Vos questions fréquemment posées

Les cartes CPE ont une durée de vie de trois ans. Il n’y a pas de projet de destruction anticipée. La question est celle de la migration après expiration.

Pour les établissements déjà équipés, un accompagnement progressif est prévu afin d’éviter toute rupture. L’objectif est de ne pas remplacer physiquement les cartes avant leur fin de vie.

Pour les établissements non encore équipés, il est conseillé de prendre le temps de la réflexion et de suivre les prochains webinaires avant toute commande massive.

Un point d’incertitude demeure sur la possibilité d’associer un identifiant national aux cartes CPE/CPA existantes pendant leur durée de vie.

Air simplifié, qui est une offre de la Caisse d’Assurance Maladie, reste en usage et aucune date de fin n’est programmée. Les deux modes coexistent.

L’espace de confiance (Santé Connect) nécessite une authentification du professionnel au moment de l’échange, ce qui peut ne pas convenir aux flux asynchrones.

Pour éviter le mode Air, les établissements peuvent utiliser l’API PSC si leur DPI le supporte. À noter que le DMP expérimente l’ordonnance numérique avec des fonctionnalités asynchrones qui ne sont pas couvertes par l’API PSC.

Le périmètre prioritaire reste l’accès logique aux données de santé. L’accès physique est considéré comme hors périmètre direct, même si des conseils peuvent être apportés, par exemple sur la sécurisation des cartes MIFARE pour lesquelles la recommandation est d’utiliser MIFARE Desfire. Une expertise cryptographique est disponible, mais elle intervient au cas par cas selon la configuration des établissements.

C’est envisageable. L’ANS ne fixe pas de contrainte sur la répartition physique des composants techniques. L’essentiel est que l’organisation interne (gestion des identités, gestion des accès, délégation d’identité) soit conforme aux exigences qui seront prochainement publiées. Si le GHT dispose d’une organisation structurée (DSI commune ou distribuée), l’architecture technique peut s’adapter tant que ces exigences sont respectées.

La liste des produits compatibles Pro Santé Connect FIDO2 est en cours de construction, en collaboration avec les industriels et les centrales d’achat (notamment le CIH).

• Elle devrait être disponible d’ici deux à trois semaines, et au plus tard dans le courant du mois d’avril.
• Il ne s’agit pas d’une homologation (seule l’ANSSI homologue), mais d’une compatibilité validée selon des critères définis avec l’ANSSI.
• Les industriels pourront soumettre leurs produits via un parcours dédié.
• Une fois inscrits dans la liste blanche, les produits sont garantis compatibles pour une durée de trois ans.

Plusieurs ressources sont disponibles :

• Le guide à destination des chefs de projet en établissement, issu de la phase d’expérimentation.
• La série de webinaires Hospiconnect (dont celui du 20 juin 2025) où des établissements partagent leurs retours d’expérience.
• L’ensemble des documents est accessible sur le site de l’ANS, notamment via le filtre “Hospiconnect”.

L’objectif est de maîtriser l’ensemble de la chaîne de gestion de l’identité, et pas seulement le déploiement technique du MFA.

Le financement Care couvre exclusivement le matériel. Le volet H’OPEN 2 est dédié aux transformations organisationnelles et aux prestations associées. Les deux enveloppes ne sont pas fongibles.

Il y a deux sources de financement distinctes :

• Care (volets matériels) : le remboursement s’effectue sur présentation de factures. L’enveloppe allouée pour les trois ans peut être consommée en une, deux ou trois fois, sans caractère caduc d’une année sur l’autre.
• H’OPEN 2 (volet transformation organisationnelle) : l’enveloppe est annuelle et caduque. Les établissements déclarent en juin les dépenses engagées (sur la base de bons de commande). Cette déclaration se fait sur l’honneur, validée par la DAF, et pourra être contrôlée.

Le RIE est un référentiel réglementaire opposable qui définit les obligations d'authentification forte pour l'accès aux données de santé. HospiConnect est le programme de financement national qui accompagne les établissements dans leur mise en conformité avec ce référentiel. Concrètement, le RIE définit ce qu'il faut faire, HospiConnect vous aide à financer cette mise en œuvre.

