La certification HDS hébergement données santé est le prérequis réglementaire incontournable pour tout acteur numérique qui stocke, traite ou transmet des données de santé à caractère personnel en France. Instituée par l'article L.1111-8 du Code de la santé publique et précisée par le décret n°2018-137, cette certification oblige chaque hébergeur à démontrer formellement sa capacité à garantir la confidentialité, l'intégrité et la disponibilité des données médicales. En 2026, l'obtention et le maintien de la certification HDS 2026 conditionnent l'accès aux marchés hospitaliers publics et privés, aux plateformes nationales comme Mon Espace Santé, au Dossier Médical Partagé (DMP) et à toute intégration dans l'écosystème numérique en santé du SÉGUR. Le référentiel HDS v2.1 publié par l'Agence du Numérique en Santé (ANS) en 2022 structure la certification en deux niveaux (hébergeur d'infrastructure et hébergeur infogéreur) et 107 critères de contrôle alignés sur ISO 27001:2022. Ce guide détaille les exigences, le processus d'audit COFRAC, les hébergeurs certifiés en 2026 et l'articulation avec RGPD, ISO 27018 et les futures évolutions réglementaires.

La certification HDS hébergement données santé constitue en 2026 le pilier réglementaire central du numérique en santé français. Instituée par l'article L.1111-8 du Code de la santé publique et précisée par le décret n°2018-137, cette certification oblige tout hébergeur à démontrer sa capacité à garantir la confidentialité, l'intégrité et la disponibilité des données médicales. Avec plus de 71 millions de bénéficiaires de l'Assurance Maladie concernés et l'accélération du virage numérique en santé (ENS, SÉGUR du numérique, Mon Espace Santé), les enjeux sont considérables. Une fuite de données de santé peut entraîner des sanctions CNIL allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, en plus des dommages réputationnels irréparables. En 2026, le référentiel HDS v2.1 intègre des exigences renforcées sur la sécurité du cloud, la gestion des sous-traitants et l'interopérabilité avec les référentiels ISO 27001:2022, ISO 27018 et le RGPD, rendant indispensable une approche unifiée de la conformité pour les hébergeurs de données de santé souhaitant opérer sur le territoire français.

À retenir

  • Obligation légale : tout hébergeur de données de santé à caractère personnel doit être certifié HDS sous peine de sanctions pénales (art. L.1111-8 CSP).
  • Deux niveaux distincts : niveau 1 (hébergeur d'infrastructure) et niveau 2 (hébergeur infogéreur), cumulables selon les activités exercées.
  • Référentiel v2.1 : publié par l'ANS en 2022, il intègre 6 activités avec 107 critères de contrôle alignés sur ISO 27001:2022.
  • Audit COFRAC : seuls les organismes de certification accrédités par le COFRAC peuvent délivrer la certification HDS, avec un cycle de 3 ans + audits de surveillance annuels.
  • Hébergeurs certifiés : OVHcloud Health, Microsoft Azure (sections françaises), Outscale, Claranet Santé — AWS GovCloud n'est pas éligible au périmètre HDS français.

La certification HDS trouve son origine dans la loi HPST de 2009, renforcée par la loi de modernisation du système de santé de 2016. Le décret n°2018-137 du 26 février 2018 a défini les activités concernées et confié à l'Agence du Numérique en Santé (ANS) la gouvernance du référentiel. Depuis le 1er avril 2018, tout hébergeur traitant des données de santé à caractère personnel pour le compte de professionnels ou établissements de santé doit être certifié.

Le périmètre légal couvre les données de santé à caractère personnel au sens du RGPD (article 9), c'est-à-dire les informations relatives à l'état de santé physique ou mentale d'une personne : dossiers médicaux, résultats biologiques, imagerie, prescriptions, données de télésurveillance. Les données de bien-être (poids, pas quotidiens) restent hors périmètre sauf croisement avec un suivi médical formalisé.

La CNIL et l'ANS exercent conjointement la surveillance du dispositif. Une violation de l'obligation de certification peut entraîner des poursuites pénales (5 ans d'emprisonnement et 300 000 € d'amende pour une personne morale selon l'art. L.1115-1 CSP) en plus des sanctions RGPD.

Quels sont les deux niveaux de certification HDS ?

Le référentiel HDS v2.1 structure la certification en deux niveaux complémentaires correspondant à des activités d'hébergement distinctes :

Le niveau 1 — Hébergeur d'infrastructure physique couvre les activités 1 (mise à disposition et maintien en condition opérationnelle des sites physiques) et 2 (mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle). Il vise les opérateurs de datacenters et fournisseurs IaaS. Les exigences portent essentiellement sur la sécurité physique, la redondance des alimentations, la climatisation, la détection incendie et la continuité électrique.

