FAQ des industriels

Si vous effectuez un montage (utilisation d’une solution tierce déjà certifiée), vous n’avez pas à effectuer de demande de certification auprès du CNDA sauf dans le cas d'une homologation EAI, les LPS intégrant un moteur doivent obtenir une homogation auprés du CNDA. Vous pouvez communiquer à l'ANS le NIL de cette solution tierce lors de votre demande de référencement. 

Dès l'entame de votre parcours de référencement Ségur, il est nécessaire d'avoir débuté les démarches d'homologations auprès du CNDA. Votre inscription auprès du CNDA vous permettra d'obtenir des éléments nécessaires à la complétion de votre dossier administratif de votre candidature Ségur.

Les éléments attendues, à obtenir auprès du CNDA, dans le cadre du dépôt de votre dossier administratif, au sein de l'étape 2 "Eligibilité" de votre parcours Convergence sont les suivants :
- Numéro NIE / NIL (Numéro d'Identification Editeur et Numéro d'Identification Logiciel).
- Une preuve de dépôt d'une demande d'obtention des labellisations CNDA.

Pour cette dernière, vous avez la possibilité de fournir à l'ANS une copie d'écran de votre espace personnel CNDA indiquant que votre demande de conformité est au minimum au statut "Pré-examen" (exemple ci-dessous). 
 

Image

Rappel de l'exigence : Lors de la visualisation d’un document au format HL7 CDA R2, le Système DOIT le rendre lisible par un humain (l'entête et le corps) avec la feuille de style envoyée par le producteur si elle existe, sinon avec la feuille de style du consommateur (un lien pour obtenir une feuille de style d'exemple est fournie dans le scénario).

Scénario - Vérifier la lisibilité par l'utilisateur des données d'un document au format HL7 CDA R2 N1
Prérequis : Un document au format HL7 CDA R2 N1 est reçu par le système.
Etapes du scénario : 

• intégrer un document H7 CDA R2 niv 1 ;
• afficher les données de l'en-tête d'un document au format CDA R2 N1.

Il est recommandé au consommateur de vérifier et de nettoyer la feuille de style du producteur afin de se prémunir des attaques de type injection, Cross Site Scripting, déni de service...etc. Si la feuille de style du producteur présente un quelconque risque de sécurité, le système doit utiliser sa propre feuille de style pour afficher le document.

Deux références sont indispensables pour ouvrir votre dossier de référencement :Le NIE et le NIL. Ces deux références sont fournies lors de l'ouverture de votrre dossier au CNDA. Concernant le NIL, il s'agit d'un identifiant fourni lorsque vous “créez votre logiciel au CNDA”. Cet élément est alors renseigné sur la convention de Référencement ANS. Au cas où vous ne disposez pas de cette information, vous pouvez contacter la gestion Relation Client CNDA depuis votre espace personnel CNDA

Deux moyens de contact vous sont proposés :

La plateforme interop.esante.gouv.fr permet de visualiser les preuves en avance de phase, mais pour le référencement vous devez utiliser la plateforme interopsegur.esante.gouv.fr.

Non, il est simplement nécessaire de fournir un lien permanent vers le test "CI-SIS-CR-CDA-N1-Create_doc-Sc1" pour un type de document géré par la solution.

La CNIL propose sur son site une mappemonde sur le niveau de protection des données reconnu dans les divers pays du monde qui identifie ceux qui n’ont pas un niveau de protection adéquat et pour ceux qui ont un niveau de protection adéquat mais qui malgré tout, comme les États-Unis par exemple, ont des législations qui permettent un accès non autorisé.

En cas de rachat d’un hébergeur ou d’un sous-traitant ultérieur (achat d’un datacenter actuellement détenu par un fonds de pension canadien par un fonds de pension US etc.) que faire ?

La table de correspondance avec SecNumCloud fournie en annexe du référentiel est uniquement fournie à titre indicatif. Elle n’est pas à compléter. 

Tout sous-traitant ultérieur réalisant tout ou partie d’une des six activités identifiées dans l’article R1111-9 du Code de la Santé Publique doit figurer dans le tableau des garanties. 

L’Hébergeur doit renseigner la liste des réglementations extra communautaires auxquelles il est soumis (FISA, Cloud Act, etc.) dans la documentation à fournir à son client.

S’agissant de la transparence (tableau des garanties publiques) il doit indiquer s'il est soumis ou pas un risque d'accès tel qu’évoqué dans la question et citer le pays concerné.

Le rôle de l’organisme certificateur est de s’assurer que les éléments attendus sont mis à disposition des clients des hébergeurs et du grand public et non de les évaluer. En cas de nécessité, la CNIL est l’autorité compétente pour contrôler la véracité de ces déclarations et sanctionner les éventuels manquements.

Chacun des acteurs qui réalise tout ou partie des 4 sous activités précisées pour l’activité 5 doit être certifié (cf. Chapitre 2.1 du référentiel de certification ) : 

• la définition d’un processus d’attribution et de revue annuelle de droits d’accès nominatifs, justifiés et nécessaires ; 
• la sécurisation de la procédure d’accès ; 
• la collecte et la conservation des traces des accès effectués et de leurs motifs ; 
• la validation préalable des interventions (plan d’intervention, processus d’intervention).

Si plusieurs acteurs ont en charge ces sous-activités, tous ces acteurs doivent être certifiés.

Recommandation : la désignation d’un unique acteur (ou d’un nombre réduit d’acteurs) pour la gestion des droits permet de limiter l’obligation de certification à quelques acteurs.

Une période de transition, calculée à compter de la date de publication de l’arrêté du 26/04/2024, a été fixée à 6 mois (soit le 16/11/2024) pour les organismes de certification et à 24 mois pour les hébergeurs déjà certifiés (soit le 16/05/2026). Pour plus d'information, veuillez consulter la note de transition détaillée publiée sur le site du COFRAC

Oui : l'utilisation d'un code d'une nomenclature au lieu d'un libellé n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Oui : la pseudonymisation n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Oui : le chiffrement n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.

Dans le cadre d’un appel d’offres pour un système d’information nécessitant un hébergement de données de santé à caractère personnel, le titulaire du marché est soumis à l’obligation de certification HDS.
Aussi :

• l'organisme qui lance l'appel d'offre doit prévoir une exigence relative à l'obligation d'être certifié HDS dans son appel d'offre ;
• le titulaire du marché doit obtenir la certification avant l’hébergement des premières données de santé personnelles « réelles ».

Les modalités sont définies dans les Référentiels d’Accréditation et de certification HDS. Ces deux documents sont téléchargeables sur le site de l’ANS.