La principale différence réside dans le périmètre des applications concernées. Le RIE V1 ciblait uniquement les "services numériques sensibles" (applications exposées ou à fort volume). Le RIE V2 étend l'obligation d'authentification forte à toutes les applications qui contiennent des données personnelles de santé, quel que soit leur usage. Le périmètre est donc beaucoup plus large, même si le programme HospiConnect finance en priorité la mise en œuvre sur le DPI et le DMP.

Oui, le RIE est un texte réglementaire qui a force de loi. Tous les établissements de santé sont soumis à cette obligation. La mise en œuvre est échelonnée, avec des jalons à juin 2026 (note de cadrage), juin 2027 (premières exigences techniques pour les médecins et IDE) et juin 2028 (généralisation pour tous les utilisateurs du DPI). L'avantage d'HospiConnect est qu'il permet de financer cette mise en conformité.

Le financement est décomposé en deux enveloppes distinctes et complémentaires :

• Volet CARE : finance la partie matérielle (lecteurs de cartes, cartes CPE/ANS, équipements de lecture). L'enveloppe est calculée sur la base d'environ 20€ par agent déclaré au SAE.

• Volet Open 2 : finance la partie logicielle et les prestations (licences IAM/SSO, intégration, accompagnement). L'enveloppe globale est de 200 millions d'euros sur 3 ans.

Important : Sur le volet Open 2, pour être éligible aux financements 2026, les justificatifs de dépenses (factures ou bons de commande, selon l'interprétation à clarifier avec la DNS) doivent être postérieurs au 19 décembre 2025.

Le calendrier actuel est le suivant :

• Inscription à la phase de généralisation : jusqu'au 13 février 2026.

• Juin 2026 : première échéance. Pour obtenir le premier tiers du financement, il faut fournir une note de cadrage et les indicateurs de maturité initiaux.

• Juin 2027 : objectifs de premier niveau. Il faut avoir automatisé l'alimentation du DPI depuis les RH (exigences 1.1 et 1.2) et déployé l'authentification forte pour les médecins et infirmiers (exigence 1.3) ainsi que l'accès au DMP via le DPI (exigence 1.4, via R Simplifié).

• Juin 2028 : généralisation pour tous les utilisateurs du DPI, avec des processus automatisés.

L'enveloppe Open 2 est annuelle. Si vous ne consommez pas la part 2026, elle est perdue. Cependant, vous pouvez tout à fait commencer le projet en 2027 et bénéficier des enveloppes des années 2027 et 2028. L'essentiel est d'avoir candidaté avant la date limite pour sécuriser votre éligibilité.

C'est un point important. Le temps que vos équipes consacrent au projet (chef de projet, équipes techniques, participation aux ateliers) est éligible et peut être imputé sur le budget Open 2. Il faudra être en mesure de le justifier (fiches de paie, imputations, etc.), mais c'est un levier pour financer les ressources internes dédiées au déploiement.

Plusieurs possibilités pour ces populations :

1. Import depuis l'annuaire e-Santé : Pour les professionnels de santé (médecins, infirmiers, etc.), vous pouvez les importer directement depuis l'annuaire national en recherchant par nom, prénom ou numéro RPPS. Cela crée une identité avec tous ses traits (diplômes, spécialités) et son numéro RPPS, qui est aussi l'identifiant de sa carte CPS.

2. Création manuelle déléguée : Vous pouvez déléguer la création de ces identités (stagiaires, prestataires) à des cadres de service ou aux RH via une interface simple. Un workflow de validation peut être mis en place si nécessaire.

3. Gestion des fins de contrat : Pour les externes, la date de fin de mission est saisie. À son terme, le compte est automatiquement désactivé.

Le processus est transparent et sécurisé, et dépend de la donnée que vous avez fournie :

• Scénario 1 (magique) : Si l'identifiant national (RPPS) de l'utilisateur a été renseigné dans son identité (via l'import de l'annuaire e-santé, via les données RH), alors l'utilisateur peut se connecter sur n'importe quel poste équipé du client SSO en présentant sa carte et en tapant son code PIN. Il n'a jamais besoin de connaître son login/mot de passe Windows, qui est automatiquement géré et stocké dans son coffre-fort.

