63 Questions/réponses
Cybersécurité Programme CaRE
Vous trouverez ce n° directement sur la plateforme eCaRE : https://convergence.esante.gouv.fr/login/convergence/etabsante
Cette réponse vous a-t-elle été utile ?
Le cahier des charges publié le 31/03/2026 (disponible ici), stipule que : « L’expérimentation est ouverte à l’ensemble des établissements et services sociaux et médico-sociaux (ESSMS) relevant de l’article L.312-1 du Code de l’action sociale et des familles (CASF).
Les ESSMS rattachés à des structures hybrides (sanitaire et médico-social) sont éligibles, dès lors que la candidature porte exclusivement sur le périmètre médico-social. Toute structure strictement sanitaire est exclue de cet appel à projets.
Sont également acceptés tous types de regroupements d’ESSMS, notamment :
• Organismes gestionnaires (OG),
• Grappes d’établissements formées dans le cadre du programme ESSMS numérique (en incluant tous les établissements composant la grappe),
• Groupements de coopération sociale ou médico-sociale (GCSMS),
• Groupements territoriaux sociaux ou médico-sociaux (GTSMS),
• Tout groupement constitué par une convention de partenariat spécifiquement signée dans le cadre de l’appel à projets médico-social ».
Cette réponse vous a-t-elle été utile ?
Dans le cas d’une candidature portée par un groupement, organisme gestionnaire (OG) ou une entité juridique, il n’est pas nécessaire que l’ensemble des entités géographiques soient équipées d’un DUI référencé Ségur. La candidature peut être déposée pour le périmètre des entités géographiques éligibles et équipées d’un DUI référencée Ségur.
Cette réponse vous a-t-elle été utile ?
Oui, un établissement peut candidater au POC de l’AAP même lorsqu’il est équipé d’un DPI référencé Ségur.
Ce cas concernant majoritairement des ESSMS adossés à des structures sanitaires, les structures sont éligibles dès lors que la candidature porte exclusivement sur le périmètre médico-social.
Une vigilance particulière est toutefois apportée à l’absence de double financement pour ce cas : l’ESSMS ne doit pas avoir déjà bénéficié, via la structure sanitaire à laquelle il est rattaché, à des financements portant sur les mêmes thématiques que le POC de l’AAP, notamment dans le cadre de dispositifs relevant du périmètre sanitaire (ex. domaines 1 et 2 du programme CaRE).
Cette réponse vous a-t-elle été utile ?
Le financement du POC est attribué sous forme forfaitaire en fonction du parcours et du nombre d’entités géographiques éligibles incluses dans la candidature.
En revanche, les lauréats du POC seront amenés, au cours du projet, à renseigner une trame financière permettant de retracer l’ensemble des dépenses ayant contribué à l’atteinte des objectifs sélectionnés. Cette trame précisera notamment les coûts associés à chaque objectif du parcours.
Ces éléments sont requis à des fins de suivi et de retour d’expérience (RETEX), en vue d’alimenter les futures itérations du dispositif.
Les dépenses déclarées, y compris celles liées au temps de mobilisation des ressources humaines, devront être cohérentes avec les objectifs du POC retenus et dûment justifiées.
Cette réponse vous a-t-elle été utile ?
Le financement est accordé au forfait dès lors que l’ensemble des objectifs est atteint. La trame financière a principalement pour objectif d’affiner les hypothèses relatives aux dépenses engagées dans le cadre du POC, de mieux comprendre les modalités de mise en œuvre retenues par les lauréats et d’alimenter la réflexion sur le modèle financier à retenir pour la généralisation du dispositif.
Les établissements sont par ailleurs invités à privilégier, lorsque cela est pertinent au regard de leurs besoins, les prestations proposées par leur CRRC.
Cette réponse vous a-t-elle été utile ?
Le financement du POC est attribué sous forme forfaitaire ; il n’existe donc pas de liste de dépenses éligibles ou non éligibles à proprement parler.
Les candidats doivent en revanche s’assurer que les moyens mobilisés, qu’ils soient humains, techniques ou organisationnels, sont cohérents avec les objectifs du parcours du POC retenu. Les dépenses engagées devront contribuer directement à l’atteinte de ces objectifs et être justifiables dans le cadre du suivi et du retour d’expérience du dispositif.
Cette réponse vous a-t-elle été utile ?
Non, le cahier des charges publié le 31/03/2026 (disponible ici) fait explicitement référence au régime des aides de minimis, qui fixe un plafond de 300 000 € par entreprise sur une période de trois années glissantes.
À ce titre, seules les aides qualifiées juridiquement d’« aides de minimis » doivent être prises en compte dans le calcul de ce plafond.
Les financements relevant d’autres fondements juridiques ne sont pas intégrés dans ce calcul, y compris lorsqu’ils portent sur des thématiques connexes telles que le numérique, la cybersécurité ou la modernisation des systèmes d’information.
En particulier, les financements attribués dans le cadre du programme ESMS numérique ne relèvent pas du régime des aides de minimis ; les montants perçus à ce titre ne sont donc pas à inclure dans le calcul du plafond de 300 000€.
