Oui, la réalisation d’un diagnostic des règles de pare feu de la zone qui héberge la sauvegarde peut être une dépense éligible à un financement du domaine, dès lors qu’elle contribue directement à la mise en œuvre du cloisonnement de l’infrastructure de sauvegarde.
Ce diagnostic peut également permettre de faire état des règles actuellement mise en place ainsi que d’identifier les points d'améliorations pour la mise en trajectoire.

Non. Dans le cadre du D2.O3.A, il n'est pas exigé que l'AD soit dédié exclusivement à l'infrastructure de sauvegarde. Un AD d'administration partagé avec d'autres composants d'administration du SI est acceptable, à condition qu'il soit distinct de l'AD de production et qu'il n'intègre aucun compte ou usage de production.

Oui, afin de prétendre au financement du programme, il est demandé de présenter les preuves d’atteinte de chaque objectif.

Dans le cas où les pratiques de sauvegarde et de restauration sont déjà pleinement harmonisées à l’échelle des EJ/EG concernées au travers d’un SI mutualisé, et qu’aucune amélioration ou action complémentaire d’harmonisation n’est identifiée, une note explicative démontrant que les exigences d’harmonisation sont d’ores et déjà satisfaites pour et qu’aucune action supplémentaire n’est nécessaire pourra alors être transmise en justification, sans qu’un planning prévisionnel d’harmonisation ne soit attendu.

Les pièces justificatives devront toutefois être fournies pour chacun des établissements concernés, même lorsque celles-ci sont identiques. La note explicative, qui pourra être commune à plusieurs établissements, devra préciser les modalités et le cheminement ayant conduit à l’harmonisation des pratiques de sauvegarde et de restauration à l’échelle du SI mutualisé.

Pour rappel, un SI est considéré comme mutualisé lorsqu'il repose sur une instance unique ou lorsque le même applicatif est déployé dans plusieurs établissements avec la même version, le même paramétrage et la même organisation.

Le planning de réalisation des autres exercices de PCA ne fait pas l’objet d’un contenu minimal obligatoire. Il doit toutefois préciser a minima la nature des exercices prévus, les services ou périmètres concernés ainsi que les dates prévisionnelles de réalisation.

Afin de renforcer progressivement la résilience de l’établissement, il est recommandé de prévoir des exercices couvrant les différents scénarios d’indisponibilité et d’impliquer, à terme, l’ensemble des entités concernées.

Les candidats sont également invités à faire figurer dans ce planning les exercices qui pourraient être réalisés après l’atteinte du sous-objectif D2.O1.D, notamment pour les services qui n’auraient pas encore été intégrés au dispositif ou qui ne seraient pas encore ouverts.

Non, dans le cadre de l'objectif D2.O1.C, il est demandé de traiter les BIA et PCRA sur a minima 3 services critiques : un service de soin, un plateau technique et un service support/administratif.

La possibilité de traiter deux services de soins est offerte uniquement aux établissements ne disposant pas de plateau technique, et non à ceux qui ne pourraient pas traiter ce service critique pendant la phase opérationnelle.

Pour l’objectif D2.O2.A « Formaliser les politiques de sauvegarde », le candidat doit transmettre la liste complète des applications en mode SaaS en précisant, pour chacune d’elle, si un PAS a été obtenu. Deux PAS (ou attestation d’existence) doivent être fournis.

Pour l’objectif D2.O3.A « Mettre en œuvre une authentification sécurisée pour les infrastructures de sauvegarde » un PAS ou un extrait de celui-ci doit être transmis lorsque l’infrastructure de sauvegarde est externalisée.

Pour l’objectif D2.O3.B « Mettre en œuvre un cloisonnement des infrastructures de sauvegarde » un PAS ou un extrait de celui-ci doit également être fourni lorsque l’infrastructure de sauvegarde est externalisée.
Enfin, pour l’objectif D2.O3.C « Mettre en œuvre une stratégie de sauvegarde 3-2-1 » un PAS ou un extrait de celui-ci est requis dans le cas d’une infrastructure de sauvegarde externalisée.

Pour l’ensemble de ces objectifs, lorsqu’un PAS requis ne peut être transmis, le candidat doit préciser lors du dépôt du dossier, le motif de cette absence ainsi que le nom du prestataire concerné.

Seules les dépenses concourant directement à l’atteinte des objectifs du présent domaine sont éligibles. La réalisation d’un exercice de gestion de crise cyber n’est pas objectivé dans le cadre du domaine n°2 « continuité d’activité et sauvegarde ». Par principe, les coûts associés à la réalisation d’un exercice de gestion crise cyber ne sont pas éligibles.

Néanmoins, et dans le cas spécifique où un candidat réalise le test PCA dans le cadre d'un exercice de crise, alors la dépense serait considérée comme éligible dans le cadre du domaine.

La trame financière transmise lors du dépôt des preuves d’atteinte des objectifs devra recenser l'ensemble des coûts engagés ainsi que les dépenses prévisionnelles jusqu'à la fin de la phase opérationnelle.