Le niveau 2 — Hébergeur infogéreur est plus exigeant et regroupe les activités 3 à 6 : mise à disposition et MCO de l'infrastructure virtuelle (activité 3), mise à disposition et MCO de la plateforme logicielle d'hébergement (activité 4), infogérance du système d'information de santé (activité 5), et sauvegarde externalisée des données (activité 6). Ce niveau cible les fournisseurs PaaS/SaaS qui gèrent directement les applications de santé et les données patients.

  • Un même acteur peut être certifié sur les deux niveaux si ses activités le justifient
  • Un éditeur SaaS de santé doit être certifié niveau 2 (activités 3+4+5) a minima
  • Un datacenter co-location ne traite pas de données de santé : activités 1+2 suffisent
  • La sauvegarde externalisée (activité 6) peut être portée par un sous-traitant dédié certifié

Le référentiel HDS v2.1 : structure et exigences clés

Le référentiel HDS v2.1, publié par l'ANS en octobre 2022, s'appuie sur un socle ISO 27001:2022 enrichi d'exigences sectorielles spécifiques à la santé. Il comprend 107 critères de contrôle répartis en 6 activités et plusieurs domaines thématiques : gouvernance de la sécurité, gestion des risques, contrôle d'accès, chiffrement, continuité d'activité, gestion des incidents, et conformité réglementaire.

Parmi les exigences les plus structurantes figurent :

  • La mise en place d'un Système de Management de la Sécurité de l'Information (SMSI) selon ISO 27001:2022, avec revue annuelle de direction
  • L'obligation de chiffrement des données au repos et en transit avec algorithmes conformes au RGS (Référentiel Général de Sécurité)
  • La journalisation des accès aux données de santé avec conservation minimale de 6 mois (conformité RGPD)
  • Des PCA/PRA testés annuellement avec RTO ≤ 4h pour les données critiques
  • La gestion documentée des sous-traitants avec DPA (Data Processing Agreement) conforme au RGPD
  • Des tests d'intrusion annuels couvrant le périmètre hébergeant les données de santé

L'ISO 27018:2019 (code de bonnes pratiques pour la protection des données personnelles dans le cloud) est référencé dans le HDS v2.1 comme complément recommandé pour les hébergeurs cloud multi-tenant. Sa mise en œuvre formelle renforce significativement le dossier de certification.

Comment se déroule l'audit de certification HDS ?

L'audit HDS suit un processus rigoureux en quatre phases, conduit exclusivement par des organismes de certification accrédités COFRAC selon la norme EN ISO/IEC 17065. En France, les organismes accrédités incluent BSI Group France, Bureau Veritas Certification, LSTI et AFNOR Certification.

  1. Phase 1 — Readiness assessment (J-6 mois) : audit documentaire à distance. L'organisme évalue la maturité du SMSI, la complétude des politiques de sécurité, l'existence des procédures de gestion des incidents et la conformité des DPA. Un rapport de préconisations est émis.
  2. Phase 2 — Audit de certification (sur site, 3-5 jours) : vérification terrain des 107 critères, entretiens avec les équipes techniques et managériales, revue des logs, tests de contrôle d'accès physique et logique, vérification des plans de continuité.
  3. Décision de certification : le comité de certification de l'organisme rend sa décision dans les 30 jours. En cas de non-conformités majeures, un plan d'action avec délai de levée est imposé avant émission du certificat.
  4. Surveillance annuelle : audits de surveillance d'1-2 jours par an pour maintenir la certification. Renouvellement complet tous les 3 ans.

Les délais typiques de la phase de préparation à la certification varient de 9 à 18 mois selon la maturité initiale de l'hébergeur. Un hébergeur déjà certifié ISO 27001 réduit ce délai à 6-9 mois. Le coût total (préparation interne + conseil + audit) varie de 50 000 à 200 000 € selon la taille et la complexité du périmètre.

Interopérabilité HDS, RGPD, ISO 27001 et ISO 27018

L'une des grandes forces du référentiel HDS v2.1 est son architecture de conformité croisée. Un hébergeur certifié ISO 27001:2022 couvre environ 70 % des exigences HDS. Les 30 % restants concernent des spécificités sectorielles santé : traçabilité des accès patients, durées de conservation réglementaires, obligations de notification à l'ANS en cas d'incident.

