Obtenir le certificat HDS : préparation, audit et maintien

1. Délimiter le périmètre : les activités réellement réalisées, les sites, les services, les sous-traitants (voir le chapitre sur les six activités).
2. Bâtir ou étendre le SMSI conforme à ISO 27001 sur ce périmètre : analyse de risques, déclaration d'applicabilité, mesures, indicateurs, audit interne et revue de direction.
3. Traiter les exigences propres à HDS : compléments du référentiel, clauses contractuelles, localisation, cartographie des transferts (voir le chapitre contrat et localisation).
4. Choisir un organisme certificateur dans la liste des organismes accrédités publiée par l'ANS, et convenir avec lui du périmètre et du calendrier.
5. Passer l'audit initial : revue documentaire, puis audit sur site.
6. Corriger les non-conformités dans les trois mois, puis recevoir le certificat, qui précise les activités couvertes.
7. Maintenir : audit de surveillance chaque année, renouvellement au bout de trois ans.

Le référentiel d'accréditation HDS fixe les règles que les organismes certificateurs doivent suivre. On y trouve les principaux repères de l'audit :

L'audit ISO 27001 se prépare de la même façon : preuves à jour, entretiens avec les responsables des mesures, échantillons de contrats, de journaux d'accès et de tests de restauration. Une gestion de la conformité tenue en continu évite de tout reconstituer à la veille de l'audit.

Lors de son atelier à SantExpo en mai 2026, l'ANS a indiqué une mise en conformité de neuf à douze mois en moyenne, puis au moins trois à quatre mois pour la certification, et trois à six mois de plus en cas de non-conformités. L'agence comptait alors 411 hébergeurs certifiés.

Il n'existe pas de tarif officiel. Le coût dépend du périmètre (nombre d'activités, de sites et de personnes), de la maturité de départ et du choix de l'organisme : honoraires d'audit initial et de surveillance, temps des équipes internes, éventuel accompagnement, chantiers techniques comme le chiffrement, la journalisation ou la relocalisation d'un service. Notre page sur le prix d'une certification ISO 27001 détaille les postes de dépense communs aux deux démarches.

L'article L.1115-1 du code de la santé publique punit de trois ans d'emprisonnement et de 45 000 euros d'amende le fait d'héberger des données de santé sans être titulaire de l'agrément ou du certificat exigé par l'article L.1111-8. Les personnes morales peuvent être déclarées pénalement responsables selon les règles du code pénal.

S'y ajoutent les sanctions du RGPD, que la CNIL prononce pour les manquements à la sécurité ou à l'encadrement des sous-traitants : notre article sur la cyberattaque d'un hôpital sanctionnée par la CNIL en montre un exemple. Pour un hébergeur, perdre son certificat a aussi un effet immédiat : ses clients doivent alors organiser la réversibilité prévue au contrat.