L’objectif du domaine Stratégie de continuité et de Reprise d’activité est de permettre aux établissements sanitaires , en cas d’incident, de reconstituer rapidement les services critiques et d’assurer la continuité et la reprise de leur activité.
Lors d’une attaque de type rançongiciel (une des principales menaces), les attaquants cherchent à chiffrer les données des ES, mais aussi les sauvegardes, rendant la reprise d’activité particulièrement complexe, avec des pertes de données massives et critiques.
Un effort particulier doit être porté sur la capacité des établissements à se préparer, s’organiser et à réagir dans le cadre d’une cyberattaque, notamment dans la mise en place de sauvegardes non contaminables et restaurables pour toutes les applications critiques.
L’arrêté publié le 16 juillet 2025 lance un appel à financement du programme CaRE dédié à cette thématique. L'appel à financement vise à accompagner les établissements sanitaires dans l'élaboration, la sécurisation et le test de leurs Plan de Continuité d'Activité et Plan de Reprise d'Activité, ainsi que de leurs dispositifs de sauvegarde.
Objectif : reconstituer rapidement les services critiques après un incident et assurer la continuité et la reprise d’activité
Cible : tous les établissements de santé
Statut : phase opérationnelle en cours. Dépôt des objectifs avant le 18 novembre 2026.
Comment préparer votre dossier d’atteinte des objectifs ?
Statut : candidatures closes, guichet d'atteinte des objectifs ouvert depuis le 16 janvier 2026 jusqu’au 18 novembre 2026. Guichet de paiement ouvert jusqu’au 15 septembre 2027.
Nous mettons à votre disposition des trames de réponses pour vous aider à construire votre dossier.
Nos webinaires dédiés au Domaine 2 répondent à vos questions
Les questions que vous vous posez
L’ANS répond aux questions les plus fréquemment posées sur le Programme CaRE.
L’attendu minimal porte sur la formalisation du PCRA de chaque activité critique ayant fait l’objet d’un BIA et il est recommandé de fournir le PCRA cadre (dans le respect de la définition du kit PCA / PRA mis à disposition par l’ANS à l’adresse suivante : https://esante.gouv.fr/strategie-nationale/cybersecurite/axe-1Gouvernance et résilience | e-santé).
Le tout peut constituer un document unique ou des documents disjoints complémentaires, aucun format n’étant imposé.
L'atteinte de l’objectif D2.O1.C est validé selon les différentes typologies de candidats :
- Pour les GHT avec plusieurs entités juridiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités juridiques représentant au moins 66% de l'activité combinée du candidat.
- Pour les structures (hors-GHT) ayant plusieurs entités géographiques, les BIA et PCRA transmis doivent être formalisés pour un nombre d'entités géographiques représentant au moins 66% de l'activité combinée du candidat.
Si un des périmètres retenus conformément à la liste dessus est applicable aux établissements constituant le candidat, alors le BIA et le PCRA peut être fourni à l’échelle du candidat.
Cette réponse vous a-t-elle été utile ?
Une sauvegarde est considérée immuable si, une fois écrit, son contenu ne peut plus être modifié ni supprimé (volontairement ou involontairement) pendant une durée définie. Cette immuabilité doit être garantie par la "technologie" (certifiée ou non / Implémentation de mécanismes internes ou produit déjà packagé), et non seulement par des procédures organisationnelles.
Exemples considérés comme immuables :
- Bandes WORM (Write Once Read Many),
- Stockage objet avec verrouillage (Object Lock / mode WORM),
- Snapshots ou systèmes de sauvegarde offrant un mode immuable intégré.
Exemples non immuables / "altérables" :
- Bandes réinscriptibles classiques,
- Copies externalisées sans mécanisme technique de verrouillage,
- Sauvegardes sur disque/NAS standards pouvant être écrasées ou effacées.
En résumé : l’externalisation ou la redondance ne suffisent pas ; seule une contrainte technique empêchant toute modification/suppression prématurée (volontaire ou non) permet de qualifier la sauvegarde d’immuable.
Cette réponse vous a-t-elle été utile ?
Le guide des prérequis et objectifs du domaine 2 précise que la mise en œuvre du principe 3-2-1 implique une copie immuable et d’une copie hors ligne ou hors site. Cela signifie qu’il s’agit d’un support distinct de la sauvegarde en ligne (par exemple : robot cassette, bande, hébergeur tiers).
Cette réponse vous a-t-elle été utile ?
Besoin d'être accompagné ?
Vous avez des questions autour du programme CaRE (demande d'accompagnement autour de la cybersécurité, du financement CaRE, de votre éligibilité au programme...).