DomaineHDS v2.1ISO 27001:2022RGPD (art.)ISO 27018
Chiffrement donnéesObligatoire (RGS)A.8.24Art. 32Clause 12
Gestion des accèsObligatoireA.5.15, A.8.2Art. 5(1)(f)Clause 9
Journalisation6 mois min.A.8.15Art. 30Clause 12.4
Notification incidentANS + CNILA.5.26Art. 33 (72h)Clause 12.7
DPA sous-traitantsObligatoireA.5.19Art. 28Clause 5
PCA/PRARTO ≤ 4hA.5.29, A.5.30Art. 32(1)(c)—

Depuis 2024, l'ANS pousse vers une convergence accrue avec le cadre EUCS (European Union Cloud Scheme) porté par l'ENISA, qui deviendra progressivement le référentiel cloud européen de référence pour les données sensibles. Les hébergeurs HDS doivent anticiper cette transition, notamment ceux qui aspirent à la qualification SecNumCloud de l'ANSSI, nécessaire pour héberger les données les plus sensibles de l'État et du secteur santé critique.

Principaux hébergeurs certifiés HDS en 2026

Le registre des hébergeurs certifiés HDS, maintenu par l'ANS et consultable sur esante.gouv.fr, recense en 2026 plus de 80 hébergeurs certifiés. Parmi les acteurs cloud majeurs :

  • OVHcloud Health : certifié HDS niveaux 1+2 sur ses datacenters de Roubaix, Gravelines et Strasbourg. Offre dédiée santé avec SLA 99,99 % et chiffrement côté client.
  • Microsoft Azure France Central : certifié HDS depuis 2019, régulièrement renouvelé. Les régions Azure France (Central et South) sont éligibles pour héberger des données HDS. Microsoft met à disposition un package de conformité HDS dans son portail de conformité.
  • Outscale (Dassault Systèmes) : cloud souverain français certifié HDS et SecNumCloud. Adapté aux établissements de santé publics soumis à des contraintes de souveraineté maximales.
  • Claranet Santé : spécialiste des hébergements managés pour le secteur hospitalier, certifié HDS niveaux 1+2.
  • AWS GovCloud : n'est pas éligible à la certification HDS française — périmètre US uniquement. Les régions AWS EU (Paris, Ireland) sont certifiées HDS depuis 2021.

HDS et les plateformes nationales : DMP et Mon Espace Santé

Le Dossier Médical Partagé (DMP), rebaptisé Mon Espace Santé depuis 2022, constitue le hub numérique central du patient français. Accessible à 71 millions d'assurés, cette plateforme portée par l'Assurance Maladie et l'ANS impose des exigences HDS de niveau maximal à ses hébergeurs.

Tout éditeur souhaitant intégrer son logiciel de santé à Mon Espace Santé via les API FHIR R4 de l'ANS doit pouvoir justifier d'une certification HDS (au minimum niveaux 3+4+5) ou héberger ses données chez un prestataire certifié. Cette exigence s'applique également aux applications de santé mobile (mHealth) qui accèdent au carnet de santé numérique ou transmettent des données médicales.

Les logiciels de santé certifiés e-santé par le programme « Mon espace santé » de la HAS (Haute Autorité de Santé) requièrent systématiquement une démonstration de conformité HDS. Pour en savoir plus sur les critères de labellisation HAS, consultez has-sante.fr.

Délais, coûts et facteurs de succès d'une certification HDS

La certification HDS représente un investissement significatif que les dirigeants doivent calibrer avec précision. Les principaux postes de coût sont :

  • Audit de certification initial : 15 000 à 40 000 € selon la taille du périmètre et l'organisme certificateur
  • Audits de surveillance annuels : 5 000 à 15 000 €/an
  • Conseil et accompagnement préparation : 30 000 à 100 000 € (selon le gap initial)
  • Outils et infrastructure : SIEM, gestion des identités, chiffrement, PKI — variable selon l'existant
  • Ressources internes : 0,5 à 1 ETP RSSI/expert conformité pendant la phase de préparation

Les facteurs de succès identifiés lors des accompagnements HDS incluent : l'implication du COMEX dès la phase de cadrage, la désignation d'un RSSI senior avec expérience ISO 27001, la priorisation du périmètre minimal certifiable pour un premier certificat, et l'adoption d'une approche ISO 27001 first qui couvre les fondations communes HDS+RGPD.

Notre équipe accompagne les hébergeurs dans leur parcours HDS, de l'analyse des écarts ISO 27001 à l'audit blanc pré-certification. Pour un diagnostic de votre maturité HDS, consultez notre service RSSI externalisé.

