Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip

Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).

Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

Le domaine AAP MS vise à accompagner les structures du secteur médico-social dans l’amélioration de leur niveau de cybersécurité, autour des objectifs suivants :
1) Améliorer la résilience des systèmes d’information (détection, réponse et reprise après attaque) ;
2) Réduire l’exposition des structures aux menaces cyber ;
3) Sensibiliser les professionnels du secteur à la cybersécurité ;
4) Favoriser la mutualisation afin de doter les structures de ressources en sécurité des systèmes d’information (SSI) ;
5) Assurer la conformité réglementaire, notamment au regard de la directive NIS2.

Conçu de manière itérative, en concertation avec la task force cyber, les ARS, les Centres Régionaux de Ressources Cyber et les fédérations du secteur, ce dispositif couvrira l’ensemble des thématiques du programme CaRE.

L’appel à projets sera déployé de manière progressive jusqu’en 2027, avec plusieurs phases :
Phase 1 – POC (Proof of Concept) : phase exploratoire visant à tester le dispositif, limitée à environ 21 structures lauréates;

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Les groupements sont libres de choisir le ou les CRRC qui les accompagnent sur le POC.

Compte tenu du format et du nombre limité de lauréats attendus pour le POC de l’AAP, aucune communication nationale « massive » ni webinaire de présentation ne sont prévus à ce stade.
Les structures intéressées sont invitées à se rapprocher de leur GRADeS (Groupement Régional d’Appui au Développement de la e-Santé), qui constitue le point de contact privilégié au niveau régional pour relayer les informations, accompagner les structures et répondre aux premières questions relatives à l’appel à projets.

Le candidat doit uniquement renseigner la trame de l’état financier en y indiquant les temps mobilisés par chaque professionnel dans le cadre de l’appel à financement, et en ventilant les temps mobilisés par objectif. L’Agence du Numérique en Santé n’attend pas d’autres documents justificatifs relatifs à la mobilisation des équipes. Il est rappelé qu’un récapitulatif de paie annuel (au titre de 2025 et/ou 2026) ou un journal de paie est attendu pour chacun des salariés en annexe de la trame de l’état financier.  

S’agissant de la mobilisation de fonds européens, des contrôles complémentaires a posteriori peuvent être réalisés à l’initiative de la Commission Européenne. Dans ce cadre, il est recommandé aux candidats de (i) formaliser des lettres de mission permettant de justifier de la mobilisation des personnels les plus engagés dans l’atteinte des objectifs du domaine, (ii) tenir à jour un document de suivi des temps mobilisés. La formalisation et la signature de lettres de mission permet de justifier de la nouveauté des coûts engagés pour l’atteinte des objectifs du domaine et pour lesquels des subventions auront été accordées. 
Le format de la lettre de mission est libre. Elle doit néanmoins inclure les informations essentielles suivantes : le temps consacré, la personne concernée, la mission attribuée, le nom de l'établissement de santé et les signatures associées. 

L'ensemble des documents afférents au Domaine 2 ainsi que des ressources pédagogiques ([ANS-Formation] - Coorpacademy) et didactiques (à l'exemple du kit PCA / PRA mis à disposition des structures) sont disponibles sur le site de l'ANS en suivant le lien : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Le candidat est libre d’utiliser la méthodologie de son choix pour atteindre l’objectif, bien qu’il soit vivement recommandé de suivre la méthodologie et les modèles documentaires proposés dans le kit PCRA de l’ANS (accessible aux liens suivants : Espace de Documentation CaRE | E-Santé)

Pour rappel, l’atteinte de l’objectif D2.01.C repose sur :

• l’identification a minima d’un service de soin, d’un plateau technique et du processus administratif le plus critique sur lesquels seront réalisés les BIA ;
• la réalisation du PCRA sur les activités critiques ayant fait l’objet d’un BIA.

La réalisation d’un BIA est donc requise a minima pour les périmètres identifiés et ce dernier doit intégrer les informations suivantes indépendamment du modèle utilisé : (i) la liste des activités considérées, (ii) le degré de criticité de chaque activité selon une échelle temporelle, (iii) les types d’impacts associés à une interruption d’activité, (iv) le délai maximal d’indisponibilité de l’activité, et (v) les besoins matériels et humains liés à l’indisponibilité.

