Sécurité offensive
Gouvernance & conformité
Protection des données
Référentiels & règlementsAccompagnement à la certification HDS
Gouvernance & conformité
Accompagnement à la certification HDS
Certification HDS : transformez une obligation réglementaire en preuve de fiabilité commerciale. De l’analyse d’écarts à l’audit de certification, Digitemis sécurise vos données patients et fait de la certification HDS un argument pour vos offres cloud & e-santé.
Qu’est-ce que la certification HDS ?
L’Hébergement de Données de Santé (HDS) est en France encadré par l’article L. 1111-8 du code de la santé publique. L’objectif de ces dispositions est la protection des données sensibles de santé et le respect du droit des patients.
La certification HDS repose sur la norme ISO 27001 complétée par des exigences propres à l’hébergement de données de santé : localisation des données dans l’Espace économique européen, transparence sur les accès depuis des pays tiers, respect de la réglementation sur la protection des données personnelles. Le référentiel en vigueur, publié en 2024, s’applique à tous les certificats depuis le 16 mai 2026.
Les exigences à mettre en œuvre diffèrent selon que vous fournissez un service d’infogérance (un éditeur d’application SaaS par exemple) et/ou un service d’hébergement d’infrastructure (fournisseur d’un datacenter par exemple).
La certification couvre six activités d’hébergement, présentées ci-dessous ; son périmètre peut porter sur une seule, plusieurs ou toutes.
Les six activités d’hébergement
Elles sont définies par l’article R. 1111-9 du code de la santé publique, dans sa rédaction en vigueur depuis le 27 mars 2026.
Hébergeur d’infrastructure physique
La mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d’héberger l’infrastructure matérielle du système d’information utilisé pour le traitement des données de santé
La mise à disposition et le maintien en condition opérationnelle de l’infrastructure matérielle du système d’information utilisé pour le traitement de données de santé
Hébergeur infogéreur
La mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information utilisé pour le traitement des données de santé
La mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications du système d’information
L’administration et l’exploitation du système d’information contenant les données de santé
La sauvegarde des données de santé, notamment leur conservation dans le cadre d’un archivage électronique
Le référentiel de certification HDS précise les exigences et contrôles pour obtenir la certification.
Le système d’information
Le champ d’application de la législation sur l’hébergement de données à caractère personnel porte sur les données recueillies à l’occasion « d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social et ceci pour le compte du patient ou pour le compte des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social à l’origine de ces données ».
Par exemple, un établissement de santé exploitant à des fins de recherche une base de données de santé mise en œuvre dans le cadre de la prise en charge sanitaire des patients est tenu de recourir à un hébergeur certifié HDS en cas d’externalisation de l’hébergement de ladite base (source : L’agence du numérique en santé).
En complément du respect de la norme ISO 27001, des exigences supplémentaires sont à prendre en compte vis-à-vis :
- De la planification, de la conception et de l’implémentation de nouveaux services ou services modifiés, des processus structurés de tests et de validation doivent permettre d’apporter la preuve que le futur service ne perturbera pas les performances globales du système hébergé et n’amoindrira pas son niveau de sécurité.
- De la continuité de service et de la gestion de la disponibilité.
- Du respect de la protection des données à caractère personnel du patient.
Notre accompagnement, étape par étape
Gap analysis ISO 27001 / HDS
Cartographie des écarts techniques, organisationnels et documentaires.
Plan d’action priorisé
Classé par coût, impact, délai ; intègre continuité, capacité, privacy, exigences santé.
Mise en œuvre & preuves
Politiques, procédures, gestion des risques, déclaration d’applicabilité enrichie des exigences HDS.
Sensibilisation & coaching audit
Préparation des équipes, mises en situation, réponses attendues.
Audit à blanc
Test grandeur nature avant l’audit de l’organisme certificateur accrédité par le COFRAC.
Suivi annuel & audits internes
Boucle PDCA, tableau de bord, maintien ou extension du périmètre.
Ils nous font confiance
informations
Contactez-nous
Vous visez la certification HDS ou souhaitez tester votre conformité ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Quelle est la durée typique d’un projet de certification ?
Entre 6 et 10 mois si un système de management ISO 27001 est déjà en place, selon le nombre d’activités HDS et de périmètres. Sans ce socle, comptez la durée d’un projet ISO 27001, généralement de 9 à 18 mois.
Faut-il être déjà certifié ISO 27001 ?
Non, mais le référentiel HDS s’appuie sur l’ISO 27001, qui en constitue le socle : une organisation déjà certifiée part avec une grande partie du travail faite.
L’audit à blanc peut-il valoir audit interne ?
Oui, s’il est mené par un auditeur indépendant de l’équipe qui a construit votre système de management : il peut alors tenir lieu de premier audit interne au sens de l’exigence 9.2. Les audits internes restent ensuite à conduire à intervalles planifiés.
Où les données de santé peuvent-elles être hébergées ?
Le référentiel impose un hébergement dans l’Espace économique européen et l’information du client en cas d’accès depuis un pays tiers. Nous définissons avec vous la stratégie de localisation, de sauvegarde et de chiffrement, en cohérence avec la PGSSI-S et le RGPD.
cas client
Découvrez notre approche
cas client