À compter de ce dépôt, aucune nouvelle ligne de coût ne pourra être ajoutée. Seuls les montants ou informations relatifs à des dépenses déjà renseignées dans la trame pourront être actualisés au début de la phase d’instruction, lorsqu’ils n’auront pas pu être intégrés au moment du dépôt, notamment en raison de délais de traitement administratif ou comptable (par exemple, des coûts internes du mois de novembre dont le traitement par l’agence comptable n’aurait pas encore été finalisé).

Une version non signée de la trame financière peut être transmise lors du dépôt du dossier. La signature devra toutefois être réalisée préalablement à l’instruction financière, lors de la complétude des lignes relatives aux dépenses prévisionnelles.

La liste des établissements éligibles au Domaine 2 ainsi que l'activité combinée retenue (mesure 2022) pour chacun est disponible dans la base établissement mise à disposition sur le site de l'ANS à cette adresse.

Comme indiqué en annexe 2 de l'arrêté, ne sont éligibles à l'AAF Domaine 2 que les établissements qui :

• disposent d'une autorisation à jour, délivrée par l'ARS de rattachement, leur permettant d'exercer en tant qu'établissement de santé ;
• ont déclaré une activité PMSI non nulle en termes de séjours hospitaliers en 2022 ;
• possèdent un identifiant FINESS juridique, dont la catégorie FINESS est comprise dans les valeurs suivantes : 1101, 1102, 1103, 1104, 1106, 1107, 1109, 1110, 1111, 1201, 1203, 1205, 2205 ;
• possèdent un identifiant FINESS géographique, dont la catégorie FINESS est comprise dans les valeurs suivantes : 101, 355, 292, 131, 106, 109, 362, 122, 128, 129, 365, 156, 161, 366, 412, 415, 425, 430, 444, 127, 141, 146, 114, 115, 697.

Les entités juridiques médico-sociales ne sont pas éligibles au financement ouvert par le Domaine 2. En revanche, ces entités juridiques seront éligibles au futur appel à projet CaRE dédié au secteur médico-social.

En complément, l'établissement ou le GHT, dont un ou plusieurs établissements parties comptent des EG médico-sociales, peut intégrer ces EG dans le cadre de ses travaux pour la politique et les plans de sauvegarde prévu par le domaine, notamment s’ils s’appuient sur l’infrastructure commune de l’établissement. Cependant, ces EG médico-sociales ne sont pas prises en compte dans le calcul du financement attribué à l'établissement candidat.

Les écarts constatés dans la base des établissements éligibles au Domaine 2 (cf. la documentation accessible par ce lien) peuvent être signalés via le support de l'ANS dédié pour le programme CaRE en suivant ce lien.

Une entité juridique doit nécessairement candidater pour l’ensemble de ses entités géographiques. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du candidat, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Un GHT doit nécessairement candidater pour le compte de l'ensemble des établissements partie à son groupement. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du GHT, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

L’objectif du domaine Stratégie de continuité et de Reprise d’activité est de permettre aux établissements sanitaires et médico-sociaux, en cas d’incident, de reconstituer rapidement les services critiques et d’assurer la continuité et la reprise de leur activité.

Lors d’une attaque de type rançongiciel (une des principales menaces), les attaquants cherchent à chiffrer les données des ES, mais aussi les sauvegardes, rendant la reprise d’activité particulièrement complexe, avec des pertes de données massives et critiques. Un effort particulier doit être porté sur la capacité des établissements à se préparer, s’organiser et à réagir dans le cadre d’une cyberattaque, notamment dans la mise en place de sauvegardes non contaminables et restaurables pour toutes les applications critiques.​

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Le D2.P1 attend que chaque candidat dispose d’une PSSI validée et revue entre le 16 juillet 2022 et la date de dépôt de candidature, fixée au plus tard au 31 octobre 2025. Ce document doit être signé par le représentant du candidat ou le représentant de chaque établissement constituant le candidat. En fonction de son organisation, ce document peut être fourni par candidat ou par chaque établissement constituant le candidat. Si l’entité juridique ou le GHT ne fournit pas une PSSI unique, l’établissement porteur de la candidature doit s’assurer que chaque établissement dispose de sa propre PSSI, signée par le directeur de l’établissement :

• pour les GHT, ce document peut être fourni au niveau des entités juridiques ;
• pour les EJ, ce document peut être fourni par entité géographique.

Aucun élément relatif au contenu ou à la structuration de la PSSI n'est imposé dans le cadre de ce prérequis.

Les établissements peuvent soumettre un document de présentation de la PSSI (et non la PSSI complète) selon un formalisme laissé à leur appréciation.

Le document de présentation devra néanmoins inclure (i) la date de mise à jour, (ii) la signature du représentant de la structure et (iii) le périmètre des entités juridiques et/ou géographiques appliquant cette politique.

Pour rappel, les candidats peuvent s’appuyer sur les contenus méthodologiques relatifs à la mise en œuvre d’une PSSI et disponibles aux liens suivants :

• https://cyber.gouv.fr/publications/pssi-guide-delaboration-de-politiques-de-securite-des-systemes-dinformation
• https://esante.gouv.fr/sites/default/files/media_entity/documents/pgssi-s_guide_pssi_non-expert-ssi-v-1.0.pdf