Le planning de réalisation des autres exercices de PCA ne fait pas l’objet d’un contenu minimal obligatoire. Il doit toutefois préciser a minima la nature des exercices prévus, les services ou périmètres concernés ainsi que les dates prévisionnelles de réalisation.

Afin de renforcer progressivement la résilience de l’établissement, il est recommandé de prévoir des exercices couvrant les différents scénarios d’indisponibilité et d’impliquer, à terme, l’ensemble des entités concernées.

Les candidats sont également invités à faire figurer dans ce planning les exercices qui pourraient être réalisés après l’atteinte du sous-objectif D2.O1.D, notamment pour les services qui n’auraient pas encore été intégrés au dispositif ou qui ne seraient pas encore ouverts.

Non, dans le cadre de l'objectif D2.O1.C, il est demandé de traiter les BIA et PCRA sur a minima 3 services critiques : un service de soin, un plateau technique et un service support/administratif.

La possibilité de traiter deux services de soins est offerte uniquement aux établissements ne disposant pas de plateau technique, et non à ceux qui ne pourraient pas traiter ce service critique pendant la phase opérationnelle.

Pour l’objectif D2.O2.A « Formaliser les politiques de sauvegarde », le candidat doit transmettre la liste complète des applications en mode SaaS en précisant, pour chacune d’elle, si un PAS a été obtenu. Deux PAS (ou attestation d’existence) doivent être fournis.

Pour l’objectif D2.O3.A « Mettre en œuvre une authentification sécurisée pour les infrastructures de sauvegarde » un PAS ou un extrait de celui-ci doit être transmis lorsque l’infrastructure de sauvegarde est externalisée.

Pour l’objectif D2.O3.B « Mettre en œuvre un cloisonnement des infrastructures de sauvegarde » un PAS ou un extrait de celui-ci doit également être fourni lorsque l’infrastructure de sauvegarde est externalisée.
Enfin, pour l’objectif D2.O3.C « Mettre en œuvre une stratégie de sauvegarde 3-2-1 » un PAS ou un extrait de celui-ci est requis dans le cas d’une infrastructure de sauvegarde externalisée.

Pour l’ensemble de ces objectifs, lorsqu’un PAS requis ne peut être transmis, le candidat doit préciser lors du dépôt du dossier, le motif de cette absence ainsi que le nom du prestataire concerné.

Seules les dépenses concourant directement à l’atteinte des objectifs du présent domaine sont éligibles. La réalisation d’un exercice de gestion de crise cyber n’est pas objectivé dans le cadre du domaine n°2 « continuité d’activité et sauvegarde ». Par principe, les coûts associés à la réalisation d’un exercice de gestion crise cyber ne sont pas éligibles.

Néanmoins, et dans le cas spécifique où un candidat réalise le test PCA dans le cadre d'un exercice de crise, alors la dépense serait considérée comme éligible dans le cadre du domaine.

La trame financière transmise lors du dépôt des preuves d’atteinte des objectifs devra recenser l'ensemble des coûts engagés ainsi que les dépenses prévisionnelles jusqu'à la fin de la phase opérationnelle.

À compter de ce dépôt, aucune nouvelle ligne de coût ne pourra être ajoutée. Seuls les montants ou informations relatifs à des dépenses déjà renseignées dans la trame pourront être actualisés au début de la phase d’instruction, lorsqu’ils n’auront pas pu être intégrés au moment du dépôt, notamment en raison de délais de traitement administratif ou comptable (par exemple, des coûts internes du mois de novembre dont le traitement par l’agence comptable n’aurait pas encore été finalisé).

Une version non signée de la trame financière peut être transmise lors du dépôt du dossier. La signature devra toutefois être réalisée préalablement à l’instruction financière, lors de la complétude des lignes relatives aux dépenses prévisionnelles.

La liste des établissements éligibles au Domaine 2 ainsi que l'activité combinée retenue (mesure 2022) pour chacun est disponible dans la base établissement mise à disposition sur le site de l'ANS à cette adresse.

Comme indiqué en annexe 2 de l'arrêté, ne sont éligibles à l'AAF Domaine 2 que les établissements qui :

• disposent d'une autorisation à jour, délivrée par l'ARS de rattachement, leur permettant d'exercer en tant qu'établissement de santé ;
• ont déclaré une activité PMSI non nulle en termes de séjours hospitaliers en 2022 ;
• possèdent un identifiant FINESS juridique, dont la catégorie FINESS est comprise dans les valeurs suivantes : 1101, 1102, 1103, 1104, 1106, 1107, 1109, 1110, 1111, 1201, 1203, 1205, 2205 ;
• possèdent un identifiant FINESS géographique, dont la catégorie FINESS est comprise dans les valeurs suivantes : 101, 355, 292, 131, 106, 109, 362, 122, 128, 129, 365, 156, 161, 366, 412, 415, 425, 430, 444, 127, 141, 146, 114, 115, 697.

Les entités juridiques médico-sociales ne sont pas éligibles au financement ouvert par le Domaine 2. En revanche, ces entités juridiques seront éligibles au futur appel à projet CaRE dédié au secteur médico-social.

En complément, l'établissement ou le GHT, dont un ou plusieurs établissements parties comptent des EG médico-sociales, peut intégrer ces EG dans le cadre de ses travaux pour la politique et les plans de sauvegarde prévu par le domaine, notamment s’ils s’appuient sur l’infrastructure commune de l’établissement. Cependant, ces EG médico-sociales ne sont pas prises en compte dans le calcul du financement attribué à l'établissement candidat.