Comment préparer un audit blanc HDS efficace ?

L'audit blanc, ou pré-audit interne, est l'étape la plus critique de la préparation HDS. Il simule l'audit réel sur l'ensemble des 107 critères et permet d'identifier les non-conformités majeures avant le passage devant l'organisme certificateur.

La méthodologie d'audit blanc HDS comprend :

  1. Constitution d'une équipe d'audit interne pluridisciplinaire (DSI, RSSI, DPO, responsable infrastructure)
  2. Revue documentaire complète : politique de sécurité, procédures opérationnelles, registres de traitement RGPD, PCA/PRA, DPA sous-traitants
  3. Inspection physique des locaux et des contrôles d'accès (badges, vidéosurveillance, traçabilité visiteurs)
  4. Tests techniques : scan de vulnérabilités, revue des configurations de chiffrement, vérification des logs
  5. Entretiens avec les équipes opérationnelles pour valider la connaissance des procédures
  6. Rédaction du rapport d'écarts avec plan d'action priorisé (critique/majeur/mineur)

Les non-conformités les plus fréquemment relevées lors des audits HDS concernent : la gestion insuffisante des comptes à privilèges, l'absence de tests formels des plans de continuité, des DPA sous-traitants incomplets ou obsolètes, et des délais de réponse aux incidents non documentés. Notre méthodologie d'audit de sécurité couvre ces points en détail.

Questions fréquentes sur la certification HDS

Un éditeur SaaS de santé doit-il être certifié HDS ?

Oui, si l'éditeur SaaS héberge des données de santé à caractère personnel pour le compte de professionnels ou établissements de santé. L'obligation s'applique même si les données sont hébergées chez un fournisseur cloud tiers certifié HDS : l'éditeur doit lui-même être certifié sur les activités 3, 4 et 5 qui couvrent la gestion de la plateforme logicielle et du SI de santé. La délégation d'hébergement à un hébergeur certifié couvre les niveaux 1 et 2, mais pas les niveaux logiciels supérieurs.

Quelle est la différence entre HDS et SecNumCloud pour les données de santé ?

HDS est la certification réglementaire obligatoire pour tout hébergement de données de santé à caractère personnel en France. SecNumCloud est une qualification ANSSI optionnelle pour les clouds souverains à haut niveau de sécurité, avec des exigences nettement plus élevées (notamment sur l'immunité aux lois extra-européennes). Certains appels d'offres publics du secteur santé exigent désormais SecNumCloud en complément de HDS pour les données les plus sensibles (données psychiatriques, données VIH, etc.).

AWS est-il certifié HDS en France ?

Oui, mais uniquement pour les régions AWS EU (Paris - eu-west-3) et AWS EU (Ireland - eu-west-1). La certification couvre les services de compute (EC2, ECS), de stockage (S3, EBS) et de base de données (RDS) dans ces régions. AWS GovCloud n'est pas éligible à la certification HDS française — ce service est conçu pour la réglementation US (FedRAMP, ITAR). Les détails de la certification AWS France sont disponibles dans l'AWS Artifact.

Peut-on héberger des données HDS dans un cloud public mutualisé ?

Oui, à condition que le fournisseur cloud soit certifié HDS sur les activités concernées. Le cloud mutualisé (multi-tenant) est explicitement prévu dans le référentiel HDS v2.1, qui exige une isolation logique stricte entre tenants, du chiffrement par tenant et une gestion des clés dédiée. L'ISO 27018 fournit des contrôles complémentaires spécifiques au cloud multi-tenant pour les données personnelles. L'hébergeur doit démontrer l'impossibilité d'accès croisé entre clients lors de l'audit.

Comment la CNIL contrôle-t-elle la conformité HDS ?

La CNIL dispose de pouvoirs d'inspection qui s'appliquent aux hébergeurs HDS en tant que sous-traitants de données de santé au sens du RGPD. En cas de violation de données (art. 33 RGPD), l'hébergeur doit notifier la CNIL sous 72 heures ET notifier l'ANS selon les procédures propres au secteur santé. La CNIL peut accroître ses contrôles suite à une plainte d'un patient ou d'un établissement de santé. Des informations complémentaires sur les droits des patients sont disponibles sur cnil.fr.

Besoin d'un accompagnement pour votre certification HDS ?

