Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).

Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

Le domaine AAP MS vise à accompagner les structures du secteur médico-social dans l’amélioration de leur niveau de cybersécurité, autour des objectifs suivants :
1) Améliorer la résilience des systèmes d’information (détection, réponse et reprise après attaque) ;
2) Réduire l’exposition des structures aux menaces cyber ;
3) Sensibiliser les professionnels du secteur à la cybersécurité ;
4) Favoriser la mutualisation afin de doter les structures de ressources en sécurité des systèmes d’information (SSI) ;
5) Assurer la conformité réglementaire, notamment au regard de la directive NIS2.

Conçu de manière itérative, en concertation avec la task force cyber, les ARS, les Centres Régionaux de Ressources Cyber et les fédérations du secteur, ce dispositif couvrira l’ensemble des thématiques du programme CaRE.

L’appel à projets sera déployé de manière progressive jusqu’en 2027, avec plusieurs phases :
Phase 1 – POC (Proof of Concept) : phase exploratoire visant à tester le dispositif, limitée à environ 21 structures lauréates;

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Les groupements sont libres de choisir le ou les CRRC qui les accompagnent sur le POC.

Compte tenu du format et du nombre limité de lauréats attendus pour le POC de l’AAP, aucune communication nationale « massive » ni webinaire de présentation ne sont prévus à ce stade.
Les structures intéressées sont invitées à se rapprocher de leur GRADeS (Groupement Régional d’Appui au Développement de la e-Santé), qui constitue le point de contact privilégié au niveau régional pour relayer les informations, accompagner les structures et répondre aux premières questions relatives à l’appel à projets.

Le D2.P1 attend que chaque candidat dispose d’une PSSI validée et revue entre le 16 juillet 2022 et la date de dépôt de candidature, fixée au plus tard au 31 octobre 2025. Ce document doit être signé par le représentant du candidat ou le représentant de chaque établissement constituant le candidat. En fonction de son organisation, ce document peut être fourni par candidat ou par chaque établissement constituant le candidat. Si l’entité juridique ou le GHT ne fournit pas une PSSI unique, l’établissement porteur de la candidature doit s’assurer que chaque établissement dispose de sa propre PSSI, signée par le directeur de l’établissement :

• pour les GHT, ce document peut être fourni au niveau des entités juridiques ;
• pour les EJ, ce document peut être fourni par entité géographique.

Aucun élément relatif au contenu ou à la structuration de la PSSI n'est imposé dans le cadre de ce prérequis.

Les établissements peuvent soumettre un document de présentation de la PSSI (et non la PSSI complète) selon un formalisme laissé à leur appréciation.

Le document de présentation devra néanmoins inclure (i) la date de mise à jour, (ii) la signature du représentant de la structure et (iii) le périmètre des entités juridiques et/ou géographiques appliquant cette politique.

Pour rappel, les candidats peuvent s’appuyer sur les contenus méthodologiques relatifs à la mise en œuvre d’une PSSI et disponibles aux liens suivants :

• https://cyber.gouv.fr/publications/pssi-guide-delaboration-de-politiques-de-securite-des-systemes-dinformation
• https://esante.gouv.fr/sites/default/files/media_entity/documents/pgssi-s_guide_pssi_non-expert-ssi-v-1.0.pdf

Le candidat doit uniquement renseigner la trame de l’état financier en y indiquant les temps mobilisés par chaque professionnel dans le cadre de l’appel à financement, et en ventilant les temps mobilisés par objectif. L’Agence du Numérique en Santé n’attend pas d’autres documents justificatifs relatifs à la mobilisation des équipes. Il est rappelé qu’un récapitulatif de paie annuel (au titre de 2025 et/ou 2026) ou un journal de paie est attendu pour chacun des salariés en annexe de la trame de l’état financier.  

S’agissant de la mobilisation de fonds européens, des contrôles complémentaires a posteriori peuvent être réalisés à l’initiative de la Commission Européenne. Dans ce cadre, il est recommandé aux candidats de (i) formaliser des lettres de mission permettant de justifier de la mobilisation des personnels les plus engagés dans l’atteinte des objectifs du domaine, (ii) tenir à jour un document de suivi des temps mobilisés. La formalisation et la signature de lettres de mission permet de justifier de la nouveauté des coûts engagés pour l’atteinte des objectifs du domaine et pour lesquels des subventions auront été accordées. 
Le format de la lettre de mission est libre. Elle doit néanmoins inclure les informations essentielles suivantes : le temps consacré, la personne concernée, la mission attribuée, le nom de l'établissement de santé et les signatures associées. 

