FAQ des industriels

Deux enjeux majeurs sont associés à la mise en œuvre de l’IGC-Santé :  

• assurer la sécurité des clés privées et des certificats émis par l’ANS : il faut veiller à limiter l’accès à ces clés privées et qu’elles ne puissent pas être dupliquées ni installées sur plusieurs équipements ;
• assurer la continuité de service : de nombreuses applications de santé utilisaient les certificats émis par les deux anciennes IGC-CPS, qui ne sont plus actives depuis Janvier 2021. Elles doivent prendre en compte les nouveaux certificats émis par l’IGC-Santé.

En plus, les certificats émis par l’IGC-Santé respectent les règles habituelles de sécurité (analyse de risque, politique de sécurité), les "Politiques de Certification", et ils sont conformes aux référentiels de la PGSSI-S.

L'Infrastructure de Gestion des Clés cryptographiques (IGC) opérée par l'ANS (IGC-Santé) délivre des certificats conformes au référentiel d'identification à la Politique Générale de Sécurité des Systèmes d’Information de Santé (PGSSI-S) pour l’accès aux services du numérique en santé (article L1470-1 et suivants du Code de la Santé Publique).

Les certificats émis par l'ANS permettent d'identifier les acteurs du secteur, personnes physiques et organisations. Ils attestent aussi de la qualité des pratiques de gestion des clés publiques mises en œuvre par ces autorités. Ils peuvent être révoqués en cas de défaillance.

L’ANS propose 4 offres de certificats logiciels : 

• certificat de personne morale Organisation ;
• certificat de personne morale Serveur ;
• certificat de personne physique Professionnel ;
• certificat de personne physique Professionnel de Santé .

La conformité aux référentiels de la PGSSI-S est soit requise par la loi dès lors qu’ils ont été approuvés par arrêté ministériel, soit destinée à être requise à court terme, les référentiels de la PGSSI-S publiés ayant vocation à être approuvés par arrêté ministériel. 

Cette obligation s’applique au périmètre indiqué dans la réponse à la question "La PGSSI-S s’applique-t-elle aux éditeurs et aux industriels ?"

Les guides de la PGSSI-S n’ont pas vocation à être opposables. Leur prise en compte aussi complète que possible est toutefois fortement conseillée, d’une part afin de permettre une sécurisation des produits et services à la hauteur des enjeux du secteur médical, médico-social et social et des exigences fixées par le code de santé publique et par le RGPD, d’autre part afin de faciliter la conformité aux exigences de référencement, labellisation ou certification dans ce domaine.  

La PGSSI-S s’applique aussi bien au secteur public qu’au secteur privé, aux professionnels de santé, du médico-social et social, aux établissements de soin et aux offreurs de service. 

De manière générale, la PGSSI-S s’applique dés que des données de santé à caractère personnel sont manipulées. 

En tant que patient, la PGSSI-S permet d’avoir confiance dans les systèmes numériques de santé. 

Une FAQ est à votre disposition sur une page dédiée : 

La PGSSI-S s’applique à l’ensemble des systèmes d'information ou des services ou outils numériques mis en œuvre par des personnes physiques ou morales de droit public ou de droit privé, y compris les organismes d'Assurance Maladie, proposés par voie électronique, qui concourent à des activités de prévention, de diagnostic, de soin ou de suivi médical, médico-social ou social, ou à des interventions nécessaires à la coordination de plusieurs de ces activités. 

Dès lors, afin que ces systèmes d’information puissent être conformes à la PGSSI-S : 

• les produits fournis par les éditeurs et les industriels qui sont destinés à faire partie de tels systèmes d’information doivent être conçus pour être conformes à la PGSSI-S ; 
• les activités internes ou prestation de service des éditeurs et des industriels participant à la conception, au développement, à la construction, à la distribution, à l’hébergement, à l’installation, à l’exploitation, à la maintenance ou à la mise au rebut de ces solutions doivent être menées en conformité avec la PGSSI-S.