Le financement du POC est attribué sous forme forfaitaire en fonction du parcours et du nombre d’entités géographiques éligibles incluses dans la candidature.
En revanche, les lauréats du POC seront amenés, au cours du projet, à renseigner une trame financière permettant de retracer l’ensemble des dépenses ayant contribué à l’atteinte des objectifs sélectionnés. Cette trame précisera notamment les coûts associés à chaque objectif du parcours.

Ces éléments sont requis à des fins de suivi et de retour d’expérience (RETEX), en vue d’alimenter les futures itérations du dispositif.

Les dépenses déclarées, y compris celles liées au temps de mobilisation des ressources humaines, devront être cohérentes avec les objectifs du POC retenus et dûment justifiées.

Le financement est accordé au forfait dès lors que l’ensemble des objectifs est atteint. La trame financière a principalement pour objectif d’affiner les hypothèses relatives aux dépenses engagées dans le cadre du POC, de mieux comprendre les modalités de mise en œuvre retenues par les lauréats et d’alimenter la réflexion sur le modèle financier à retenir pour la généralisation du dispositif.

Les établissements sont par ailleurs invités à privilégier, lorsque cela est pertinent au regard de leurs besoins, les prestations proposées par leur CRRC.

Non, le cahier des charges publié le 31/03/2026 (disponible ici) fait explicitement référence au régime des aides de minimis, qui fixe un plafond de 300 000 € par entreprise sur une période de trois années glissantes.

À ce titre, seules les aides qualifiées juridiquement d’« aides de minimis » doivent être prises en compte dans le calcul de ce plafond.
Les financements relevant d’autres fondements juridiques ne sont pas intégrés dans ce calcul, y compris lorsqu’ils portent sur des thématiques connexes telles que le numérique, la cybersécurité ou la modernisation des systèmes d’information.

En particulier, les financements attribués dans le cadre du programme ESMS numérique ne relèvent pas du régime des aides de minimis ; les montants perçus à ce titre ne sont donc pas à inclure dans le calcul du plafond de 300 000€.

Ainsi, un candidat ayant bénéficié de financements importants au titre d’ESMS numérique peut demeurer pleinement éligible au POC de l’AAP, sous réserve que le plafond des aides relevant du régime de minimis ne soit pas dépassé par ailleurs.

Dans le cadre de la candidature à ce POC, les candidats devront déclarer uniquement les aides relevant du régime de minimis qu’ils ont perçues ou qui leur ont été octroyées. Les modalités précises de cette déclaration seront communiquées aux lauréats.

Le financement est accordé sous forme de subvention forfaitaire.

Son montant dépend :
• du parcours de cybersécurité choisi (parcours 1, 2 ou 3) ;
• du nombre d’entités géographiques (EG) intégrées dans la candidature.

Le calcul repose sur un montant unitaire par EG, variable selon le parcours, auquel s’applique une règle de dégressivité par tranche d’EG :
• les 4 premières EG sont financées à 100 % ;
• des taux dégressifs s’appliquent ensuite selon le nombre total d’EG ;
• aucun financement n’est accordé au-delà de la 12ᵉ EG.

Exemples illustratifs :
• Parcours 1 – candidat avec 2 EG
o Montant unitaire parcours 1 : 9 400 € / EG, avec 2 EG financées à 100 %
o Montant de la subvention : 18 800 €

• Parcours 2 – Organisme gestionnaire regroupant 8 EG
o Montant unitaire parcours 2 : 17 000 € / EG, avec application des taux dégressifs à partir de la 5ᵉ
EG
o Montant de la subvention : 102 000 €

• Parcours 3 – Grappe regroupant 25 EG
o Montant unitaire parcours 3 : 17 000 € / EG, avec financement jusqu’à l’EG 12 uniquement
o Montant de la subvention : 115 600 €

La subvention est versée en fonction de l’atteinte des objectifs cibles du parcours retenu.

Le D2.P1 attend que chaque candidat dispose d’une PSSI validée et revue entre le 16 juillet 2022 et la date de dépôt de candidature, fixée au plus tard au 31 octobre 2025. Ce document doit être signé par le représentant du candidat ou le représentant de chaque établissement constituant le candidat. En fonction de son organisation, ce document peut être fourni par candidat ou par chaque établissement constituant le candidat. Si l’entité juridique ou le GHT ne fournit pas une PSSI unique, l’établissement porteur de la candidature doit s’assurer que chaque établissement dispose de sa propre PSSI, signée par le directeur de l’établissement :

• pour les GHT, ce document peut être fourni au niveau des entités juridiques ;
• pour les EJ, ce document peut être fourni par entité géographique.

Aucun élément relatif au contenu ou à la structuration de la PSSI n'est imposé dans le cadre de ce prérequis.

Les établissements peuvent soumettre un document de présentation de la PSSI (et non la PSSI complète) selon un formalisme laissé à leur appréciation.

