lors que certains ESSMS rattachés à une même entité juridique auront participé au POC, l’ensemble des ESSMS de cette entité pourra être considéré comme ayant bénéficié de travaux sur les thématiques concernées, et ne serait alors plus éligible à de nouveaux financements portant sur les mêmes sujets. Cette approche relève d’une gestion de précaution.

[AAP Médico-Social] Un document peut-il être transmis à la maille d'une direction commune ?

Oui, il est possible de soumettre un document justificatif à la maille d'une direction commune. Dans ce cas, la pièce justificative fournie par le candidat devra préciser la liste des structures inclues dans la direction commune concernées par le document.

[AAP Médico-Social] Quel est le délai pour candidater à l’appel à projet ?

La date limite de candidature est fixée au 4 juin 2026.

[AAP Médico-Social] Est-il possible pour un référent de réaffecter le dossier à un nouveau référent sur la plateforme eCaRE ?

Oui, c'est possible. Cependant, il est important de noter qu'un dossier ne peut pas avoir deux référents simultanément. Une fois le dossier transféré au nouveau référent, qui doit d'abord créer son compte eCaRE, l'ancien référent n'y aura plus accès. La procédure de réaffectation est détaillée dans le guide d'utilisation eCaRE pour les établissements de santé, disponible sur la page d'accueil de la plateforme Convergence ( https://convergence.esante.gouv.fr/ ). Pour en savoir plus : https://esante.gouv.fr/essms/cybersecurite

[AAP Médico-Social] Est-il possible de compléter son dossier une fois transmis à l'ANS ?

L’ANS pourra vous solliciter si elle juge votre dossier incomplet et ainsi vous donner la main sur votre dossier pour apport de compléments. Toutefois, l’ANS sera sensible à la complétude des dossiers dès le premier dépôt pour la sélection des lauréats.

FAQ Structure médico-sociale

Comment pouvons-nous vous aider ?

Les plus recherchés : eCPS Répertoire FINESS Programme CaRE

Explorez les thématiques du moment

Programme CaRE

Renforcer la résilience cyber de votre établissement : les réponses sur les dispositifs et les financements CaRE.

Toutes les FAQ CaRE

Ségur du Numérique en Santé

Référencement, financement, preuves à fournir : les réponses pour piloter votre mise en conformité Ségur.

Toutes les FAQ Ségur

Certificats logiciels

Commande, installation, renouvellement : les réponses pour sécuriser les échanges de vos logiciels de santé.

Toutes les FAQ Certificats

Répertoire FINESS

Votre structure, correctement identifiée partout. Les réponses sur le répertoire FINESS et ses démarches.

Toutes les FAQ FINESS

Les dernières FAQ publiées

[ Date de mise à jour : 5 Nov. 2026 ] Produit / Service : CERT Santé

Oui. L’ANS met à votre disposition sa plateforme de formation e-santé, avec plusieurs vidéos d'accompagnement concernant la cybersécurité. Vous y trouverez, notamment, comment demander un audit de cybersurveillance, comment signaler un incident grave de sécurité SI, comment améliorer vos mots de passe, ou comment identifier les emails malveillants.

Consultez la formation "cybersécurité en santé"

Consultez la formation "cybersécurité et mes pratiques individuelles"

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 5 Nov. 2026 ] Produit / Service : CERT Santé

Lors du signalement de votre incident sur le portail https://signalement.social-sante.gouv.fr/espace-declaration/profil ou au 09 72 43 91 25, vous aurez l'opportunité de demander un accompagnement.

Le CERT-Santé prendra alors contact avec vous pour vous accompagner. Le portail du CERT Santé dispose également de dossiers thématiques pour vous accompagner en cas de crise.

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 5 Nov. 2026 ] Produit / Service : CERT Santé

Le ministère a lancé un portail de signalement des événements sanitaires indésirables destinés aux particuliers, professionnels de santé, et entreprises.

Le CERT Santé assure le traitement des signalements des incidents de sécurité les jours ouvrés de 9h à 18h. En dehors de ces heures, il est possible de contacter l’ANSSI.

CERT Santé
+33 (0)9 72 43 91 25
Agence du Numérique en Santé
2-10 Rue d'Oradour-sur-Glane
75015 Paris

Consultez le Portail de signalement des événements sanitaires indésirables

Contactez le CERT Santé

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 2 Nov. 2026 ] Produit / Service : Programme CaRE

Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).

Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2

Cette réponse vous a-t-elle été utile ?

[ Date de mise à jour : 2 Nov. 2026 ] Produit / Service : Programme CaRE

Oui. Une gouvernance mutualisée peut être mise en place dès lors que son périmètre est clairement défini et que les établissements concernés sont identifiés dans les documents transmis.

Cette réponse vous a-t-elle été utile ?

FAQ Structure médico-sociale

Comment pouvons-nous vous aider ?

Explorez les thématiques du moment

Programme CaRE

Ségur du Numérique en Santé

Certificats logiciels

Répertoire FINESS

Les dernières FAQ publiées

Existe-t-il des formations à la cybersécurité ?

Existe-t-il des outils et dispositifs au niveau national ou régional qui sont proposés après une crise réelle de cyberattaque ?

Comment signaler un incident ?

[Kits CaRE] Kits d'aide à la réalisation d'exercices de gestion de crise spécifique au secteur médico-social

[AAP Médico-Social] [Parcours 2] Dans le parcours 2, un comité de gouvernance cyber mutualisé couvrant plusieurs établissements peut-il être retenu pour répondre à l’objectif P2.O2.4 ?