63 Questions/réponses
Cybersécurité Programme CaRE
Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.
L’objectif du domaine Stratégie de continuité et de Reprise d’activité est de permettre aux établissements sanitaires et médico-sociaux, en cas d’incident, de reconstituer rapidement les services critiques et d’assurer la continuité et la reprise de leur activité.
Lors d’une attaque de type rançongiciel (une des principales menaces), les attaquants cherchent à chiffrer les données des ES, mais aussi les sauvegardes, rendant la reprise d’activité particulièrement complexe, avec des pertes de données massives et critiques. Un effort particulier doit être porté sur la capacité des établissements à se préparer, s’organiser et à réagir dans le cadre d’une cyberattaque, notamment dans la mise en place de sauvegardes non contaminables et restaurables pour toutes les applications critiques.
Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources
Cette réponse vous a-t-elle été utile ?
Non, il n’est pas requis, dans le cadre de l’objectif D2.O3.C, que l’immuabilité soit forcément assurée sur la copie hors site / hors ligne.
Cette réponse vous a-t-elle été utile ?
Le domaine 3 est actuellement en cours de construction. Son lancement est envisagé en 2027, conjointement avec le domaine 4, afin d’assurer une articulation cohérente entre la sécurisation des accès distants et celle des postes de travail.
Cette réponse vous a-t-elle été utile ?
Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.
L'objectif du domaine 3 est de sécuriser l'ensemble des accès distants, couvrant à la fois les fournisseurs et les accès du personnel des établissements.
Le grand nombre de fournisseurs nécessitant des connexions avec les solutions déployées dans les établissements de santé crée un risque accru d'intrusions par des attaquants exploitant ces "portes ouvertes". Il est donc nécessaire de sécuriser les accès distants, non seulement pour la télémaintenance, mais aussi pour le personnel des établissements de santé.
Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources
Cette réponse vous a-t-elle été utile ?
Oui, l'obligation est toujours applicable au 1er janvier 2026. Des travaux de révisions du référentiel d'identification électronique (RIE) PGSSI-S sont actuellement en cours (CNIL et ANSSI). Pour en savoir plus, nous vous invitons à consulter le replay du webinaire du 20/06/2025 qui traite de la sécurisation de la chaîne d'identification électronique des professionnels avec un retour d'expérience des lauréats d'HospiConnect.
Cette réponse vous a-t-elle été utile ?
Le domaine HospiConnect porte sur l’accompagnement technique et financier des établissements pour déployer auprès des professionnels qui y exercent les moyens d’identification électroniques (MIE) les mieux adaptés.
Il vise à simplifier et sécuriser l’accès des professionnels aux services numériques sensibles des établissements et aux services socles nationaux du numérique en santé (par exemple le DMP).
Deux dispositifs de financement complémentaires – et effectifs sur une durée de 3 ans – sont aujourd’hui proposés par les dispositifs HospiConnect/HOP’EN2 et HospiConnect/CaRE.
Le dispositif HospiConnect/CaRE vise à financer les moyens d’authentification électroniques et les composants nécessaires à leur lecture pour permettre aux établissements de santé la mise en œuvre d’une authentification à deux facteurs (2FA) conforme au Référentiel d’Identification Electronique de la PGSSI-S.
Cette réponse vous a-t-elle été utile ?
Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité confrimé, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.
Il existe des kits adaptés à différents niveaux de maturité : débutant, intermédiaire, confirmé. Voici le kit confirmé : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-confirme.zip
Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx
Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Cette réponse vous a-t-elle été utile ?
Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité intermédiaire, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.
Il existe des kits adaptés à différents niveaux de maturité : débutant, intermédiaire, confirmé. Voici le kit intermédiaire : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-intermediaire.zip
Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx
Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Cette réponse vous a-t-elle été utile ?
Ce kit a pour objectif de permettre à une structure de santé avec un niveau de maturité débutant, de découvrir la gestion de crise cybersécurité en condition réelle et de s’approprier des automatismes de gestion de crise cybersécurité afin de renforcer la résilience de leur structure et d’assurer au mieux la continuité des soins.
Il existe des kits adaptés à différents niveaux de maturité : débutant, intermédiaire, confirmé. Voici le kit débutant : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-debutant.zip
Le niveau de maturité est déterminé par une grille d’auto-évaluation, permettant à chaque établissement de sélectionner le kit approprié à son contexte : https://esante.gouv.fr/sites/default/files/media_entity/documents/grille-devaluation_v1.1.xlsx
Une nouvelle version du kit 2 propose des chronogrammes adaptés, aux Etablissements MCO, aux Etablissements de Santé hors MCO (PSY, Hospitalisation à domicile (HAD), Soins de suite et de réadaptation (SSR)), ESMS : https://esante.gouv.fr/sites/default/files/media_entity/documents/kit-exercice-de-crise-cyber-v2.zip
Cette réponse vous a-t-elle été utile ?
