Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Vérifier qu'un prestataire est « certifié HDS » ne suffit pas à sécuriser un choix d'hébergement. Le périmètre exact du certificat, la chaîne de sous-traitance et les clauses contractuelles associées déterminent bien davantage le niveau réel de protection. Voici la méthode d'évaluation à appliquer avant de signer.
Sélectionner un hébergeur de données de santé suppose d'aller au-delà de la simple présence d'un certificat HDS. Le référentiel de certification publié par l'Agence du Numérique en Santé (ANS) distingue plusieurs activités certifiables séparément — hébergement physique de l'infrastructure, infogérance, administration et exploitation du système d'information, sauvegarde, archivage électronique — de sorte qu'un prestataire peut être certifié pour l'une sans l'être pour les autres. Un DPO doit donc vérifier quatre éléments : le périmètre précis du certificat au regard des prestations réellement attendues, sa date de validité et la version du référentiel sur laquelle il a été délivré, la couverture de l'ensemble de la chaîne de sous-traitance, et la présence de clauses contractuelles reflétant les garanties associées. À noter pour 2026 : la version 2.1 du référentiel, attendue à l'automne, renforce les exigences de transparence sur une éventuelle soumission de l'hébergeur à une législation extra-européenne — un point à intégrer dès maintenant dans les grilles d'évaluation.
C'est l'erreur la plus fréquente et la plus coûteuse. Le référentiel HDS structure les exigences autour d'activités distinctes, qui peuvent être auditées et certifiées indépendamment les unes des autres. Un prestataire certifié uniquement pour l'hébergement physique de l'infrastructure ne couvre pas, par ce seul certificat, une prestation d'infogérance ou d'administration du système d'information contenant les données de santé.
En pratique, le DPO doit établir la liste des prestations réellement attendues du fournisseur, puis vérifier, activité par activité, que le certificat produit couvre bien chacune d'entre elles. Un prestataire sérieux fournit sans difficulté cette correspondance ; une réticence à détailler le périmètre couvert constitue en soi un signal d'alerte.
Un certificat doit être en cours de validité au moment de la signature, et délivré sur une version du référentiel encore applicable. Le référentiel HDS a connu une révision majeure entrée en vigueur en 2024, avec une échéance de mise en conformité fixée au 16 mai 2026 pour les hébergeurs déjà certifiés : un certificat délivré sur une version antérieure n'offre plus les mêmes garanties.
La chaîne de sous-traitance mérite une attention particulière. Un hébergeur certifié peut lui-même recourir à des sous-traitants pour l'infrastructure cloud sous-jacente, la maintenance ou le support. Le DPO doit obtenir la liste de ces sous-traitants et vérifier que les garanties applicables se propagent jusqu'au dernier niveau de la chaîne : la certification du prestataire de premier rang ne suffit pas à sécuriser l'ensemble, comme l'ont montré plusieurs incidents récents survenus non pas chez l'établissement lui-même, mais chez un prestataire technique périphérique.
Prenons un établissement qui compare deux offres pour héberger son logiciel de gestion des dossiers patients. Les deux prestataires annoncent une certification HDS. À l'examen, le premier est certifié pour l'hébergement physique et l'infogérance, mais confie l'administration du système d'information à un sous-traitant lui-même non certifié pour cette activité. Le second est certifié sur les quatre activités correspondant au besoin, et fournit spontanément la liste de ses sous-traitants avec leur statut. À prix comparable, la seconde offre présente un risque de conformité nettement inférieur, alors que les deux affichaient initialement le même argument commercial. Sans analyse du périmètre, cette différence serait passée inaperçue.
L'obligation de recourir à un hébergeur certifié repose sur l'article L1111-8 du Code de la santé publique, complété par le décret du 26 février 2018. La certification est délivrée par des organismes accrédités par le COFRAC ou par l'instance nationale d'accréditation d'un autre État membre de l'Union européenne, sur la base du référentiel publié par l'ANS. Cette exigence sectorielle se cumule avec les obligations du RGPD, notamment son article 28 relatif à la sous-traitance, qui impose un contrat écrit précisant l'objet, la durée, la nature et la finalité du traitement, ainsi que les obligations et droits du responsable de traitement.
Deux évolutions doivent être intégrées aux grilles d'évaluation en 2026 : la version 2.1 du référentiel HDS, attendue à l'automne, qui renforce la transparence sur les transferts de données et la soumission éventuelle de l'hébergeur à un droit extra-européen ; et la montée en puissance de la qualification SecNumCloud de l'ANSSI, exigence distincte de la certification HDS mais de plus en plus présente dans les appels d'offres publics de santé (source : Agence du Numérique en Santé, page Certification HDS, esante.gouv.fr).
Le mouvement de convergence entre exigences sectorielles (HDS) et exigences de sécurité nationale (SecNumCloud) devrait se poursuivre, avec des appels d'offres publics de santé qui intègrent de plus en plus fréquemment les deux référentiels. Pour un DPO, cela signifie que les grilles d'évaluation construites aujourd'hui doivent prévoir une colonne sur la trajectoire de qualification du prestataire, et non seulement sur son état de conformité au moment de la signature.
