24 Questions/réponses
Cybersécurité Programme CaRE
Vous pouvez vous appuyer sur les kits d’aide à la réalisation d’exercices de gestion de crise spécifique au secteur médico-social, prêts à l’emploi. https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Chaque kit est composé de documents de communication, pour les participants et pour l’animateur, et comprennent un déroulé des scénarios d’exercice (ou « chronogramme »).
Une présentation complète des kits est disponible et a fait l'objet du dernier webinaire d'avril 2025 : https://esante.gouv.fr/webinaires/programme-care-presentation-des-kits-dexercice-de-crise-v2
Cette réponse vous a-t-elle été utile ?
Le candidat doit uniquement renseigner la trame de l’état financier en y indiquant les temps mobilisés par chaque professionnel dans le cadre de l’appel à financement, et en ventilant les temps mobilisés par objectif. L’Agence du Numérique en Santé n’attend pas d’autres documents justificatifs relatifs à la mobilisation des équipes. Il est rappelé qu’un récapitulatif de paie annuel (au titre de 2025 et/ou 2026) ou un journal de paie est attendu pour chacun des salariés en annexe de la trame de l’état financier.
S’agissant de la mobilisation de fonds européens, des contrôles complémentaires a posteriori peuvent être réalisés à l’initiative de la Commission Européenne. Dans ce cadre, il est recommandé aux candidats de (i) formaliser des lettres de mission permettant de justifier de la mobilisation des personnels les plus engagés dans l’atteinte des objectifs du domaine, (ii) tenir à jour un document de suivi des temps mobilisés. La formalisation et la signature de lettres de mission permet de justifier de la nouveauté des coûts engagés pour l’atteinte des objectifs du domaine et pour lesquels des subventions auront été accordées.
Le format de la lettre de mission est libre. Elle doit néanmoins inclure les informations essentielles suivantes : le temps consacré, la personne concernée, la mission attribuée, le nom de l'établissement de santé et les signatures associées.
Cette réponse vous a-t-elle été utile ?
L'ensemble des documents afférents au Domaine 2 ainsi que des ressources pédagogiques ([ANS-Formation] - Coorpacademy) et didactiques (à l'exemple du kit PCA / PRA mis à disposition des structures) sont disponibles sur le site de l'ANS en suivant le lien : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources
Cette réponse vous a-t-elle été utile ?
Le candidat est libre d’utiliser la méthodologie de son choix pour atteindre l’objectif, bien qu’il soit vivement recommandé de suivre la méthodologie et les modèles documentaires proposés dans le kit PCRA de l’ANS (accessible aux liens suivants : Espace de Documentation CaRE | E-Santé)
Pour rappel, l’atteinte de l’objectif D2.01.C repose sur :
- l’identification a minima d’un service de soin, d’un plateau technique et du processus administratif le plus critique sur lesquels seront réalisés les BIA ;
- la réalisation du PCRA sur les activités critiques ayant fait l’objet d’un BIA.
La réalisation d’un BIA est donc requise a minima pour les périmètres identifiés et ce dernier doit intégrer les informations suivantes indépendamment du modèle utilisé : (i) la liste des activités considérées, (ii) le degré de criticité de chaque activité selon une échelle temporelle, (iii) les types d’impacts associés à une interruption d’activité, (iv) le délai maximal d’indisponibilité de l’activité, et (v) les besoins matériels et humains liés à l’indisponibilité.
Cette réponse vous a-t-elle été utile ?
Le kit PCA / PRA proposé par l'ANS a fait l'objet d'une phase d'expérimentation avec plusieurs établissements de santé. Si le document est amené à évoluer dans le cadre d'une démarche d'amélioration continue, aucune publication d'une nouvelle version du kit n'est aujourd'hui prévue.
Les équipes de l'ANS restent à l'écoute des retours, propositions et demandes des établissements concernant le programme au travers de son support dédié : https://esante.gouv.fr/contact?contact_theme=programme_care
Cette réponse vous a-t-elle été utile ?
Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.
L'objectif du domaine 3 est de sécuriser l'ensemble des accès distants, couvrant à la fois les fournisseurs et les accès du personnel des établissements.
Le grand nombre de fournisseurs nécessitant des connexions avec les solutions déployées dans les établissements de santé crée un risque accru d'intrusions par des attaquants exploitant ces "portes ouvertes". Il est donc nécessaire de sécuriser les accès distants, non seulement pour la télémaintenance, mais aussi pour le personnel des établissements de santé.
Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources
Cette réponse vous a-t-elle été utile ?
L'offre de service d'identification électronique de l'Agence du Numérique en Santé (ANS) évolue. En effet, un service d'enregistrement national pour l'ensemble des professionnels utilisateurs du système d'information de l'établissement va être proposé. L'enregistrement national du professionnel sera ainsi un prérequis pour l'obtention d'un moyen d'identification électronique délivrée par l'ANS. Chaque identité numérique enregistrée dans ce répertoire national d'identité aura accès à un e-CPS. Selon la contractualisation entre la structure d'exercice et l'ANS, une carte physique pourra être délivrée au professionnel.
