CaRE Domaine 2 : 45 millions pour financer vos PCA/PRA - guichet ouvert jusqu'au 31 octobre

Après le Domaine 1 (annuaires techniques et exposition internet) et HospiConnect, le programme CaRE franchit une nouvelle étape. Le Domaine 2, dédié à la stratégie de continuité et de reprise d'activité (PCA/PRA), est désormais lancé. L'enjeu est direct : face aux rançongiciels qui chiffrent non seulement les données mais aussi les sauvegardes, les établissements doivent se doter de plans testés et opérationnels pour reconstituer rapidement leurs services critiques.

Ce que finance le Domaine 2

Le D2 finance un projet d'établissement articulé autour de quatre axes :

• Gouvernance : intégration de la continuité d'activité dans la gouvernance de l'établissement, désignation d'une équipe projet dédiée au PCRA.
• PCA/PRA documentés : formalisation, mise à jour et test du Plan de Continuité d'Activité et du Plan de Reprise d'Activité.
• Sauvegardes sécurisées : construction d'un système de sauvegarde conforme à la règle 3-2-1, cloisonné, avec authentification renforcée - et tests de restauration réguliers documentés.
• BIA et PCRA cadre : réalisation des Bilans d'Impact sur l'Activité pour les services critiques et élaboration du PCRA cadre couvrant l'ensemble de l'établissement.

Prérequis pour candidater

Deux conditions sont nécessaires pour déposer un dossier :

• Disposer d'une PSSI formalisée et validée datant de moins de 36 mois par rapport à la date de publication de l'arrêté (16 juillet 2025).
• Décrire l'organisation projet prévue pour la mise en oeuvre du PCRA, incluant la constitution d'une équipe et d'une gouvernance dédiées.

Le dossier est à déposer sur la plateforme eCaRE entre le 2 septembre et le 31 octobre 2025.

Comment est calculé le financement ?

Contrairement au Domaine 1 qui fonctionnait sur la base d'un forfait selon l'activité, le financement du D2 repose sur les coûts réellement engagés par l'établissement. Le principe est le remboursement des dépenses éligibles dans la limite d'un plafond propre à chaque établissement.

Concrètement :

• Le plafond de financement spécifique à chaque établissement est consultable dans la base des établissements éligibles mise à disposition par l'ANS sur le site esante.gouv.fr.
• Le montant versé correspond aux dépenses réellement engagées à compter de la publication de l'arrêté (16 juillet 2025) jusqu'à la déclaration d'atteinte des objectifs - dans la limite du plafond.
• Un bilan financier détaillé doit être fourni lors du dépôt de la demande de paiement, en utilisant la trame mise à disposition par l'ANS. Le programme étant en partie financé sur fonds européens, ce justificatif est obligatoire pour prévenir tout risque de surfinancement.

Le financement D2 n'est pas un chèque en blanc : il rembourse des dépenses documentées, dans la limite d'un plafond individuel. Identifier ses dépenses éligibles et les tracer dès le démarrage des travaux est indispensable pour maximiser le remboursement.

BIA et PCRA : ce qu'attend le guide de l'ANS

Le Bilan d'Impact sur l'Activité (BIA) est l'outil central du PCRA. Il permet d'évaluer les conséquences d'une indisponibilité de chaque service ou application sur l'activité de l'établissement, et d'en déduire les exigences de continuité (RTO, RPO).

D'après la version actuelle du guide de l'ANS, 3 services critiques constituent le minimum attendu pour le BIA et le PCRA. Les services prioritaires mentionnés sont les urgences, la chirurgie et les services médico-techniques (pharmacie, imagerie, laboratoire). D'ici fin juin 2026, tous les établissements doivent avoir formalisé les BIA pour l'ensemble de leurs services critiques, avant une extension au reste des services d'ici fin juin 2027.

Le PCI : Plan de Continuité Informatique

Le PCI (Plan de Continuité Informatique) est la composante technique du PCRA. Il décrit les moyens informatiques nécessaires pour maintenir ou reprendre les activités critiques en cas d'incident, et notamment :

• Les applications critiques et leur order de priorité de reprise.
• L'architecture de sauvegarde sécurisée (règle 3-2-1 : 3 copies, 2 supports différents, 1 copie hors site).
• Les procédures de restauration testées et documentées.
• Les RTO (Recovery Time Objective) et RPO (Recovery Point Objective) cibles par application.

Le PCI est un document vivant : il doit être mis à jour à chaque évolution significative du SI et testé régulièrement. Les comptes rendus de tests de restauration constituent une preuve exigée dans le dossier de candidature.

Les ressources disponibles

L'ANS a mis en place un dispositif d'accompagnement complet :

• Kit PCA/PRA : documentation pour formaliser et déployer les plans.
• Parcours de formation PCRA sur la plateforme ANS-Formation / Coorpacademy.
• CRRC (Centres Régionaux de Ressources Cyber) : accompagnement régional disponible dans chaque territoire - consulter le tableau des contacts sur esante.gouv.fr.
• Replay du webinaire du 22 juillet 2025, disponible sur le site de l'ANS.

Sources : ANS - Ouverture du guichet CaRE D2 | Arrêté du 3 juillet 2025 - Légifrance