L'ensemble des documents afférents au Domaine 2 ainsi que des ressources pédagogiques ([ANS-Formation] - Coorpacademy) et didactiques (à l'exemple du kit PCA / PRA mis à disposition des structures) sont disponibles sur le site de l'ANS en suivant le lien : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Le candidat est libre d’utiliser la méthodologie de son choix pour atteindre l’objectif, bien qu’il soit vivement recommandé de suivre la méthodologie et les modèles documentaires proposés dans le kit PCRA de l’ANS (accessible aux liens suivants : Espace de Documentation CaRE | E-Santé)

Pour rappel, l’atteinte de l’objectif D2.01.C repose sur :

• l’identification a minima d’un service de soin, d’un plateau technique et du processus administratif le plus critique sur lesquels seront réalisés les BIA ;
• la réalisation du PCRA sur les activités critiques ayant fait l’objet d’un BIA.

La réalisation d’un BIA est donc requise a minima pour les périmètres identifiés et ce dernier doit intégrer les informations suivantes indépendamment du modèle utilisé : (i) la liste des activités considérées, (ii) le degré de criticité de chaque activité selon une échelle temporelle, (iii) les types d’impacts associés à une interruption d’activité, (iv) le délai maximal d’indisponibilité de l’activité, et (v) les besoins matériels et humains liés à l’indisponibilité.

Oui, il est possible de soumettre un document justificatif à la maille d'une direction commune. Dans ce cas, la pièce justificative fournie par le candidat devra préciser la liste des structures inclues dans la direction commune concernées par le document.

Le kit PCA / PRA proposé par l'ANS a fait l'objet d'une phase d'expérimentation avec plusieurs établissements de santé. Si le document est amené à évoluer dans le cadre d'une démarche d'amélioration continue, aucune publication d'une nouvelle version du kit n'est aujourd'hui prévue.

Les équipes de l'ANS restent à l'écoute des retours, propositions et demandes des établissements concernant le programme au travers de son support dédié : https://esante.gouv.fr/contact?contact_theme=programme_care

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

L'objectif du domaine 3 est de sécuriser l'ensemble des accès distants, couvrant à la fois les fournisseurs et les accès du personnel des établissements.
Le grand nombre de fournisseurs nécessitant des connexions avec les solutions déployées dans les établissements de santé crée un risque accru d'intrusions par des attaquants exploitant ces "portes ouvertes". Il est donc nécessaire de sécuriser les accès distants, non seulement pour la télémaintenance, mais aussi pour le personnel des établissements de santé.

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

L'offre de service d'identification électronique de l'Agence du Numérique en Santé (ANS) évolue. En effet, un service d'enregistrement national pour l'ensemble des professionnels utilisateurs du système d'information de l'établissement va être proposé. L'enregistrement national du professionnel sera ainsi un prérequis pour l'obtention d'un moyen d'identification électronique délivrée par l'ANS. Chaque identité numérique enregistrée dans ce répertoire national d'identité aura accès à un e-CPS. Selon la contractualisation entre la structure d'exercice et l'ANS, une carte physique pourra être délivrée au professionnel.

Pour l'accès aux services numériques sensibles externes (nationaux, régionaux), l'ouverture de l'enregistrement des professionnels à rôle du secteur sanitaire sera disponible au terme de la phase d'expérimentation en cours via l'appel à projet alpha CaRE-HospiConnect.

Oui, l'obligation est toujours applicable au 1er janvier 2026. Des travaux de révisions du référentiel d'identification électronique (RIE) PGSSI-S sont actuellement en cours (CNIL et ANSSI). Pour en savoir plus, nous vous invitons à consulter le replay du webinaire du 20/06/2025 qui traite de la sécurisation de la chaîne d'identification électronique des professionnels avec un retour d'expérience des lauréats d'HospiConnect. 

Certains lauréats de la phase alpha de l'appel à projets HospiConnect ont échangé avec les agences d'intérimaires avec lesquelles ils travaillent et ont convenu avec eux d'avoir les numéros RPPS de ces professionnels dans les contrats pour ceux qui pouvaient l'avoir. Pour ces professionnels, ils devaient aussi s'assurer qu'ils mettaient à jour leurs activités avec le nouveau contrat et étaient en possession a minima d'un MIE compatible, donc la e-CPS ou la carte CPS.

Pour ceux sans RPPS, ils demandaient aux agences d'intérimaires de pousser les professionnels à s'enregistrer au RPPS s'ils dépendaient d'un Ordre ou d'un ARS, ou sur le portail RPPS+ dès qu'ils avaient un premier contrat d'intérimaire pour que la structure puisse anticiper et valider l'enregistrement puis commander rapidement le MIE si nécessaire.

Dans le cadre de l'appel à projet Alpha d'HospiConnect, nous demandons aux lauréats de nous fournir une estimation chiffrée de la charge RH nécessaires pour ce projet. Nous ferons un retour concaténé de ces éléments chiffrés vers la fin d'année dans notre guide de retour d'expérience.