Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).

Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2

Non. Aucun taux minimal de signatures ou d’accusés de réception n’est attendu. L’atteinte de l’objectif peut être démontrée par la production de la charte, accompagnée d’éléments décrivant ses modalités de diffusion et de prise de connaissance par les personnels concernés.

Oui. Les justificatifs peuvent porter, dans un premier temps, sur le périmètre des structures concerné par le POC. Le déploiement de la charte à l’ensemble des établissements de l’organisme pourra être réalisé progressivement dans un second temps.

L'arrêté du 22 janvier 2025, modifiant l'arrêté du 18 mars 2024 relatif à un programme de financement destiné à renforcer la sécurité numérique des établissements de santé - Fonction - "Annuaires techniques et exposition sur internet" , a été publié au Journal officiel le 30 janvier 2025 (https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000051058973). Cet arrêté rectificatif a prolongé le délai d'atteinte des objectifs.

La date limite de dépôt du dossier de déclaration d’atteinte des objectifs est reportée au 30 juin 2025 (au lieu du 28 mars 2025).​

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

Le domaine AAP MS vise à accompagner les structures du secteur médico-social dans l’amélioration de leur niveau de cybersécurité, autour des objectifs suivants :
1) Améliorer la résilience des systèmes d’information (détection, réponse et reprise après attaque) ;
2) Réduire l’exposition des structures aux menaces cyber ;
3) Sensibiliser les professionnels du secteur à la cybersécurité ;
4) Favoriser la mutualisation afin de doter les structures de ressources en sécurité des systèmes d’information (SSI) ;
5) Assurer la conformité réglementaire, notamment au regard de la directive NIS2.

Conçu de manière itérative, en concertation avec la task force cyber, les ARS, les Centres Régionaux de Ressources Cyber et les fédérations du secteur, ce dispositif couvrira l’ensemble des thématiques du programme CaRE.

L’appel à projets sera déployé de manière progressive jusqu’en 2027, avec plusieurs phases :
Phase 1 – POC (Proof of Concept) : phase exploratoire visant à tester le dispositif, limitée à environ 21 structures lauréates;

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

L'ANS va réaliser des opérations de contrôle, tant techniques que financiers, afin de vérifier la bonne atteinte des objectifs par les établissements. Ces opérations se dérouleront par une étude des pièces transmises par l'établissement en amont, complétée, si nécessaire, par des entretiens avec l'établissement.

Le recours à des prestataires externes est autorisé. Toutefois, il est attendu que le porteur de projet et ses équipes internes soient pleinement impliqués dans la mise en œuvre du projet. Les candidats devront ainsi prévoir et démontrer une mobilisation effective de ressources internes, notamment en termes de temps dédié, de pilotage et de suivi des actions.

Les établissements appliquent leurs procédures habituelles d'achat et de contractualisation. Aucun processus spécifique n'est prévu dans le cadre du POC.

Les deux objectifs sont complémentaires mais répondent à des finalités différentes.

Dans l’objectif P3.O2.2, la procédure relative à la gestion des accès et des habilitations doit décrire les modalités opérationnelles et techniques de gestion des accès au système d’information.

Dans l’objectif P3.O2.3, il est attendu une formalisation des modalités organisationnelles de gestion des comptes utilisateurs et des habilitations, précisant notamment les rôles et responsabilités des acteurs impliqués (demandeur, valideur, administrateur), les circuits de validation et les canaux utilisés. La mise en place d’une matrice d’habilitation fait également partie des attendus de cet objectif.

Ainsi, l’objectif P3.O2.2 porte sur la mise en œuvre opérationnelle des accès et habilitations, tandis que l’objectif P3.O2.3 porte sur le cadre organisationnel associé. Une même documentation peut comporter des éléments communs, sous réserve que les attendus spécifiques de chaque objectif soient couverts.

Les groupements sont libres de choisir le ou les CRRC qui les accompagnent sur le POC.

Compte tenu du format et du nombre limité de lauréats attendus pour le POC de l’AAP, aucune communication nationale « massive » ni webinaire de présentation ne sont prévus à ce stade.
Les structures intéressées sont invitées à se rapprocher de leur GRADeS (Groupement Régional d’Appui au Développement de la e-Santé), qui constitue le point de contact privilégié au niveau régional pour relayer les informations, accompagner les structures et répondre aux premières questions relatives à l’appel à projets.

L’attendu minimal porte sur la formalisation du PCRA de chaque activité critique ayant fait l’objet d’un BIA et il est recommandé de fournir le PCRA cadre (dans le respect de la définition du kit PCA / PRA mis à disposition par l’ANS à l’adresse suivante : https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1Gouvernance et résilience | e-santé).

Le tout peut constituer un document unique ou des documents disjoints complémentaires, aucun format n’étant imposé.

L'atteinte de l’objectif D2.O1.C est validé selon les différentes typologies de candidats :

• Pour les GHT avec plusieurs entités juridiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités juridiques représentant au moins 66% de l'activité combinée du candidat.
• Pour les structures (hors-GHT) ayant plusieurs entités géographiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités géographiques représentant au moins 66% de l'activité combinée du candidat.

Si un des périmètres retenus conformément à la liste dessus est applicable aux établissements constituant le candidat, alors le BIA et le PCRA peut être fourni à l’échelle du candidat.

Une sauvegarde est considérée immuable si, une fois écrit, son contenu ne peut plus être modifié ni supprimé (volontairement ou involontairement) pendant une durée définie. Cette immuabilité doit être garantie par la "technologie" (certifiée ou non / Implémentation de mécanismes internes ou produit déjà packagé), et non seulement par des procédures organisationnelles.

Exemples considérés comme immuables :

• Bandes WORM (Write Once Read Many),
• Stockage objet avec verrouillage (Object Lock / mode WORM),
• Snapshots ou systèmes de sauvegarde offrant un mode immuable intégré.

Exemples non immuables / "altérables" :

• Bandes réinscriptibles classiques,
• Copies externalisées sans mécanisme technique de verrouillage,
• Sauvegardes sur disque/NAS standards pouvant être écrasées ou effacées.

En résumé : l’externalisation ou la redondance ne suffisent pas ; seule une contrainte technique empêchant toute modification/suppression prématurée (volontaire ou non) permet de qualifier la sauvegarde d’immuable.

Le guide des prérequis et objectifs du domaine 2 précise que la mise en œuvre du principe 3-2-1 implique une copie immuable et d’une copie hors ligne ou hors site. Cela signifie qu’il s’agit d’un support distinct de la sauvegarde en ligne (par exemple : robot cassette, bande, hébergeur tiers).

Oui, les données du serveur de production sont considérées comme une copie, et ce conformément aux recommandations de l’ANSSI considérant les données de l’environnement de production (i.e données de l’environnement de production) comme une copie.
Néanmoins, une réplication des données de production ne constitue pas une sauvegarde dans l'application du 3-2-1 (i.e. une seule sauvegarde est considérée entre les données de production et sa réplication). En revanche, une réplication des données d'une sauvegarde est bien considérée comme une 2ndsauvegarde disjointe.
La stratégie « 3-2-1 » implique la réalisation de 3 copies de données, sur 2 supports différents, dont 1 nécessairement hors-ligne.