Dans la continuité des travaux réalisés pour produire et déployer les kits d'exercices de crise, les établissements sanitaires ont exprimé le besoin d’être accompagnés dans la formalisation et la mise en œuvre de leur Plan de Continuité d’Activité (PCA) et de leur Plan de Reprise d’Activité (PRA). Le programme CaRE propose un kit PCA/PRA constitué d’un ensemble d’outils nécessaires à l’écriture de ces plans. Ce kit s'appuie la documentation de référence en cybersécurité : le Plan Blanc Numérique de la DGOS et guide de la continuité d’activité du SGDSN. Il adopte une approche orientée métier et non SI. Il est divisé en 4 parties :
Le cadrage du projet, pour initier la démarche : présentation du PCRA, mode d'emploi du kit, lexique, fiche de mission pour le Responsable PCRA et RETEX de la phase pilote : https://esante.gouv.fr/sites/default/files/media_entity/documents/01_kit-pca-pra_cadrage.zip
Les documents méthodologiques, pour comprendre la méthode de rédaction des plans de conduite et reprise d’activité : fiches, prototype de BIA, trame de PCRA, etc. : https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip
Trois exemples de Bilan d'Impact sur l'Activité (BIA), pour s'inspirer : service RH, service de réanimation, laboratoire : https://esante.gouv.fr/sites/default/files/media_entity/documents/04_kit-pca_pra_exemples-bia.zip
La gestion du PCRA, pour maintenir son PCRA à jour : fiche méthodologique sur le maintien en conditions opérationnelles du PCRA : https://esante.gouv.fr/sites/default/files/media_entity/documents/03_kit-pca_pra_gestion-du-pcra.zip
Cette réponse vous a-t-elle été utile ?
Le domaine 4 est actuellement en cours de construction. Son lancement est envisagé en 2027, conjointement avec le domaine 3, afin d’assurer une articulation cohérente entre la sécurisation des accès distants et celle des postes de travail.
Cette réponse vous a-t-elle été utile ?
Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.
L’objectif du domaine 4 est de sécuriser et superviser l’ensemble des postes de travail, afin de détecter au plus tôt les tentatives d’intrusion et les comportements anormaux au sein du système d’information.
Les postes de travail constituent un point d’entrée majeur pour les attaquants, notamment par l’intermédiaire de campagnes d’hameçonnage, de téléchargements malveillants ou de vulnérabilités non corrigées. Une fois compromis, ils peuvent permettre aux attaquants de se propager dans le système d’information et d’accéder à des ressources sensibles. Il est donc nécessaire de renforcer leur sécurisation et leur supervision, qu’il s’agisse des postes individuels, partagés ou nomades, mais aussi des postes à privilèges et à usages sensibles.
Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources
Cette réponse vous a-t-elle été utile ?
Vous pouvez nous les transmettre via notre support dédié au programme Care : https://esante.gouv.fr/contact en sélectionnant l'entrée "Demande d'accompagnement en cybersécurité" dans "votre demande de contact porte sur".
Cette réponse vous a-t-elle été utile ?
Certaines questions et cellules de réponse sont grisées car :
• Leur affichage est conditionné aux réponses apportées aux questions précédentes. Par exemple, si la structure répond "1 - Je suis ou je fais partie d'une entité juridique avec plusieurs FINESS géographiques" à la Q1, les lignes correspondant aux Q2 et Q3 se dégrisent.
• Les cellules dans les colonnes "Réponse Etablissement" se dégrisent pour les questions à choix multiples.
N'hésitez pas à prendre connaissance de l'onglet "Page de garde" présent dans le fichier, car tout y est détaillé. Par ailleurs, pour votre information, nous sommes en train de travailler à la rédaction d'un guide d'aide au renseignement de l'OPSSIMS.
Pour consulter, l'OPSSIMS, rendez-vous sur la page https://esante.gouv.fr/strategie-nationale/cybersecurite
Cette réponse vous a-t-elle été utile ?
Des actions de sensibilisation sont déjà proposées par les GRADeS dans les différentes régions.
Concernant l’aspect formation, celui-ci est déjà pris en compte par les organismes de formation (en lien avec l'objectif 11 du plan d'action CaRE).
Par ailleurs, les CRRC (Centres Régionaux de Ressources Cybersécurité) peuvent proposer des catalogues de formation à destination des professionnels informatiques (direction des systèmes d'information [DSI], responsable de la sécurité des systèmes d'information [RSSI], etc.).
Cette réponse vous a-t-elle été utile ?