Ayi NEDJIMI Consultants accompagne les hébergeurs et éditeurs de logiciels de santé dans leur parcours de certification HDS : gap analysis, préparation documentaire, audit blanc et suivi post-certification. Consultez notre offre de certification ISO 27001 qui constitue le socle commun HDS, ou contactez-nous directement pour un cadrage personnalisé.

Exigences contractuelles : DPA et clauses HDS

La relation contractuelle entre un établissement de santé et son hébergeur HDS est encadrée par deux niveaux d'obligations : le Data Processing Agreement (DPA) imposé par l'article 28 du RGPD, et les clauses spécifiques HDS requises par le référentiel v2.1. Ces deux instruments sont complémentaires et doivent être signés avant tout traitement de données de santé.

Le DPA HDS doit obligatoirement inclure les éléments suivants :

  • La liste précise des activités d'hébergement exercées et le périmètre géographique (datacenters utilisés avec leurs localisations en France/EU)
  • Les engagements de confidentialité du personnel et de habilitation des administrateurs avec accès aux données de santé
  • Les procédures de notification d'incident (délais ANS : 72h, délais CNIL : 72h, notification patients : sans délai indu)
  • Les conditions de restitution et destruction des données en fin de contrat (effacement certifié selon la norme NIST 800-88)
  • L'autorisation ou l'interdiction d'utiliser des sous-sous-traitants, avec liste des sous-traitants HDS autorisés
  • Les mécanismes d'audit permettant au responsable de traitement de vérifier la conformité HDS de l'hébergeur

La durée de conservation légale des données de santé doit être reflétée dans les clauses contractuelles. Pour les dossiers patients, la durée minimale de conservation est de 20 ans à compter de la date du dernier séjour ou acte pour les adultes, jusqu'à l'âge de 28 ans pour les patients traités mineurs. Ces durées imposent aux hébergeurs des obligations de continuité de service très longues.

Notre guide RGPD et données dans les modèles IA aborde les cas particuliers liés à l'utilisation de données de santé pour entraîner des modèles d'intelligence artificielle, un point de vigilance croissant pour les hébergeurs HDS qui offrent des services d'analyse médicale.

Évolutions réglementaires HDS attendues en 2026-2027

Le cadre réglementaire HDS évolue pour s'adapter aux nouveaux défis du numérique en santé. Trois chantiers majeurs sont en cours en 2026 :

1. Convergence HDS et EUCS (European Union Cloud Scheme) : l'ENISA développe le schéma européen de certification cloud (EUCS), qui visera à terme à harmoniser les certifications cloud en santé à l'échelle européenne. Les hébergeurs HDS français devront anticiper l'articulation entre leur certification nationale et ce futur label EU, notamment pour les projets de données de santé transfrontaliers.

2. Intégration des exigences NIS 2 dans HDS : la directive NIS 2, transposée en France par la loi de transposition de 2024, impose des obligations de cybersécurité renforcées aux opérateurs de services essentiels dans la santé. Les hébergeurs HDS de grande taille (>250 employés ou >50 M€ CA) sont désormais soumis aux deux référentiels, avec une coordination ANSSI/ANS pour éviter les doublons d'audit. Notre guide NIS 2 détaille les obligations applicables.

3. Renforcement des exigences IA dans HDS : l'utilisation croissante de l'IA dans les systèmes de santé hébergés (aide au diagnostic, lecture d'imagerie, tri des urgences) amène l'ANS à travailler sur des exigences spécifiques IA dans la prochaine version du référentiel HDS. Les hébergeurs offrant des services IA de santé devront démontrer la conformité AI Act (Annexe III, catégorie 5) en parallèle de la certification HDS.

Les professionnels du numérique en santé peuvent suivre l'actualité réglementaire ANS sur esante.gouv.fr et les recommandations CNIL santé sur cnil.fr.

Conclusion : HDS 2026, un investissement stratégique pour le numérique en santé

La certification HDS n'est pas une simple formalité administrative — c'est un signal fort de maturité sécurité qui ouvre l'accès au marché hospitalier et aux plateformes nationales de santé numérique. En 2026, avec l'accélération du SÉGUR du numérique, Mon Espace Santé et les projets de partage de données de santé au niveau européen (European Health Data Space — EHDS), la valeur stratégique de la certification HDS ne fera que croître.

Les organisations qui investissent dans une approche intégrée HDS + ISO 27001 + RGPD construisent une base de conformité solide, réutilisable pour d'autres référentiels (SecNumCloud, HDS niveau 2 étendu) et valorisable commercialement auprès de leurs clients du secteur santé. La certification ISO 27001 reste le socle commun recommandé avant tout engagement HDS.