FAQ de l'offre : Ségur du numérique en santé

La réalisation d’un audit PASSI (conditions de réalisation spécifiques et auditeur certifié PASSI) n’est pas requise. La seule obligation est de faire réaliser le test d'intrusion par un organisme qualifié PASSI.
La liste des prestataires de services qualifiés peut être retrouvée ici : https://cyber.gouv.fr/decouvrir-les-solutions-qualifiees

NB : Le lien ci-dessus est susceptible de changer si l'ANSSI y apporte des modifications à posteriori.

Le périmètre du test d’intrusion doit être parfaitement cadré pour limiter les impacts sur l’application ou le système d’information. Ainsi, la prestation doit être réalisée de préférence sur un environnement « iso-prod » (tel qu’un environnement de développement, de test, etc.) plutôt que sur un environnement de production.

Le test d’intrusion est applicable pour toutes les solutions passant le référencement Ségur V2, dans le cadre de l'homologation à l'Espace de Confiance ProSantéConnect (exigence SC.PSC.14). Cette exigence stipule que le système doit faire l’objet d’un test d’intrusion réalisé par un prestataire d’audit (PASSI) à la charge de l’éditeur (audit PASSI non exigé). Le prestataire d'audit remplit un formulaire confirmant la conformité du système aux critères de sécurité requis. Ce formulaire est une preuve essentielle à fournir et doit démontrer l'éligibilité du système au référencement. De plus, il doit être daté de moins d'un an et être signé électroniquement par le prestataire ayant réalisé l'audit.

Pendant l’instruction du dossier, une phase d’échanges entre l’ANS et l’Editeur peut être nécessaire afin d’apporter des précisions sur les éléments de preuves fournis par l’Editeur. Dans ce cas, l’ANS peut être amenée à solliciter l‘Editeur via l’outil de gestion des candidatures.
A noter que passé 5 jours sans réponse de l’éditeur, un retard important sur l’instruction du dossier est à prévoir.

Une équipe est dédiée à la vérification des preuves Interopérabilité. Le suivi des preuves Interopérabilité se fait directement dans Convergence.

Sur la plateforme Convergence, plusieurs preuves obligatoires vont vous être demandées selon vos profils sélectionnés pour attester de la conformité votre solution logicielle aux exigences (captures d’écrans, vidéos, fichiers, logs, homologations…). Le dépôt des preuves se fait par chapitre selon la catégorisation proposée dans Convergence et indiquée dans le REM. Vous pourrez également suivre vos dépôts de preuves chapitre par chapitre.

Vous devez demander le raccordement à Pro Santé Connect en remplissant le formulaire dédié, disponible ici.

L’éditeur doit impérativement fournir les informations CNDA suivantes :

• Numéro d’Identification Éditeur (NIE) délivré par le CNDA
• Numéro d’Identification Logiciel (NIL) délivré par le CNDA

Le SGL doit pouvoir gérer deux situations :

1. Alimentation directe du DMP :
   • Si le SGL alimente le DMP lui-même, il doit fournir sa propre homologation CNDA.
   • Si le SGL utilise un module/PFI sous-traitant (invisible pour le client), il doit fournir l’homologation CNDA du sous-traitant et préciser son interconnexion avec le module lors du référencement de l’ensemble [SGL + module] (1 seul référencement).
2. Alimentation via la PFI de l’hôpital :
   • Le SGL laisse l’hôpital gérer les envois au DMP avec sa PFI, préalablement choisie par l’hôpital.
   • Dans ce cas, le SGL n’a pas à fournir d’homologation CNDA, mais doit démontrer qu’il peut envoyer les comptes-rendus via messages ORU, qui seront routés par la DSI vers la PFI hospitalière.

Accompagnement à la contractualisation : contact.cnda@assurance-maladie.fr
Support technique :  support.cnda@assurance.maladie.fr