Sur le plan technique, cette évolution renforce l'intérêt d'architectures où la donnée reste protégée indépendamment du statut de l'hébergeur : lorsque les clés de chiffrement restent sous le contrôle exclusif du responsable de traitement, l'impact d'une évolution réglementaire ou d'une divergence juridictionnelle chez le prestataire s'en trouve mécaniquement réduit.
Message clé : la question utile n'est pas « ce prestataire est-il certifié HDS », mais « son certificat couvre-t-il exactement les prestations que je lui confie, et jusqu'où dans sa chaîne de sous-traitance ».
Une grille d'évaluation structurée autour du périmètre, de la validité, de la sous-traitance et des clauses contractuelles permet de transformer une vérification déclarative en véritable analyse de risque.
Un certificat HDS couvre-t-il automatiquement toutes les prestations d'un hébergeur ? Non, le référentiel distingue plusieurs activités certifiables séparément : le certificat doit préciser lesquelles sont effectivement couvertes.
Qui délivre la certification HDS ? Des organismes de certification accrédités par le COFRAC en France, ou par l'instance nationale d'accréditation équivalente d'un autre État membre de l'Union européenne.
Faut-il vérifier les sous-traitants de mon hébergeur ? Oui, un hébergeur certifié peut recourir à des sous-traitants pour l'infrastructure ou la maintenance : les garanties doivent se propager sur toute la chaîne.
La certification HDS dispense-t-elle du contrat de sous-traitance RGPD ? Non, l'article 28 du RGPD impose un contrat écrit précisant notamment l'objet, la durée, la nature et la finalité du traitement, indépendamment de la certification sectorielle.
Faut-il exiger SecNumCloud en plus de HDS ? Cela dépend du contexte : SecNumCloud est une qualification distincte, de plus en plus demandée dans les marchés publics de santé, mais elle ne remplace pas la certification HDS.
Que change la version 2.1 du référentiel pour la sélection d'un prestataire ? Elle renforce la transparence sur une éventuelle soumission de l'hébergeur à une législation extra-européenne, un point à intégrer dès maintenant dans les questions posées aux candidats.
Comment vérifier qu'un certificat est authentique et à jour ? Demandez une copie du certificat mentionnant l'organisme certificateur, la date de validité, la version du référentiel et le périmètre d'activités couvert.
Sélectionner un hébergeur de données de santé exige de vérifier quatre points : le périmètre exact du certificat HDS au regard des prestations attendues, sa validité et la version du référentiel appliquée, la couverture de toute la chaîne de sous-traitance, et la conformité des clauses contractuelles aux exigences de l'article 28 du RGPD. La version 2.1 du référentiel, attendue à l'automne 2026, ajoute une exigence de transparence sur les législations extra-européennes applicables au prestataire.
Construisez une grille d'évaluation en quatre colonnes — périmètre certifié, validité et version du référentiel, sous-traitants et leur statut, clauses contractuelles — et exigez de chaque candidat qu'il la remplisse par écrit avant toute décision : cette trace documentaire vous servira aussi en cas d'audit ou de contrôle.
Un prestataire certifié pour l'hébergement physique n'est pas nécessairement certifié pour administrer votre système d'information.
La certification du prestataire de premier rang ne dit rien de ses propres sous-traitants : c'est souvent là que le risque se niche.
Une réticence à détailler le périmètre exact d'un certificat est en soi une information sur le prestataire.
Choisir un hébergeur certifié HDS ressemble au recrutement d'un artisan disposant d'une qualification professionnelle : cette qualification atteste d'un savoir-faire vérifié, mais encore faut-il vérifier qu'elle porte sur le métier dont vous avez besoin. Un artisan qualifié en électricité ne devient pas plombier parce qu'il détient un certificat, et s'il sous-traite une partie du chantier, la question de la qualification de son sous-traitant se pose exactement dans les mêmes termes.
Pour les équipes DSI accompagnant le DPO dans cette évaluation, plusieurs vérifications techniques complètent l'analyse documentaire. La version 2.0 du référentiel, alignée sur ISO 27001:2022, impose des exigences renforcées sur la gestion des accès (attribution et revue périodique des droits nominatifs), la traçabilité des interventions sur les systèmes contenant des données de santé, et les processus de sauvegarde et de continuité d'activité avec des objectifs RTO et RPO documentés : demandez les preuves d'audit correspondantes plutôt que de vous contenter du certificat. Sur la localisation, exigez une cartographie précise des lieux de stockage et de traitement, y compris pour les environnements de sauvegarde et les éventuels environnements de test, souvent oubliés dans les déclarations initiales. Enfin, quel que soit le prestataire retenu, une architecture où le chiffrement est appliqué en amont, avec des clés maîtrisées par l'établissement plutôt que par l'hébergeur, réduit structurellement le périmètre d'impact d'un incident chez le prestataire et facilite la démonstration de conformité lors d'une analyse d'impact.