L’exigence DMP UX 27 stipule que le système doit proposer au professionnel de santé une fonction de recherche et/ou de filtrage basée sur les métadonnées XDS des documents issus du DMP.

Afin d'éclairer la mise en œuvre de cette exigence, voici des précisions à titre indicatif et illustratif sur le niveau d'exigence réglementaire et les recommandations UX destinées à optimiser l'usage au quotidien par le professionnel de santé.

1. Cadre réglementaire et portée de l'exigence
   • Sur le plan réglementaire : Le texte de l'exigence SC.DMP/UX.27 n'impose pas de liste exhaustive de métadonnées obligatoires à filtrer, ni de modalités techniques strictes d'implémentation du filtrage (par exemple, type d'interface ou combinaison exacte de filtres).
   • Conséquence pour la conformité : Les éléments présentés ci-dessous ne constituent pas des exigences strictes de vérification, mais des recommandations d'ergonomie et de bonnes pratiques.
2. Recommandations fonctionnelles (À titre indicatif et d'amélioration UX)
   Pour offrir une valeur ajoutée maximale aux professionnels de santé et leur permettre de retrouver rapidement les informations pertinentes au sein du DMP du patient, il est fortement recommandé de proposer :
   • Des fonctionnalités combinées :
     • Un module de filtrage ciblé par critère.
     • Une possibilité de tri (ex. tri chronologique inverse par défaut).
     • Une recherche par mot-clé au sein des métadonnées affichées.
3. Exemples de critères et métadonnées recommandés pour le filtrage / tri
   Afin d'optimiser la lisibilité de la liste des documents, il est pertinent d'offrir des capacités de recherche ou de filtre sur les champs de métadonnées suivants :
   • La date du document / de l'acte :
     • Filtrage par période (ex. derniers 6 mois, année en cours) ou intervalle de dates.
   • La nature du document médical :
     • Par intitulé du type-code : Compte-rendu d'imagerie, Compte-rendu de Biologie, Lettre de liaison, Prescription de produits de santé, Synthèse Médical etc.
     • Par titre précis : Échographie abdominale, Consultation de cardiologie, etc.
   • L'auteur du document :
     • Par nom de l'auteur : Recherche textuelle ou sélection de l'émetteur.
     • Par profession / spécialité : Filtrage par Médecin généraliste, Radiologue, Pharmacien, Orthophoniste etc.
     • Par établissement / structure : Filtrage par centre hospitalier, cabinet, laboratoire, etc.
   • Le niveau de confidentialité :
     • Le filtrage sur l’invisibilité des documents fait l’objet d’une vérification obligatoire de cette exigence.

Conclusion

Bien que la liberté d'implémentation soit laissée à l'éditeur quant aux métadonnées XDS choisies pour le filtrage, l'intégration de ces critères clés (Date, Type/Titre, Auteur/Profession/Établissement) constitue un levier majeur d'ergonomie et d'efficacité pour le gain de temps médical.
 

Oui. L'exigence SC.SSI/IE.38.01 prévoit que « le système DOIT permettre au professionnel de fermer sa session ». Dès lors qu'un professionnel de santé peut accéder à la solution via plusieurs interfaces distinctes nécessitant une authentification, cette exigence doit être satisfaite sur chacune de ces interfaces.

Ainsi, toute interface authentifiée donnant accès à la solution doit permettre au professionnel de santé de se déconnecter et conduire à la fermeture effective de sa session.

Bonne pratique sécurité

Cette exigence vise explicitement les accès des professionnels de santé. Elle ne s'applique donc pas formellement aux interfaces destinées aux patients.

Toutefois, lorsque la solution propose également des interfaces accessibles aux patients après authentification, il est recommandé d'appliquer le même principe de sécurité en permettant au patient de fermer sa session et en garantissant la fermeture effective de celle-ci. Cette approche constitue une bonne pratique de sécurité visant à limiter les risques d'accès non autorisés, notamment en cas d'utilisation de postes ou d'équipements partagés.

En général, ces outils ne peuvent pas être déclarés car ils ne concourent pas à la sécurisation de l’AD mais uniquement à la gestion des identités. Toutefois, si l'ADS remonte des anomalies qui sont corrigées par le produit d’IAM, la modification du processus dans l’IAM peut contribuer. L'acquisition d'un outil IAM en lui-même ne peut être prise en charge.

Vous pouvez nous les transmettre via notre support dédié au programme Care : https://esante.gouv.fr/contact en sélectionnant l'entrée "Demande d'accompagnement en cybersécurité" dans "votre demande de contact porte sur".

Ce type d’outil ne rentre pas dans le périmètre des audits d’exposition, car la demande porte sur un outil de surveillance des fuites de données et non sur la remédiation de potentielles vulnérabilités.

