Les douze travaux de la DNS

1 – Mettre à jour la Doctrine du numérique en santé

La Doctrine du numérique en santé, publiée pour la première fois en 2020 et mise à jour annuellement (cf. sa dernière version) est en train de faire l’objet d’un travail de simplification. Les acteurs de l’écosystème lui reprochaient en effet sa densité et sa complexité. Sa mise à jour doit aboutir, selon Raphaël Beaufret, “avant la finalisation de la prochaine feuille de route” (prévue pour avril ou mai 2023).

2 – Construire la feuille de route 2023/2027 de la DNS

“La mission que le ministre nous a confiée est d’assurer la continuité à la tête de la DNS, et de construire la feuille de route 2023-2027 pour le numérique en santé, explique Hela Ghariani. Cette dernière gardera une forte continuité avec l’existant, en gardant la maison et la doctrine, mais en insistant sur les usages, la cybersécurité, et inclura probablement des nouveautés importantes comme la prévention et le carnet de santé de l’enfant.”

3 – Renforcer la cybersécurité 

La cyberattaque du CHSF (Centre hospitalier Sud Francilien), survenue cet été, est encore dans tous les esprits et traduit, au-delà de sa gravité, une tendance lourde : selon les derniers chiffres du CERT-Santé, plus de 730 incidents de sécurité ont été déclarés en 2021, soit le double par rapport à 2020. Pour Raphaël Beaufret, ces chiffres “sont à la fois révélateurs d’un accroissement des menaces mais aussi d’une augmentation des déclarations, qui deviennent plus systématiques. Ce dernier point est un signal plutôt positif, car le pire, ce sont les incidents qui passent sous le radar.” La DNS entend faire de la cybersécurité l’une des priorités de la prochaine feuille de route. Elle compte également sur la plan cyber qui a été lancé pour les établissements de santé, en priorisant les plus importants, les opérateurs de services essentiels (OSE). “Ce plan consiste notamment en la conduite d’audits (cybersurveillance, active directory, etc.), la remontée d’informations sur des “mesures prioritaires” en termes de cybersécurité, pour affiner le diagnostic, mais également en la mise en place de parcours de sécurisation avec l’ANSSI”, explique Raphaël Beaufret. La DNS mobilise actuellement les acteurs pour que l’ensemble des établissements sanitaires de France puissent avoir conduit un exercice de crise cyber avant la fin 2023. “C’est essentiel que tous soient préparés, poursuit-il, et par ailleurs, il faut aussi renforcer la sécurité des logiciels, c’est pourquoi des exigences de cybersécurité ont été récemment mises à concertation (sur la plateforme participez.esante.gouv.fr, ndlr) pour la vague 2 du programme Ségur Numérique. Sans cela, les éditeurs ne pourront pas prétendre aux financements”. Désireuse de construire “une stratégie ambitieuse sur la cyber”, la DNS reconnaît volontiers qu’elle a encore “énormément de chemin devant [elle] pour aboutir à un niveau de sécurisation satisfaisant”.

4 – Définir les règles… et les faire respecter : l’exemple de MaturiN’H

Afin de développer le numérique en santé, l’un des rôles de la DNS est de produire, en concertation avec l’écosystème, des référentiels et règles, sur les trois piliers de son action : sécurité, interopérabilité et éthique. “Le plus dur, reconnaît Raphaël Beaufret, est évidemment de faire respecter cela”. Pour ce faire, la DNS dispose de plusieurs stratégies : “conditionner les financements, le référencement au catalogue de Mon Espace Santé, ou encore la publication “name & praise” des acteurs qui sont au rendez-vous”. C’est précisément l’une des ambitions du projet MaturiN de rendre compte publiquement de la maturité numérique des établissements sanitaires et médico-sociaux. “À terme, nous publierons également mieux les données concernant les éditeurs et solutions”, ajoute Raphaël Beaufret. Cependant, attendue avant l’été, la première version du référentiel MaturiN’H (consacrée aux établissements sanitaires et destinée à servir de référentiel unique des mesures de sécurité des systèmes d’information hospitaliers) n’a toujours pas été publiée. “Le projet MaturiN a pris un peu de retard avec la crise Covid-19, reconnaît Raphaël Beaufret, et nous allons nous atteler à simplifier les critères, et nous concentrer sur un premier bloc autour de la maturité en termes de cybersécurité”. L’une des difficultés de la construction de ce référentiel, explique-t-il, est de faire remonter certains indicateurs de sécurité qui nécessitent une saisie manuelle de l’établissement (pour savoir notamment s’il dispose d’un comité stratégique sur la sécurité des SI, d’une politique de sécurité, etc.). Une première version de l’Observatoire (la sous-partie de MaturiN dédiée aux indicateurs de cybersécurité) devrait pouvoir être publiée en octobre.

