Appel à candidature visant à améliorer la résilience cyber des ESMS de Nouvelle-Aquitaine
Le GRADeS ESEA lance un appel à candidature (AAC) pour permettre aux structures médico-sociales de bénéficier d’un diagnostic cyber et d’un exercice de continuité d’activité en mode numérique dégradé.
Contexte de l’AMI
Les établissements médico-sociaux, tout comme les structures de santé, sont touchés par les cyberattaques et des incidents numériques majeurs. Pour les anticiper, en limiter l’impact et continuer à exercer leurs activités au profit des résidents ou patients, les ESMS doivent renforcer leur maturité cyber.
Dans le cadre de l’instruction N° DNS/2024/54 du 2 juillet 2024 relative aux missions des centres régionaux de ressources cybersécurité (CRRC) et à leur financement, l'ARS Nouvelle-Aquitaine et le GRADeS ESEA souhaitent accompagner dès 2025, 50 Organismes Gestionnaires médico-sociaux vers plus de résilience, à travers la réalisation d'un diagnostic « Mon Aide Cyber » et d'un exercice de crise cyber (effectué par un des prestataires retenus suite au marché public porté par ESEA).
Cet AAC est soutenu via les fonds du Centre Régional de Ressources Cyber de Nouvelle Aquitaine, financé par le programme CaRE (Cyber accélération et Résilience des Établissements) issu de fonds européens.
A qui l’AAC s’adresse-t-il ?
L’appel à candidatures s’adresse à tous les Organismes Gestionnaires (OG) du médico-social :
Composés d’établissements et services médico-sociaux bénéficiant, en tout ou partie, de financements relevant de l’assurance maladie
Sont donc éligibles les structures relevant de la compétence exclusive de l’ARS ainsi que celles relevant d’une compétence partagée entre l’ARS et les conseils départementaux (ex. : EHPAD) ;
Dont au moins 80% des ESMS sont situés en région Nouvelle Aquitaine (avec l'Organisme Gestionnaire localisé en Nouvelle Aquitaine) ;
N’ayant pas déjà bénéficié de l’Appel à Manifestation d’Intérêt (AMI) « exercice de crise » de l’ARS en 2024.
Si un OG ne remplit pas ces conditions, son dossier de candidature sera inéligible. L’appel à candidature est sans pré-requis technique ou cyber.
Quelles sont les conditions pour participer ?
Le candidat retenu favorablement s’engagera à réaliser :
Un diagnostic Mon Aide Cyber, porté par l’Agence Nationale de Sécurité du Système d’Information (ANSSI), avec l'accompagnement de la direction cyber sécurité d'ESEA entre le 1er octobre 2025 et le 30 avril 2026 (sauf à démontrer la réalisation d'un diagnostic Mon Aide Cyber antérieure à l'AAC)
Un exercice de crise cyber, avec le prestataire retenu par ESEA entre le 1er octobre 2025 et le 15 mars 2026. Cet exercice n’est pas uniquement à destination des acteurs du Système d’Information et doit impérativement impliquer la direction générale et les directions métiers de l'Organisme Gestionnaire. La date sélectionnée pour la réalisation de l’exercice de crise avec l’OG doit prendre en compte les disponibilités des ressources au niveau de la direction, des métiers et des acteurs du numérique. Il sera basé sur le kit v2.0 de l’ANS.
Si un OG ne réalise pas dans les délais le diagnostic ou l’exercice de crise, l'ARS Nouvelle-Aquitaine et ESEA se donnent le droit de notifier l’annulation du dispositif à l’OG pour en faire bénéficier à un autre OG médico-social éligible.
Modalités de candidature
Les étapes de candidature sont les suivantes :
Renseigner le formulaire démarches simplifiées avant la date butoir de la fenêtre de candidature (durée de 9 minutes environ)
Une fois la phase de candidature passée, un comité d’arbitrage ARS NA / ESEA traitera l’ensemble des dossiers complets transmis
Tous les OG ayant déposé un dossier complet recevront une réponse individuelle (positive ou négative) via la plateforme.
Les OG ayant reçu une réponse positive pourront prendre date avec ESEA pour le diagnostic Mon Aide Cyber et le prestataire retenu par le GRADeS pour l’Exercice de Crise
Règles et priorisation des dossiers :
Les candidatures éligibles seront arbitrées / priorisées sur les critères de sélection suivants :
1er critère de priorisation : OG financés via le programme "ESMS numérique" et composés de plus de 15 structures ESMS
2ème critère de priorisation : OG composés de plus de 15 structures ESMS
S'il reste des places après l'application des 2 premiers critères, l'ensemble des OG éligibles pourront être retenu à hauteur des places restantes.
S’il y a plus de 50 candidatures éligibles, les candidatures seront validées sur la priorisation indiquée ci-dessus. Si plus de 50 candidatures sont reçues, la date de candidature sera prise en considération pour sélectionner les candidats.
Une seule candidature est possible par Organisme Gestionnaire (FINESS Juridique).
S’il y a moins de 50 candidatures retenues dans la 1ère fenêtre, une 2e fenêtre (facultative) sera ouverte.
Calendrier de candidature
1ère fenêtre :
Phase de candidature :
Lancement : 25 juin 2025
Clôture : 3 septembre 2025
Comité d’arbitrage (sur la base des critères de priorisation précisés plus haut) : au plus tard fin septembre 2025
Réalisation :
Des diagnostic "Mon Aide Cyber" au plus tard avant le 30 avril 2026
Des exercices de crise au plus tard avant le 15 mars 2026
2ème fenêtre (facultative) :
S’il reste des places non attribuées après la 1ère fenêtre, une 2e fenêtre de candidature sera ouverte.
Phase de candidature :
Lancement : 15 octobre 2025
Clôture : 15 novembre 2025
Comité d’arbitrage (sur la base du 1er dossier déposé complet – par ordre chronologique sans critère de priorisation) : au plus tard début décembre 2025