FAQ de l'offre : Conformité (labels, référencements et certifications)

L'exigence IEPS.08 "SI le Système propose son propre dispositif d'authentification ET SI il autorise une identification électronique à un seul facteur succédant à une identification électronique à deux facteurs, ALORS le Système DOIT imposer un délai maximal paramétrable entre ces deux identifications électroniques et vérifier que le simple facteur utilisé fait partie du dispositif d'authentification à deux facteurs utilisé initialement." est considérée "Non Applicable" dans le cas où votre système propose exclusivement l'authentification à deux facteurs (2FA). Une déclaration sur l'honneur justifiée, datée et signée par le responsable légal de l'entreprise, devra être fournie en preuve. Cette déclaration doit préciser que le système ne permet à aucun moment l’utilisation d’un seul facteur d’authentification après une authentification à deux facteurs.

L'expression fait référence aux cas où le système intègre un mécanisme d'authentification interne propre à la plateforme permettant aux utilisateurs professionnels de santé de s’identifier (exemple : identification par login / mot de passe). Dans ce cas, les exigences IEPS 05, IEPS 06 et IEPS 08 sont applicables. 

Si l’éditeur ne gère pas lui-même l’authentification et utilise uniquement un service externe ou une fédération d’identité (exemples : Pro Santé Connect, FranceConnect…), alors le système ne met pas en œuvre son "propre dispositif d’authentification". Dans ce cas, les exigences IEPS.05, IEPS.06 et IEPS.08 sont "Non Applicables". Une déclaration sur l'honneur justifiée, datée et signée par le responsable légal de l'entreprise, devra être fournie en preuve.

La version v15 apporte des clarifications et un point de contrôle en moins qui est la vérification antivirus lors de upload de fichier. Selon le cas il est possible :

• soit l'ENS a déjà réalisé le test d’intrusion sur la base d’une version plus ancienne du formulaire alors l'ENS peut poursuivre sur cette base ; il n'est donc pas nécessaire de relancer un audit complet sur le nouveau formulaire. Si l'ENS a une non conformité sur le point de contrôle qui a été retiré de la nouvelle version du formulaire test d'intrusion v15, ce point n'est pas considéré comme bloquant.
• soit l' ENS n'a pas encore réalisé le test d’intrusion et il faut alors obligatoirement partir sur la nouvelle version du formulaire v15.

Il est nécessaire de :

• préciser les standards d'authentification sécurisés utilisés pour l'authentification des utilisateurs (exemple : OAuth2, SAML etc.…) ; 
• préciser les mécanismes mis en place pour authentifier les parties communicantes (exemple : certificats numériques x.509) ; 
• préciser les noms et les versions des protocoles de communication utilisés pour la transmission des flux vidéo (webRTC, RTP etc.…) et les mécanismes de protection de ces protocoles le cas échéant ; 
• préciser les mécanismes mis en place pour assurer l'intégrité des données transmises (algorithmes SHA-256, HMAC etc.…) ; 
• éventuellement, fournir un schéma d'architecture montrant comment les flux vidéo sont protégés de bout en bout, pour appuyer les éléments précédents ; 
• préciser les protocoles ne pouvant être chiffrés, le cas échéant.

Le référentiel de télésanté pose les exigences liées aux fonctionnalités nécessaires ou utiles à la réalisation d’un acte de téléconsultation, téléexpertise ou de télésoin. Il couvre notamment :

• la gestion et l’administration des identités ;
• la planification et la préparation d’un acte de téléconsultation, de téléexpertise et de télésoin ;
• la réalisation, la conclusion, le paiement et la facturation d’un acte de téléconsultation, de téléexpertise et de télésoin ;
• l’administration, la sécurisation et la traçabilité des données du système.

Ces preuves avaient été mises en place dans le cadre d'une certification pour le 31/12/2023. Elles n'ont plus lieu d'être. Pour rappel, pour être conforme aux exigences pentest, il faut :

• qu’il n’y ait plus aucune non-conformité pour les points de contrôle de gravité haute,
• qu’il y ait moins de 10 non-conformités pour les points de contrôle de gravité moyenne. 

Dans ce cas, pas besoin de lettre d'engagement à effectuer les démarches correctives.

À ce jour, il est possible de télécharger les réponses validées dans les questionnaires.

Les usagers sont les personnes usager du système de soin ou médico-social et non les professionnels de santé.

Le terme usager est préféré au terme « patient » car la personne n’est pas forcément une patiente (exemple usager de l’application de bien être ou usager d’une balance connectée)

Pour chaque démarche et pour tous les questionnaires à gradation (Interopérabilité, Urbanisation, Sécurité ou Politique globale), des échelles de maturité sont proposées pour chacun des critères.

Le niveau maximal (vert) est le niveau qui correspond à la mise en œuvre de la cible de la doctrine du numérique en santé pour le critère.

Pour le parcours doctrine du numérique en santé, un niveau « recommandé par la doctrine » intermédiaire a également été défini. Il peut être :

• le niveau maximal de maturité actuellement accessible au regard de la disponibilité des référentiels ou services nationaux mutualisés attendus en cible ;
• le niveau minimum de maturité qui devrait raisonnablement être atteint à date.

Pour le parcours Mon espace santé, les niveaux minimums requis pour les démarches de référencement sont précisées au niveau de chaque critère. Ils sont techniquement atteignables.

Si le niveau de maturité du produit dépasse le niveau de maturité attendu à date, cela ne signifie pas nécessairement que le niveau cible (niveau de maturité fort en vert) est atteint.

Il faut donc définir, lorsque c’est possible, un plan de convergence vers le niveau cible (niveau de maturité fort en vert), quel que soit le niveau atteint par le produit ou le niveau attendu à date.