5 – Sécuriser les connexions aux plateformes : le cas de la future application Carte Vitale 

 La DNS, qui a publié l’an dernier un référentiel qui fixe les garanties à apporter sur les mécanismes de connexion des professionnels et des patients, veut sécuriser ces étapes de connexion et d’identification, souvent à l’origine d’usurpations d’identité qui peuvent engendrer des fuites de données. “Globalement, nous allons vers une généralisation de l’authentification à deux facteurs pour accéder à des données de santé”, résume Raphaël Beaufret. C’est l’un des enjeux auxquels répondent Pro Santé Connect et France Connect Plus pour les professionnels, ce sera l’enjeu de l’application Carte Vitale, côté patient. Si elle n’est pas destinée à se substituer à la carte physique, elle servira néanmoins d’alternative en cas d’oubli de la carte et permettra de se connecter à de nombreux services, comme Mon espace santé. 

6 – Déployer une messagerie citoyenne sécurisée

La messagerie sécurisée de Santé (MSSanté) est entrée progressivement dans les usages des professionnels. Son volet patient, déployé dans le cadre de Mon espace santé, vise également à maintenir garantir la sécurité des données et la confidentialité des échanges. “Outre la connexion, note Hela Ghariani, les messageries sont souvent un point faible”. Aussi, la DNS se bat actuellement contre ces pharmacies qui affichent en vitrine une adresse gmail ou hotmail, sur laquelle envoyer son ordonnance. “C’est forcer le patient à aller donner ses données de santé aux GAFAM”, soutient Raphaël Beaufret.  La messagerie sécurisée citoyenne, développée dans Mon espace santé, permet précisément de couvrir ces usages.  

7 – S’assurer du respect des services numériques socles au travers du Ségur

“Les services socles comme la messagerie sécurisée de santé et le DMP sont obligatoires depuis assez longtemps mais la contrainte réglementaire n’était pas suffisante. Le moteur qui nous permet vraiment d’assurer leur déploiement sur le terrain est le programme Ségur numérique”, explique Raphaël Beaufret. Concrètement, les 2 milliards d’euros du programme financent pour partie les acteurs en leur disant “si vous atteignez certaines cibles d’usage des services socles, alors vous toucherez des financements (hôpital qui envoie x % des comptes rendus de ses séjours hospitaliers dans Mon espace santé)” ; la seconde partie consiste pour l’Etat à financer les éditeurs pour qu’ils aillent faire les mises à jour des logiciels des acteurs, afin que leurs logiciels soient compatibles avec les services socles. “Aujourd’hui, se félicite Hela Ghariani, nous avons fini la première vague de référencements sur les premiers “couloirs” (médecine de ville, hôpital, biologie médicale, radiologie) : 126 solutions sont référencées Ségur. D’autres couloirs sont en cours comme en pharmacie d’officine et dans le domaine du médico-social”, ajoute-t-elle.

8 – Lancer le Store de Mon espace santé

Concernant le catalogue d’applications de Mon espace santé, les critères et le processus de demande de référencement ont été clairement définis cet été. Depuis la mi-juillet, la DNS tient une “Commission de référencement” par mois, pendant laquelle elle analyse les demandes de référencement, qu’elle soumet à une commission pluridisciplinaire (composée notamment de représentants des usagers). La DNS attend pour l’instant d’avoir un nombre suffisant de dossiers validés en réserve pour ouvrir le catalogue. A l’issue de la troisième commission de référencement qui doit se tenir début octobre, explique Héla Ghariani, un nombre suffisant de services référençables, soit une douzaine, devrait être atteint. 

9 – Soutenir la recherche

Lancé cet été, l’appel à projets “accompagnement et soutien à la constitution d’un EDS hospitalier”, est destiné aux établissements qui ont développé une expertise dans l’exploitation des données à des fins de recherche. Cet AAP, doté de 50 M€, a été co-construit par la DNS, la DGOS et le Health Data Hub (HDH). Pour la DNS, l’objectif est à terme de construire avec l’aide des premiers établissements lauréats une doctrine générale sur les EDS, pour préciser quelles sont les stratégies d’articulation entre le régional et le national, de mise à disposition des données, les modalités de collaboration, les critères éthiques, techniques, d’interopérabilité entre ces plateformes…tout en bâtissant un modèle économique pour que la contribution de ces acteurs de santé devienne pérenne. 

