Certification HDS : Certification Hébergeurs de Données de Santé

La certification HDS peut couvrir six activités d’hébergement

La certification HDS peut couvrir six activités distinctes définies par le Code de la santé publique. Pour les quatre premières activités, la norme impose non seulement la mise à disposition des ressources, mais aussi leur Maintien en Condition Opérationnelle (MCO), c’est-à-dire l’ensemble des mesures (maintenance, surveillance, mises à jour) garantissant que le service reste disponible, performant et sécurisé en continu.

1. La mise à disposition et le MCO de sites physiques permettant d’héberger l’infrastructure matérielle (datacenters, salles informatiques sécurisées).
2. La mise à disposition et le MCO de l’infrastructure matérielle (serveurs physiques, baies de stockage, équipements réseaux).
3. La mise à disposition et le MCO de l’infrastructure virtuelle (serveurs virtuels, réseaux et stockages virtuels via hyperviseur).
4. La mise à disposition et le MCO de la plateforme d’hébergement d’applications (plateforme applicative de type PaaS permettant de déployer des logiciels de santé).
5. L’administration et l’exploitation du système d’information contenant les données de santé (gestion technique et applicative quotidienne).
6. La sauvegarde des données de santé, s'entendant spécifiquement comme la gestion des sauvegardes externalisées pour garantir la récupération des données en cas d'incident.

Chaque entité peut être certifiée sur un ou plusieurs de ces domaines en fonction des services réellement fournis. Il est impératif que le périmètre retenu soit inclus dans celui du certificat ISO/IEC 27001 et qu'il soit clairement défini sur le certificat final pour refléter la réalité des prestations opérées.

Cadre légal de l’Hébergement de Données de Santé (HDS)

“Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet.” L.1111-8 du code de la santé publique, modifié par la loi n° 2016-41 du 26 janvier 2016.

 La procédure de certification repose sur une évaluation de conformité au référentiel de certification. L’hébergeur choisit un organisme certificateur qui devra être accrédité par le COFRAC (ou équivalent au niveau européen).

Pour les responsables de traitement (établissements de santé, professionnels de santé, éditeurs), la certification HDS constitue bien plus qu’une simple exigence réglementaire : c’est un gage de confiance et de maîtrise opérationnelle. En choisissant un hébergeur certifié par un tiers indépendant comme LSTI, le responsable de traitement a l'assurance que son prestataire met en œuvre des mesures de sécurité adaptées et un dispositif cohérent pour protéger les données les plus sensibles.

Cette confiance repose sur quatre piliers fondamentaux renforcés par le référentiel HDS V2 :

• La preuve d'une gouvernance de la sécurité des systèmes d'information robuste : Le responsable de traitement bénéficie d’un niveau de sécurité évalué de manière indépendante, garantissant la confidentialité, l'intégrité et la disponibilité (DIC) des données de santé.
• La conformité réglementaire simplifiée : La certification atteste que l’hébergeur respecte les obligations strictes du Code de la santé publique (CSP) et du RGPD, facilitant ainsi la propre démarche de conformité du responsable de traitement.
• Des garanties contractuelles transparentes : Conformément à l'article R.1111-11 du CSP, les engagements sur les niveaux de service, le respect des droits des personnes concernées et la réversibilité sécurisée des données sont formellement encadrés.
• La visibilité sur la chaîne de service : La nouvelle « Représentation des garanties » introduite par la V2 offre une transparence totale sur l'ensemble des acteurs et sous-traitants intervenant dans la prestation, permettant au responsable de traitement de maîtriser parfaitement son écosystème de données.

En déléguant l’hébergement à une structure certifiée HDS V2, le responsable de traitement transforme une obligation légale en un actif stratégique, garantissant une protection optimale et pérenne des informations confiées par les patients.

La certification HDS est une obligation légale qui s’applique à toute organisation — publique ou privée — qui héberge, exploite ou met à disposition des services d'hébergement pour des données de santé à caractère personnel (DSCP). Elle concerne spécifiquement les entités ayant la qualité de sous-traitant au sens du RGPD pour le compte de responsables de traitement (établissements de santé, professionnels de santé) ou du patient lui-même.

Cette certification est notamment destinée aux acteurs suivants :

• Hébergeurs d’infrastructures physiques : prestataires assurant la mise à disposition et le maintien en condition opérationnelle de sites physiques (datacenters) destinés à l'infrastructure matérielle.
• Hébergeurs d’infrastructures virtuelles : organismes fournissant des serveurs virtuels et les plateformes applicative d'infrastructure associées.
• Hébergeurs de plateformes applicatives (PaaS) : acteurs mettant à disposition l'environnement nécessaire au déploiement d'applications de santé.
• Infogéreurs et administrateurs de systèmes d’information : prestataires chargés de l'exploitation et de la maintenance critique des systèmes contenant des données de santé.
• Services de sauvegarde externalisée : toute organisation assurant la sauvegarde de sécurité des données de santé pour le compte d'un tiers.