Le kit PCA / PRA proposé par l'ANS a fait l'objet d'une phase d'expérimentation avec plusieurs établissements de santé. Si le document est amené à évoluer dans le cadre d'une démarche d'amélioration continue, aucune publication d'une nouvelle version du kit n'est aujourd'hui prévue.

Les équipes de l'ANS restent à l'écoute des retours, propositions et demandes des établissements concernant le programme au travers de son support dédié : https://esante.gouv.fr/contact?contact_theme=programme_care

Le domaine 3 est actuellement en cours de construction. Son lancement est envisagé en 2027, conjointement avec le domaine 4, afin d’assurer une articulation cohérente entre la sécurisation des accès distants et celle des postes de travail.

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

L'objectif du domaine 3 est de sécuriser l'ensemble des accès distants, couvrant à la fois les fournisseurs et les accès du personnel des établissements.
Le grand nombre de fournisseurs nécessitant des connexions avec les solutions déployées dans les établissements de santé crée un risque accru d'intrusions par des attaquants exploitant ces "portes ouvertes". Il est donc nécessaire de sécuriser les accès distants, non seulement pour la télémaintenance, mais aussi pour le personnel des établissements de santé.

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

L'offre de service d'identification électronique de l'Agence du Numérique en Santé (ANS) évolue. En effet, un service d'enregistrement national pour l'ensemble des professionnels utilisateurs du système d'information de l'établissement va être proposé. L'enregistrement national du professionnel sera ainsi un prérequis pour l'obtention d'un moyen d'identification électronique délivrée par l'ANS. Chaque identité numérique enregistrée dans ce répertoire national d'identité aura accès à un e-CPS. Selon la contractualisation entre la structure d'exercice et l'ANS, une carte physique pourra être délivrée au professionnel.

Pour l'accès aux services numériques sensibles externes (nationaux, régionaux), l'ouverture de l'enregistrement des professionnels à rôle du secteur sanitaire sera disponible au terme de la phase d'expérimentation en cours via l'appel à projet alpha CaRE-HospiConnect.

Oui, l'obligation est toujours applicable au 1er janvier 2026. Des travaux de révisions du référentiel d'identification électronique (RIE) PGSSI-S sont actuellement en cours (CNIL et ANSSI). Pour en savoir plus, nous vous invitons à consulter le replay du webinaire du 20/06/2025 qui traite de la sécurisation de la chaîne d'identification électronique des professionnels avec un retour d'expérience des lauréats d'HospiConnect. 

Certains lauréats de la phase alpha de l'appel à projets HospiConnect ont échangé avec les agences d'intérimaires avec lesquelles ils travaillent et ont convenu avec eux d'avoir les numéros RPPS de ces professionnels dans les contrats pour ceux qui pouvaient l'avoir. Pour ces professionnels, ils devaient aussi s'assurer qu'ils mettaient à jour leurs activités avec le nouveau contrat et étaient en possession a minima d'un MIE compatible, donc la e-CPS ou la carte CPS.

Pour ceux sans RPPS, ils demandaient aux agences d'intérimaires de pousser les professionnels à s'enregistrer au RPPS s'ils dépendaient d'un Ordre ou d'un ARS, ou sur le portail RPPS+ dès qu'ils avaient un premier contrat d'intérimaire pour que la structure puisse anticiper et valider l'enregistrement puis commander rapidement le MIE si nécessaire.

Dans le cadre de l'appel à projet Alpha d'HospiConnect, nous demandons aux lauréats de nous fournir une estimation chiffrée de la charge RH nécessaires pour ce projet. Nous ferons un retour concaténé de ces éléments chiffrés vers la fin d'année dans notre guide de retour d'expérience.

Les cartes CPx ne sont pas les seuls MIE possibles pour répondre aux enjeux de l'authentification forte. Certains lauréats de l'appel à projet HospiConnect Alpha ont essayé des technologies autres que les cartes comme les clés FIDO2 ou des applications embarquées sur un téléphone mobile. Dans tous les cas, tout professionnel enregistré au RPPS peut bénéficier de la e-CPS.
De manière générale, l'ANS est en train de faire évoluer son offre d'identification électronique pour permettre une bascule progressive vers une logique de carte à identifiant national, qui sera plus large que seulement le RPPS. Cela inclura nécessairement ce type de professionnel.