Qu’est-ce que le programme CaRE ?
Face à la menace croissante des cyberattaques, CaRE accélère la mise à niveau des établissements sanitaire et renforce leur résilience. Il s’adresse aux groupements hospitaliers de territoire (GHT), aux établissements publics (hors GHT) ainsi qu'aux établissements privés.
La mise en œuvre du programme CaRE
Le programme s’étend de 2024 à 2027, avec des thématiques qui se succèdent selon différents axes d’action : Sécurité opérationnelle, Gouvernance et résilience, Ressources et mutualisation et la Sensibilisation.
Axe 1, Domaine 1 : Annuaires techniques et exposition sur internet (2024 – juin 2025)
Lancé au printemps 2024, l’axe 1 est centré sur la sécurité opérationnelle. Le Domaine 1 visait la maîtrise des annuaires techniques des établissements et la réduction de leur exposition sur Internet.
En Auvergne-Rhône-Alpes, 220 dossiers avaient été retenus, soit 137 candidatures effectivement déposées (un seul dossier par GHT pour l’ensemble de ses établissements), représentant plus de 6 millions d’euros d’aides régionales. Le premier dossier validé au niveau national avait été porté par le Centre Hospitalier Nord-Ouest Villefranche pour le GHT Rhône Nord Beaujolais Dombes.
La phase opérationnelle du domaine 1 s’est achevée le 30 juin 2025, date limite pour la déclaration d’atteinte des objectifs. Le guichet de paiement reste ouvert jusqu’au 25 octobre 2025.
Axe 1, Domaine 2 : Stratégie de continuité et de reprise d’activité (à partir de septembre 2025)
Le domaine 2 du programme CaRE est désormais en cours de lancement. Il porte sur la stratégie de continuité et de reprise d’activité (PCA/PRA), afin de renforcer la résilience des établissements face aux cybermenaces de type rançongiciel.
L’arrêté du 3 juillet 2025 a ouvert le troisième appel à financement, doté de 45 millions d’euros au niveau national. Il s’adresse aux établissements sanitaires publics et privés. Un dispositif complémentaire pour le secteur médico-social est prévu d’ici fin 2025.
Les établissements sont invités à :
- intégrer la continuité d’activité dans leur gouvernance ;
- définir et actualiser leurs politique et plan(s) de sauvegarde et de restauration ;
- mettre en place un système de sauvegarde sécurisé ;
- tester régulièrement les procédures de sauvegarde et de restauration.
Les candidatures sont à déposer sur la plateforme eCaRE entre le 2 septembre et le 31 octobre 2025. Un kit PCA/PRA, un parcours de formation, ainsi qu’un accompagnement régional via les CRRC sont mis à disposition par l’ARS Auvergne-Rhône-Alpes et le GCS SARA. Le replay du webinaire de présentation du 22 juillet est disponible sur le site de l’ANS.
Les acteurs mobilisés en région
L’Agence régionale de santé (ARS) Auvergne-Rhône-Alpes pilote la mise en œuvre du programme dans la région, en lien avec les établissements. Elle veille au respect des procédures et à la bonne exécution des actions.
Le GCS SARA a accompagné les établissements dans le cadre du domaine 1, notamment avec la contractualisation d’un prestataire d’audit d’exposition sur Internet et des annuaires techniques. Pour le domaine 2, il poursuivra son rôle de soutien opérationnel via le Centre régional de ressources cyber (CRRC).
L’accompagnement proposé / les financements prévus en région
L'ANS (Agence du numérique en santé) et la DNS (Délégation au numérique en santé) ont proposé dans le cadre du domaine 1 des webinaires thématiques, notamment sur les audits techniques et la méthodologie d’atteinte des cibles. Pour le domaine 2, de nouvelles sessions sont prévues autour du PCA/PRA.
Les financements du domaine 1 étaient calculés selon un forfait basé sur l’activité de chaque établissement. En Auvergne-Rhône-Alpes, l’enveloppe engagée a atteint 7,7 millions d’euros, sur une enveloppe régionale potentielle de 8,1 millions d’euros.
Les montants moyens attribués étaient :
- Moyenne : 62 067,28 €
- Médiane : 16 100,11 €
- Minimum : 15 000,00 €
- Maximum : 623 026,24 €
Le programme étant financé par des fonds européens, les établissements devaient fournir un bilan financier détaillant les dépenses engagées, afin de prévenir tout risque de surfinancement.
Comment rejoindre le programme CaRE ?
Modalité d’accès
Le programme est structuré autour d’appels à candidatures successifs selon les domaines. Pour bénéficier des financements, les établissements doivent répondre aux prérequis du domaine concerné et déposer leur dossier sur le portail eCaRE lors de la période d’ouverture.
Calendrier du programme
- Guichet de paiement pour le domaine 1 : ouvert jusqu’au 25 octobre 2025
- Dépôt des candidatures pour le domaine 2 : du 2 septembre au 31 octobre 2025.
