FAQ de l'offre : Conformité (labels, référencements et certifications)

La version v15 apporte des clarifications et un point de contrôle en moins qui est la vérification antivirus lors de upload de fichier. Selon le cas il est possible :

• soit l'ENS a déjà réalisé le test d’intrusion sur la base d’une version plus ancienne du formulaire alors l'ENS peut poursuivre sur cette base ; il n'est donc pas nécessaire de relancer un audit complet sur le nouveau formulaire. Si l'ENS a une non conformité sur le point de contrôle qui a été retiré de la nouvelle version du formulaire test d'intrusion v15, ce point n'est pas considéré comme bloquant.
• soit l' ENS n'a pas encore réalisé le test d’intrusion et il faut alors obligatoirement partir sur la nouvelle version du formulaire v15.

Il n'y a pas d'obligation à être certifié conforme au référentiel de l'ANS pour commercialiser le dispositif médical numérique marqué CE. La certification est obligatoire pour prétendre à un remboursement par l'Assurance Maladie.

Il est nécessaire de :

• préciser les standards d'authentification sécurisés utilisés pour l'authentification des utilisateurs (exemple : OAuth2, SAML etc.…) ; 
• préciser les mécanismes mis en place pour authentifier les parties communicantes (exemple : certificats numériques x.509) ; 
• préciser les noms et les versions des protocoles de communication utilisés pour la transmission des flux vidéo (webRTC, RTP etc.…) et les mécanismes de protection de ces protocoles le cas échéant ; 
• préciser les mécanismes mis en place pour assurer l'intégrité des données transmises (algorithmes SHA-256, HMAC etc.…) ; 
• éventuellement, fournir un schéma d'architecture montrant comment les flux vidéo sont protégés de bout en bout, pour appuyer les éléments précédents ; 
• préciser les protocoles ne pouvant être chiffrés, le cas échéant.

Ces preuves avaient été mises en place dans le cadre d'une certification pour le 31/12/2023. Elles n'ont plus lieu d'être. Pour rappel, pour être conforme aux exigences pentest, il faut :

• qu’il n’y ait plus aucune non-conformité pour les points de contrôle de gravité haute,
• qu’il y ait moins de 10 non-conformités pour les points de contrôle de gravité moyenne. 

Dans ce cas, pas besoin de lettre d'engagement à effectuer les démarches correctives.

Vous trouverez les jeux de test de l'INS à l'adresse ci-dessous. Pour rappel, les preuves INS à fournir lors de la candidature pour la certification de conformité au référentiel des DMN sont à réaliser grâce à ce jeu de test.

Si un système de télésurveillance/DMN est Référentiel d’identité et qu’il n’a pas besoin de consommer ou de diffuser l’identité au sein du même domaine d’identification, alors l’exigence INS 45 du référentiel des DMN peut être « Non Applicable » (l’Entreprise du Numérique en Santé doit alors à minima fournir une déclaration sur l’honneur que le système ne reçoit pas d’échanges pour la gestion de l’INS, à la place des preuves INS 45 exigées).

Le dispositif médical numérique, esclave de l'identité, doit recevoir l'INS des patients (via la réception d’un message HL7 V2 transmis par la GAM).

Dans le référentiel d'interopérabilité et de sécurité des dispositifs médicaux numériques, c'est la transaction IHE PAM FR avec un message HL7 ADT qui est exigée. Actuellement les établissements de santé ont développé des flux HL7 V2, plutôt que la communication de bundle ou de ressources FHIR.

Oui, l'exigence d'interopérabilité INS45 de consommation de l'identité est obligatoire pour tous les systèmes de télésurveillance, y compris si vous implémentez la connexion au téléservice INSi.

Oui, comme chaque DMN est avec IHE PAM FR, consommateur de l’identité, il devra recevoir de la GAM un message HL7 V2 ADT pour la création, modification ou suppression de l’identité d’un patient.