Les écarts constatés dans la base des établissements éligibles au Domaine 2 (cf. la documentation accessible par ce lien) peuvent être signalés via le support de l'ANS dédié pour le programme CaRE en suivant ce lien.

Une entité juridique doit nécessairement candidater pour l’ensemble de ses entités géographiques. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du candidat, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Un GHT doit nécessairement candidater pour le compte de l'ensemble des établissements partie à son groupement. L’atteinte de chaque objectif est conditionnée par la réalisation de celui-ci par chaque entité du GHT, à l’exception des objectifs D2.O1.C et D2.O1.D, pour lesquels une souplesse est exprimée en part d’activité combinée à couvrir.

Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.

L’objectif du domaine Stratégie de continuité et de Reprise d’activité est de permettre aux établissements sanitaires et médico-sociaux, en cas d’incident, de reconstituer rapidement les services critiques et d’assurer la continuité et la reprise de leur activité.

Lors d’une attaque de type rançongiciel (une des principales menaces), les attaquants cherchent à chiffrer les données des ES, mais aussi les sauvegardes, rendant la reprise d’activité particulièrement complexe, avec des pertes de données massives et critiques. Un effort particulier doit être porté sur la capacité des établissements à se préparer, s’organiser et à réagir dans le cadre d’une cyberattaque, notamment dans la mise en place de sauvegardes non contaminables et restaurables pour toutes les applications critiques.​

Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources

Le D2.P1 attend que chaque candidat dispose d’une PSSI validée et revue entre le 16 juillet 2022 et la date de dépôt de candidature, fixée au plus tard au 31 octobre 2025. Ce document doit être signé par le représentant du candidat ou le représentant de chaque établissement constituant le candidat. En fonction de son organisation, ce document peut être fourni par candidat ou par chaque établissement constituant le candidat. Si l’entité juridique ou le GHT ne fournit pas une PSSI unique, l’établissement porteur de la candidature doit s’assurer que chaque établissement dispose de sa propre PSSI, signée par le directeur de l’établissement :

• pour les GHT, ce document peut être fourni au niveau des entités juridiques ;
• pour les EJ, ce document peut être fourni par entité géographique.

Aucun élément relatif au contenu ou à la structuration de la PSSI n'est imposé dans le cadre de ce prérequis.

Les établissements peuvent soumettre un document de présentation de la PSSI (et non la PSSI complète) selon un formalisme laissé à leur appréciation.

Le document de présentation devra néanmoins inclure (i) la date de mise à jour, (ii) la signature du représentant de la structure et (iii) le périmètre des entités juridiques et/ou géographiques appliquant cette politique.

Pour rappel, les candidats peuvent s’appuyer sur les contenus méthodologiques relatifs à la mise en œuvre d’une PSSI et disponibles aux liens suivants :

• https://cyber.gouv.fr/publications/pssi-guide-delaboration-de-politiques-de-securite-des-systemes-dinformation
• https://esante.gouv.fr/sites/default/files/media_entity/documents/pgssi-s_guide_pssi_non-expert-ssi-v-1.0.pdf

Oui, seules les dépenses concourant à l’atteinte des objectifs réalisées entre la date de publication de l'arrêté et la date de dépôt de l'atteinte des objectifs peuvent être prises en compte pour le calcul du montant de financement.

Cette fonctionnalité est possible dans le cadre du Domaine 2, contrairement au Domaine 1 du programme CaRE. Dans le Domaine 2, une même personne, associée à une unique adresse e-mail, peut donc être désignée comme référent pour plusieurs candidatures distinctes.

L’ensemble des dépenses réalisées pendant la phase opérationnelle pour contribuer à l’atteinte des objectifs du Domaine 2 sont éligibles à un subventionnement – y compris les coûts de formation À titre d’exemple, le recours à la prestation externe, l’acquisition d’un SMCA ou encore la mise en œuvre d’un nouveau système de sauvegarde sécurisée sont éligibles – étant entendu que cette liste n’est pas exhaustive. Il est à noter que l’ensemble des dépenses réalisées durant la phase opérationnelle concourants à l'élaboration du PCRA seront éligibles, y compris si le périmètre dépasse le périmètre minimal défini dans les objectifs qui ne constitue pas une limite. 
En ce qui concerne les objectifs visant à « s’inscrire dans une démarche », les investissements opérationnels réalisés pour définir cette démarche ou la mettre en œuvre sont bien valorisables au titre de l’AAF domaine 2. 

Les coûts associés à la mobilisation des ressources humaines du candidat sont également éligibles. Néanmoins, il est à souligner que ces coûts doivent être explicitement justifiés au regard des activités du programme. Aussi, nous recommandons aux établissements de favoriser les dépenses associées à des travaux de prestation intellectuelle, d’acquisition de solutions informatiques, ou des coûts RH associés à la mobilisation de personnels disposant d’une lettre de mission dans le cadre du Domaine 2.  

Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

En complément, il est rappelé que les candidats devront renseigner, signer et soumettre la trame des éléments financiers également mise à disposition sur le site de l’ANS : 
https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fesante.gouv.fr%2Fsites%2Fdefault%2Ffiles%2Fmedia_entity%2Fdocuments%2F20260128---trame-financiere-v1.0.xlsx&wdOrigin=BROWSELINK