Pour l'accès aux services numériques sensibles externes (nationaux, régionaux), l'ouverture de l'enregistrement des professionnels à rôle du secteur sanitaire sera disponible au terme de la phase d'expérimentation en cours via l'appel à projet alpha CaRE-HospiConnect.
Cette réponse vous a-t-elle été utile ?
Certains lauréats de la phase alpha de l'appel à projets HospiConnect ont échangé avec les agences d'intérimaires avec lesquelles ils travaillent et ont convenu avec eux d'avoir les numéros RPPS de ces professionnels dans les contrats pour ceux qui pouvaient l'avoir. Pour ces professionnels, ils devaient aussi s'assurer qu'ils mettaient à jour leurs activités avec le nouveau contrat et étaient en possession a minima d'un MIE compatible, donc la e-CPS ou la carte CPS.
Pour ceux sans RPPS, ils demandaient aux agences d'intérimaires de pousser les professionnels à s'enregistrer au RPPS s'ils dépendaient d'un Ordre ou d'un ARS, ou sur le portail RPPS+ dès qu'ils avaient un premier contrat d'intérimaire pour que la structure puisse anticiper et valider l'enregistrement puis commander rapidement le MIE si nécessaire.
Cette réponse vous a-t-elle été utile ?
Dans le cadre de l'appel à projet Alpha d'HospiConnect, nous demandons aux lauréats de nous fournir une estimation chiffrée de la charge RH nécessaires pour ce projet. Nous ferons un retour concaténé de ces éléments chiffrés vers la fin d'année dans notre guide de retour d'expérience.
Cette réponse vous a-t-elle été utile ?
Les cartes CPx ne sont pas les seuls MIE possibles pour répondre aux enjeux de l'authentification forte. Certains lauréats de l'appel à projet HospiConnect Alpha ont essayé des technologies autres que les cartes comme les clés FIDO2 ou des applications embarquées sur un téléphone mobile. Dans tous les cas, tout professionnel enregistré au RPPS peut bénéficier de la e-CPS.
De manière générale, l'ANS est en train de faire évoluer son offre d'identification électronique pour permettre une bascule progressive vers une logique de carte à identifiant national, qui sera plus large que seulement le RPPS. Cela inclura nécessairement ce type de professionnel.
Cette réponse vous a-t-elle été utile ?
Certains lauréats de l'appel à projet HospiConnect Alpha ont demandé aux agences proposant des personnels intérimaires avec lesquels ils travaillent de demander que ces professionnels s'enregistrent au RPPS et aient un MIE compatibles (CPS ou e-CPS) avant leur arrivée dans le centre.
De manière générale, ainsi que pour les intérimaires, il peut être utile d'avoir un stock tampon de MIE locaux que la structure peut paramétrer localement pour être flexible hors du RPPS (cela peut d'ailleurs permettre de gérer les arrivées dans les heures non ouvrées grâce à une permanence du poste de sécurité de l'établissement par exemple).
Cette réponse vous a-t-elle été utile ?
Le domaine HospiConnect porte sur l’accompagnement technique et financier des établissements pour déployer auprès des professionnels qui y exercent les moyens d’identification électroniques (MIE) les mieux adaptés.
Il vise à simplifier et sécuriser l’accès des professionnels aux services numériques sensibles des établissements et aux services socles nationaux du numérique en santé (par exemple le DMP).
Deux dispositifs de financement complémentaires – et effectifs sur une durée de 3 ans – sont aujourd’hui proposés par les dispositifs HospiConnect/HOP’EN2 et HospiConnect/CaRE.
Le dispositif HospiConnect/CaRE vise à financer les moyens d’authentification électroniques et les composants nécessaires à leur lecture pour permettre aux établissements de santé la mise en œuvre d’une authentification à deux facteurs (2FA) conforme au Référentiel d’Identification Electronique de la PGSSI-S.
Cette réponse vous a-t-elle été utile ?
Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité confrimé, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.
Il existe des kits adaptés à différents niveaux de maturité : débutant, intermédiaire, confirmé. Voici le kit confirmé : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-confirme.zip
Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx
Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Cette réponse vous a-t-elle été utile ?
Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité intermédiaire, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.
Il existe des kits adaptés à différents niveaux de maturité : débutant, intermédiaire, confirmé. Voici le kit intermédiaire : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-intermediaire.zip
Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx
Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Cette réponse vous a-t-elle été utile ?
Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité débutant, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.
Il existe des kits adaptés à différents niveaux de maturité : débutant, intermédiaire, confirmé. Voici le kit débutant : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-debutant.zip
Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx
Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Cette réponse vous a-t-elle été utile ?