• Scénario 2 (auto-enrôlement) : Si la carte n'est pas connue, l'utilisateur met sa carte, tape son code PIN. Le système lui demande alors son login et mot de passe Windows pour faire le lien entre son identité et la carte. Une fois cette association faite, il pourra ensuite se connecter comme dans le scénario 1.

Nous recommandons la carte CPS. C'est le moyen privilégié par l'ANS, et elle est gratuite pour l'ensemble des personnels qui accèdent à des données de santé. De plus, son usage est déjà bien ancré. Pour les cartes FIDO, seules celles ayant un niveau de certification suffisant (pour être IDAAS substantiel) seront acceptées dans le cadre du RIE. Leur coût est également à la charge de l'établissement pour les personnels non éligibles à une CPS gratuite.

Nous recommandons très fortement les lecteurs "contact". Ils coûtent environ 10€, contre 50 à 80€ pour les lecteurs sans contact. L'usage est aussi plus simple et fiable pour l'utilisateur : il insère sa carte, il tape son code PIN, il la retire pour verrouiller sa session. Avec le sans contact, de nombreux cas d'usage (ex: applications nationales qui demandent le code PIN, accès au self, impression sécurisée) deviennent complexes et obligent l'utilisateur à enlever et remettre sa carte plusieurs fois, ce qui est source d'erreur et de frustration.

L'authentification par e-CPS est avant tout un mode de connexion dégradé, par exemple lorsque l'utilisateur a oublié sa carte physique. L'utilisateur tape son login, reçoit une notification sur son téléphone, tape son code PIN et valide. C'est très simple.

Point important : Cette authentification passe par ProSanté Connect. Elle permet donc de remplir l'obligation réglementaire du RIE qui exige que les personnels aient la possibilité de se connecter via ProSanté Connect.

Nous avons prévu un portail de self-service complet pour rendre l'utilisateur autonome. Il peut s'y connecter via plusieurs moyens (ICPS, OTP, parrainage par un cadre). Une fois connecté, il peut :

• Débloquer sa carte (s'il a enregistré son code de déblocage).

• Changer son mot de passe Windows.

• Se générer une carte temporaire : des cartes de service (anonymes) sont disponibles dans les services, l'utilisateur peut s'en auto-affecter une pour 48-72h en attendant de retrouver sa carte.

C'est un risque réel qui est lié à l'usage, pas au produit lui-même. Pour le limiter, nous avons plusieurs stratégies :

1. Timeout de verrouillage : Windows verrouille la session après une période d'inactivité, ce qui invalide le jeton de session sur la carte.

2. Multi-usage de la carte : C'est la meilleure parade. Si la carte sert aussi à payer au self ou à ouvrir les portes, l'utilisateur a une très forte incitation à ne pas la laisser dans le lecteur.

3. Paramétrage : Vous pouvez configurer le poste pour que le simple fait de retirer la carte verrouille la session, ce qui est le comportement le plus naturel et le plus sécurisé.

ProSanté Identité est le nouveau service de l'ANS, le pendant de ProSanté Connect pour la gestion des identités. Son objectif est de permettre à l'ANS d'être "IDAAS substantiel" sur la délivrance des cartes. Concrètement, cela signifie la fin des cartes CPE. Tous les personnels non à ordre (ASH, administratifs, techniques) devront être enregistrés dans PSI et se verront délivrer une carte CPS "personnel de santé" (et non plus une carte d'établissement). Cette carte sera nominative et pourra être utilisée sur plusieurs établissements.

Non, absolument pas. Vous pouvez démarrer dès maintenant avec des cartes CPE pour les personnels concernés. Le processus actuel de commande via TOM continue de fonctionner. L'arrivée de PSI est une évolution à moyen terme. En démarrant avec Fairtrust, vous aurez une solution capable d'évoluer et d'intégrer ces nouvelles API dès qu'elles seront disponibles en production, sans avoir à changer d'outil.