Ainsi, un candidat ayant bénéficié de financements importants au titre d’ESMS numérique peut demeurer pleinement éligible au POC de l’AAP, sous réserve que le plafond des aides relevant du régime de minimis ne soit pas dépassé par ailleurs.
Dans le cadre de la candidature à ce POC, les candidats devront déclarer uniquement les aides relevant du régime de minimis qu’ils ont perçues ou qui leur ont été octroyées. Les modalités précises de cette déclaration seront communiquées aux lauréats.
Cette réponse vous a-t-elle été utile ?
Les coûts liés à la mobilisation des ressources humaines du candidat sont éligibles, y compris le temps consacré à la conception, à la mise en œuvre et au suivi du projet.
Toutefois, ces dépenses doivent être explicitement justifiées au regard des objectifs du parcours du POC sélectionné.
À ce titre, les candidats sont invités à identifier les collaborateurs effectivement mobilisés dans l’atteinte des objectifs du projet et, le cas échéant, à formaliser cette mobilisation (par exemple via une lettre de mission), afin de faciliter la justification ultérieure des coûts engagés.
En effet, bien que le financement de l’appel à projets soit attribué sous forme forfaitaire, les lauréats devront renseigner l’ensemble des dépenses ayant contribué à l’atteinte des objectifs du projet. Ils seront notamment amenés à compléter une trame financière précisant les coûts associés à chaque objectif. Ces éléments contribueront au retour d’expérience (RETEX) en vue de futures itérations du dispositif.
Cette réponse vous a-t-elle été utile ?
Le financement est accordé sous forme de subvention forfaitaire.
Son montant dépend :
• du parcours de cybersécurité choisi (parcours 1, 2 ou 3) ;
• du nombre d’entités géographiques (EG) intégrées dans la candidature.
Le calcul repose sur un montant unitaire par EG, variable selon le parcours, auquel s’applique une règle de dégressivité par tranche d’EG :
• les 4 premières EG sont financées à 100 % ;
• des taux dégressifs s’appliquent ensuite selon le nombre total d’EG ;
• aucun financement n’est accordé au-delà de la 12ᵉ EG.
Exemples illustratifs :
• Parcours 1 – candidat avec 2 EG
o Montant unitaire parcours 1 : 9 400 € / EG, avec 2 EG financées à 100 %
o Montant de la subvention : 18 800 €
• Parcours 2 – Organisme gestionnaire regroupant 8 EG
o Montant unitaire parcours 2 : 17 000 € / EG, avec application des taux dégressifs à partir de la 5ᵉ
EG
o Montant de la subvention : 102 000 €
• Parcours 3 – Grappe regroupant 25 EG
o Montant unitaire parcours 3 : 17 000 € / EG, avec financement jusqu’à l’EG 12 uniquement
o Montant de la subvention : 115 600 €
La subvention est versée en fonction de l’atteinte des objectifs cibles du parcours retenu.
Cette réponse vous a-t-elle été utile ?
L'ANS va réaliser des opérations de contrôle, tant techniques que financiers, afin de vérifier la bonne atteinte des objectifs par les établissements. Ces opérations se dérouleront par une étude des pièces transmises par l'établissement en amont, complétée, si nécessaire, par des entretiens avec l'établissement.
Cette réponse vous a-t-elle été utile ?
Le recours à des prestataires externes est autorisé. Toutefois, il est attendu que le porteur de projet et ses équipes internes soient pleinement impliqués dans la mise en œuvre du projet. Les candidats devront ainsi prévoir et démontrer une mobilisation effective de ressources internes, notamment en termes de temps dédié, de pilotage et de suivi des actions.
Cette réponse vous a-t-elle été utile ?
Les établissements appliquent leurs procédures habituelles d'achat et de contractualisation. Aucun processus spécifique n'est prévu dans le cadre du POC.
Cette réponse vous a-t-elle été utile ?
Les deux objectifs sont complémentaires mais répondent à des finalités différentes.
Dans l’objectif P3.O2.2, la procédure relative à la gestion des accès et des habilitations doit décrire les modalités opérationnelles et techniques de gestion des accès au système d’information.
Dans l’objectif P3.O2.3, il est attendu une formalisation des modalités organisationnelles de gestion des comptes utilisateurs et des habilitations, précisant notamment les rôles et responsabilités des acteurs impliqués (demandeur, valideur, administrateur), les circuits de validation et les canaux utilisés. La mise en place d’une matrice d’habilitation fait également partie des attendus de cet objectif.
Ainsi, l’objectif P3.O2.2 porte sur la mise en œuvre opérationnelle des accès et habilitations, tandis que l’objectif P3.O2.3 porte sur le cadre organisationnel associé. Une même documentation peut comporter des éléments communs, sous réserve que les attendus spécifiques de chaque objectif soient couverts.
Cette réponse vous a-t-elle été utile ?
Les groupements sont libres de choisir le ou les CRRC qui les accompagnent sur le POC.
Cette réponse vous a-t-elle été utile ?