Certaines questions et cellules de réponse sont grisées car : 

• Leur affichage est conditionné aux réponses apportées aux questions précédentes. Par exemple, si la structure répond "1 - Je suis ou je fais partie d'une entité juridique avec plusieurs FINESS géographiques" à la Q1, les lignes correspondant aux Q2 et Q3 se dégrisent. 
• Les cellules dans les colonnes "Réponse Etablissement" se dégrisent pour les questions à choix multiples. 

N'hésitez pas à prendre connaissance de l'onglet "Page de garde" présent dans le fichier, car tout y est détaillé. Par ailleurs, pour votre information, nous sommes en train de travailler à la rédaction d'un guide d'aide au renseignement de l'OPSSIMS. 

Pour consulter, l'OPSSIMS, rendez-vous sur la page https://esante.gouv.fr/strategie-nationale/cybersecurite

Le programme CaRE ne fournit pas de modèle d'attestation. Celle-ci devra cependant contenir :

- la date de réalisation de l'exercice ;

- le ou les ES concernés.

A noter que pour valider l'objectif, l'ES doit founir une attestation délivrée par le prestataire ou l'ARS ou le GRADeS (et non la facture) dans le cas d'un exercice réalisé dans le cadre d'une démarche régionale.

Pour le volet financier, la commande et la facture seront nécessaires.

Des actions de sensibilisation sont déjà proposées par les GRADeS dans les différentes régions.  

Concernant l’aspect formation, celui-ci est déjà pris en compte par les organismes de formation (en lien avec l'objectif 11 du plan d'action CaRE). 

Par ailleurs, les CRRC (Centres Régionaux de Ressources Cybersécurité) peuvent proposer des catalogues de formation à destination des professionnels informatiques (direction des systèmes d'information [DSI], responsable de la sécurité des systèmes d'information [RSSI], etc.).

Les pièces justificatives sensibles devront être transmises via la plateforme sécurisée eCARE en utilisant un conteneur ZED, une solution validée par le fonctionnaire de la sécurité des systèmes d'information (FSSI). Les webinaires des 16 juillet et 9 septembre 2024 détaillent la procédure pour créer ces conteneurs. Vous pouvez les consulter sur le site esanté : https://esante.gouv.fr/webinaires

Le guide d’utilisation eCaRE pour les établissements de santé, disponible sur la page d'accueil de la plateforme Convergence (https://convergence.esante.gouv.fr/), explique également en détail la procédure d'utilisation du conteneur ZED.

En effet, dans le cas où l’exercice terrain de continuité d’activité était mutualisé avec la réalisation d’un exercice de crise cyber, les dépenses associées à la réalisation conjointe des deux tests sont-elles éligibles dans le cadre du domaine n°2 ? 

Pour rappel, seules les dépenses concourant directement à l’atteinte des objectifs du présent domaine sont éligibles. La réalisation d’un exercice de crise cyber n’est pas prévu par le domaine n°2 « continuité d’activité et sauvegarde » et faisait l’objet d’une dépense éligible dans le cadre du domaine n°1 du programme CaRE.

Par principe, les coûts associés à la réalisation d’un exercice de crise cyber ne sont pas éligibles. 

 

La méthodologie de calcul est explicitée dans le guide des prérequis et des objectifs publié sur le portail esante.gouv.fr de l'Agence Numérique en Santé.

Elle s'appuie notamment sur la Note d’information n° DGOS/PF2/2019/207 du 26 septembre 2019 relative à la définition et au suivi des ressources et des charges des systèmes d’information hospitaliers. Cette note s'applique également aux établissements privés.​

​Dans les 1.7% du budget numérique des établissements de santé, la rémunération des personnels (annexe c) n'est pas prise en compte. Afin de pouvoir comparer le budget déclaré par les candidats dans l’objectif 5 à ces 1.7%, les salaires ne sont pas à intégrer au calcul du budget dédié au numérique dans l’objectif D1-O5.​

​Dans la même logique, le montant des subventions CaRE doit être traité de la même façon que les autres subventions (et donc a priori pas déduite du montant du budget calculé).​

Les priorités ne dépendent pas des axes du plan d'action mais des thématiques/sujets identifiés comme prioritaires par l'équipe programme CaRE. 

En cas d'indisponibilité de la plateforme oSIS V3, le candidat doit soumettre les questionnaires complétés sous la forme d'un fichier Excel, disponible sur le site du programme CaRE de l'ANS. Les champs à renseigner dans ce fichier sont identiques à ceux des formulaires correspondants de l'oSIS V3.

Selon l'instruction (N°DNS/2024/54), le projet innovant peut être proposé à la direction du programme CaRE en année 1, c'est-à-dire d'ici mai 2025. Le projet retenu doit être mis en œuvre en année 2.  

La région est libre d'établir son propre calendrier, mais les objectifs doivent être atteints au plus tard en mai 2026.

Tout changement de statut du dossier génère un mail au référent CaRE.