Un périmètre défini par l'usage

L'obligation de certification s'applique dès lors que les données hébergées sont recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Que vous soyez responsable de l'infrastructure globale ou un sous-traitant spécialisé, votre périmètre de certification doit refléter les services réellement fournis au sein de l'écosystème de santé.

HDS V2 : Représentation des garanties et conformité des acteurs

La version HDS V2 impose désormais une transparence totale sur la chaîne de sous-traitance. Si vous faites appel à un tiers pour une partie de vos activités (comme le stockage physique), vous devez vous assurer que ce dernier est également certifié pour les activités qu'il opère.

Avant de solliciter un audit de certification HDS auprès de LSTI, il est essentiel que votre organisation franchisse plusieurs étapes clés pour garantir la conformité de son système aux exigences du référentiel HDS V2 et de la norme ISO/IEC 27001.

Établir un SMSI conforme et opérationnel

La certification HDS reposant sur le socle de la norme ISO 27001, vous devez d'abord structurer et déployer un Système de Management de la Sécurité de l'Information (SMSI). Il est fortement recommandé que ce système soit opérationnel depuis au moins six mois avant le passage de l'audit initial pour démontrer sa maturité.

Définir précisément votre périmètre d'activité

Vous devez identifier les activités d'hébergement (parmi les 6 domaines définis par le Code de la santé publique) que vous fournissez réellement à vos clients . Ce périmètre doit être clairement documenté, car il sert de base à l'ensemble de votre analyse de risques et à l'élaboration de votre Déclaration d'Applicabilité (SoA).

Analyse de risques et sécurité informatique du Système d’Information de Santé

En complément d'une analyse de risques, le référentiel HDS V2 impose d'envisager des scénarios spécifiques, tels que :

• La perte de contrôle des supports matériels (copies, réallocation d'espace).
• La maîtrise des accès et des interventions techniques.
• Les risques liés à la souveraineté des données et à la sujétion éventuelle à des législations extra-européennes.

Mettre en conformité vos contrats et garanties

Assurez-vous que vos contrats d’hébergement intègrent déjà les clauses obligatoires de l'article R.1111-11 du Code de la santé publique (niveaux de service, réversibilité, droits des personnes) . Vous devez également préparer votre document de « Représentation des garanties » détaillant l'ensemble des acteurs de votre chaîne de service.

Valider la conformité par un audit interne

La réalisation d'un audit interne est une modalité préalable indispensable. Cet audit doit notamment vérifier la conformité du SMSI aux exigences HDS et la réalité de la traçabilité des accès aux données de santé par vos équipes . Enfin, une revue de direction doit être conduite pour valider l'adéquation et l'efficacité du système avant l'intervention de LSTI.

Le processus d'audit de LSTI repose sur une méthodologie rigoureuse, éprouvée auprès de nombreux prestataires de services informatiques et établissements de santé. Nos audits sont conçus pour valider l'efficacité réelle de votre dispositif de cybersécurité tout en assurant une transition fluide vers le référentiel HDS V2.
LSTI réalise les audits ISO 27001 et HDS V2 simultanément avec la même équipe d’auditeurs spécialisés, assurant ainsi une cohérence et une efficacité maximales.

Un cycle de certification en trois étapes clés

Le cycle de certification HDS suit une démarche encadrée, progressive et récurrente. Il vise à évaluer la conformité initiale du système d’hébergement, puis à garantir son maintien dans le temps.

• Audit initial : réalisé en deux phases, ce processus débute par une revue documentaire (Étape 1) suivie d'une vérification opérationnelle sur site ou à distance (Étape 2) pour valider la conformité du système ainsi que votre stratégie de gestion des risques d’hébergement aux exigences aux référentiels 27001 et HDS.
• Délivrance du certificat : si les exigences sont remplies, un certificat 27001 et un certificat HDS sont délivrés pour une durée de trois ans.
• Audits de surveillance annuels : ils permettent de s’assurer du maintien de la conformité et de l’amélioration continue du système durant le cycle de vie des certificats.
• Audit de renouvellement : à l’issue du cycle triennal, un audit complet permet de prolonger la certification 27001 et la certification HDS pour un nouveau cycle.

Le cadre réglementaire du référentiel HDS V2 s'impose à tout nouveau candidat depuis le 16 novembre 2024. Pour les structures déjà certifiées, la transition complète vers ces nouvelles exigences doit être impérativement finalisée au plus tard le 16 mai 2026.

Retrouvez nos règlements de certification sur la page Téléchargements.

Durée d'un certificat

Le certificat HDS est délivré pour une durée de trois ans et fait l'objet d'audits de surveillance annuels afin de garantir le maintien rigoureux de la conformité et de la sécurité des données tout au long du cycle.