Le document de présentation devra néanmoins inclure (i) la date de mise à jour, (ii) la signature du représentant de la structure et (iii) le périmètre des entités juridiques et/ou géographiques appliquant cette politique.

Pour rappel, les candidats peuvent s’appuyer sur les contenus méthodologiques relatifs à la mise en œuvre d’une PSSI et disponibles aux liens suivants :

• https://cyber.gouv.fr/publications/pssi-guide-delaboration-de-politiques-de-securite-des-systemes-dinformation
• https://esante.gouv.fr/sites/default/files/media_entity/documents/pgssi-s_guide_pssi_non-expert-ssi-v-1.0.pdf

Oui, seules les dépenses concourant à l’atteinte des objectifs réalisées entre la date de publication de l'arrêté et la date de dépôt de l'atteinte des objectifs peuvent être prises en compte pour le calcul du montant de financement.

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement – y compris les coûts de formation À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 

Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  

Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK

Les financements alloués au titre du domaine 2 du programme CaRE sont versés à l’entité juridique candidate, conformément à la convention signée avec l’ANS. La redistribution éventuelle de ces financements vers les entités juridiques ou géographiques relève de l’organisation interne du candidat et de sa responsabilité. 

Oui, il est possible de soumettre un document justificatif à la maille d'une direction commune. Dans ce cas, la pièce justificative fournie par le candidat devra préciser la liste des structures inclues dans la direction commune concernées par le document.

L'attendu défini pour le D2.O1.C porte sur la réalisation d’un plan de continuité et de reprise d’activité portant sur au moins 2 scénarios d’indisponibilité dont (i) le scénario d'indisponibilité du SI, et (ii) un autre scénario d'indisponibilité au choix. Pour autant, les établissements peuvent traiter les 4 scénarios d'indisponibilité s'ils le souhaitent. Auquel cas, l'ensemble des dépenses associées à la réalisation des scénarios d'indisponibilité non encore couverts sont éligibles.
Par ailleurs, les travaux d'actualisation des BIA / PCRA déjà existants sont valorisables dans le cadre du domaine.

Pour le prérequis D2.P2 – Décrire l'organisation prévue pour la mise en œuvre du Plan de Continuité et de Reprise d’Activité, le candidat doit fournir un document décrivant l’organisation projet avec la constitution de l’équipe projet et d’une gouvernance du projet.
Les modalités d'organisation définies pour la mise en œuvre du PCRA sont à définir par l'établissement, tout comme le format du document soumis en réponse au prérequis. Il est recommandé que ce document présente la gouvernance opérationnelle de mise en œuvre et de suivi du PCRA, l'organisation et les parties-prenantes mobilisées ainsi que la répartition des rôles et responsabilités. Il à noter que l'organisation présentée en réponse au D2.P2 est l'organisation permettant l'atteinte des objectifs du présent domaine.
Il n'est pas exigé que le document présentant l'organisation prévue soit signé par la direction de l'établissement. Il n'est pas non plus exigé que l'équipe mobilisée soit décrite nominativement.

Les pièces justificatives sensibles devront être transmises via la plateforme sécurisée eCARE en utilisant un conteneur ZED, une solution validée par le fonctionnaire de la sécurité des systèmes d'information (FSSI). Les webinaires des 16 juillet et 9 septembre 2024 détaillent la procédure pour créer ces conteneurs. Vous pouvez les consulter sur le site esanté : https://esante.gouv.fr/webinaires

Le guide d’utilisation eCaRE pour les établissements de santé, disponible sur la page d'accueil de la plateforme Convergence (https://convergence.esante.gouv.fr/), explique également en détail la procédure d'utilisation du conteneur ZED.

En effet, dans le cas où l’exercice terrain de continuité d’activité était mutualisé avec la réalisation d’un exercice de crise cyber, les dépenses associées à la réalisation conjointe des deux tests sont-elles éligibles dans le cadre du domaine n°2 ? 

Pour rappel, seules les dépenses concourant directement à l’atteinte des objectifs du présent domaine sont éligibles. La réalisation d’un exercice de crise cyber n’est pas prévu par le domaine n°2 « continuité d’activité et sauvegarde » et faisait l’objet d’une dépense éligible dans le cadre du domaine n°1 du programme CaRE.

Par principe, les coûts associés à la réalisation d’un exercice de crise cyber ne sont pas éligibles. 

 

En cas d'indisponibilité de la plateforme oSIS V3, le candidat doit soumettre les questionnaires complétés sous la forme d'un fichier Excel, disponible sur le site du programme CaRE de l'ANS. Les champs à renseigner dans ce fichier sont identiques à ceux des formulaires correspondants de l'oSIS V3.

Selon l'instruction (N°DNS/2024/54), le projet innovant peut être proposé à la direction du programme CaRE en année 1, c'est-à-dire d'ici mai 2025. Le projet retenu doit être mis en œuvre en année 2.  

La région est libre d'établir son propre calendrier, mais les objectifs doivent être atteints au plus tard en mai 2026.