10 – Soutenir les DM numériques innovants

Les dispositifs médicaux (DM) innovants, notamment ceux intégrant de l’IA, ont souvent du mal à générer de la valeur, en raison notamment de leurs difficultés pour accéder au marché ou à un remboursement. Consciente de ces difficultés, la DNS a voulu dans la cadre de la stratégie d’accélération santé numérique, soutenir le développement de ces DM, à deux niveaux : 

• l’harmonisation des méthodologies d’analyse des études cliniques sur les dispositifs médicaux numériques, pour qu’un acteur n’ai pas tout à refaire lorsqu’il veut accéder aux marchés de deux pays différents en Europe. Cet effort d’harmonisation fait actuellement l’objet de discussions avec les HAS européennes. 

• l’introduction dans la loi de l’accès anticipé pour les dispositifs médicaux numériques. “Dès lors que vous arrivez à la HAS avec une étude clinique, explique Raphaël Beaufret, vous pouvez très vite avoir un accès anticipé, c’est à dire une prise en charge avec un forfait unique sur 12 mois, le temps qu’il y ait les procédures vis-vis d’un éventuel remboursement”. Cette sorte de DiGA à la française est en cours de mise en œuvre opérationnelle. Sans préciser de date, la DNS estime que les premiers dossiers devraient passer par cette procédure fast-track dans les prochains mois. 

11 – Référencer les solutions de télésurveillance

Attendus en juillet 2022, les décrets qui devaient faire entrer le remboursement de la télésurveillance dans le droit commun ont été repoussés à juillet 2023. Ce décret concernant la tarification n’est pas de la responsabilité de la DNS, mais la délégation a travaillé sur ce dossier afin de fixer avec les acteurs de l’écosystème les critères techniques pour pouvoir bénéficier du remboursement d’une solution de télésurveillance. Les éditeurs de solutions de télésurveillance ont donc d’ores et déjà la possibilité de passer par le guichet de l’ANS afin d’être référencés comme dispositif de télésurveillance conforme sur les volets sécurité et interopérabilité. Depuis la rentrée, une douzaine d’acteurs sont déjà rentrés dans cette démarche, confie Hela Ghariani. 

12 – Peser dans le futur Espace européen des données de santé (EHDS)

Avant d’être un espace en termes d’infrastructure, l’EHDS est un projet de règlement européen, pour lequel la France vient de lancer une concertation avec tout l’écosystème du numérique en santé (sur le site participez.esante.gouv.fr) afin d’éclairer sa position. “Ce texte aura beaucoup d’impact sur l’échange de données de santé pour le soin, ou leur réutilisation pour la recherche. Il vise notamment à mieux réguler, au niveau européen, les dossiers médicaux électroniques. Il pourrait être adopté à horizon 2024”, explique Raphaël Beaufret. 

L’EHDS a été vivement critiqué cet été par les CNIL européennes, qui insistent sur la nécessité d’héberger les données de santé en Europe, alors que l’hébergeur pressenti de l’EHDS est Microsoft Azure. Cette affaire n’est pas sans rappeler celle du HDH qui se dit incapable de se séparer de Microsoft avant 2025. Sur ce point, la DNS affiche une position de prudence, estimant que “s’il est essentiel de renforcer la confiance et la souveraineté des hébergements, il faut être attentifs à ne pas faire de transitions trop brutales qui mettraient en danger le développement ou le maintien des services numériques en santé”. Aussi, entend-elle “renforcer les critères relatifs à l’hébergement de données de santé, en attendant les futures réglementations européennes dans ce domaine”.

L’acculturation comme défi et fil rouge des actions de la DNS

Pour l’Agence du numérique en santé (ANS) et la DNS qui oriente son action, l’un des enjeux majeurs pour les mois à venir est que Mon espace santé soit réellement utilisé par les acteurs, citoyens et professionnels.  Aussi, un indicateur intéresse particulièrement la DNS : le nombre de documents par habitant et par an qui vont dans Mon Espace Santé, depuis les professionnels. “Nous sommes actuellement à environ 1 document par habitant et par an. C’est un niveau qui est dix fois plus important qu’il y a un an, analyse Raphaël Beaufret. Notre objectif est encore de multiplier cela au moins par 5 d’ici fin 2023, espère-t-il. L’évolution de cet indicateur se traduit par la courbe suivante :

A noter que cet indicateur est réactualisé fréquemment et consultable sur la page suivante.