Guide HDS · Étape 3
Le référentiel HDS : exigences de la version 2.0 et de la version 2.1
On parle souvent de « norme HDS », mais il s'agit d'un référentiel public rédigé par l'Agence du numérique en santé et approuvé par arrêté. Ce chapitre explique sa structure, ce qu'il ajoute à ISO 27001, et ce que la version 2.1 attendue va changer.
- Version en vigueur
- 2.0, arrêté du 26 avril 2024 (JO du 16 mai 2024)
- Socle
- Système de management certifié ISO 27001
- Version 2.1
- Projet issu de la concertation, non encore approuvé au 4 novembre 2026
Chapitres du guide
En bref
-
Le référentiel de certification HDS exige un système de management de la sécurité de l'information (SMSI) certifié ISO 27001, dont le périmètre couvre toutes les activités d'hébergement de données de santé, complété par des exigences propres à la santé.
-
Ces exigences propres portent sur la sécurité (une quinzaine d'exigences à traiter dans le SMSI selon l'ANS), sur le contrat avec le client (treize exigences) et, depuis la version 2.0, sur la souveraineté (exigences 28 à 31).
-
Depuis le 16 mai 2026, seule la version 2.0 fait foi : les certificats en version 1.1 ne sont plus valables.
-
La version 2.1 reprend le décret du 24 mars 2026 : stockage dans l'UE ou l'EEE, accès à distance traités comme des transferts, transparence sur les lois extra-européennes. L'ANS annonce qu'elle s'appliquera aux audits trois mois après sa publication, sans audit supplémentaire pour les hébergeurs déjà certifiés.
Un référentiel construit sur ISO 27001
Le référentiel HDS ne réinvente pas la sécurité de l'information. Il pose comme condition un SMSI certifié selon ISO 27001, et ajoute ce que la norme internationale ne traite pas ou pas assez pour des données de santé. Un hébergeur déjà certifié ISO 27001 a donc fait une bonne partie du chemin, à condition que le périmètre de son certificat couvre bien ses activités d'hébergement de données de santé.
| Bloc | Contenu | Ce que l'auditeur vérifie |
|---|---|---|
| Socle ISO 27001 | SMSI certifié, dont le périmètre couvre toutes les activités d'hébergement de données de santé | Certificat ISO 27001 valide sur le même périmètre, analyse de risques, déclaration d'applicabilité |
| Exigences propres à la santé | Compléments à traiter dans le SMSI, une quinzaine selon l'ANS | Que la déclaration d'applicabilité justifie en détail toute mesure exclue ou non applicable |
| Exigences contractuelles | Clauses que le contrat avec le client doit contenir, en écho à l'article R.1111-11 | Un échantillon de contrats signés |
| Souveraineté (exigences 28 à 31) | Hébergement dans l'EEE, transferts encadrés, information sur les lois extra-européennes, cartographie publique des transferts | Localisation des sites et des copies, contrats, cartographie publiée |
De la version 1.1 à la version 2.0
La version 1.1, en usage depuis 2018, s'appuyait sur trois normes : ISO 27001, ISO 20000-1 pour la gestion des services informatiques et ISO 27018 pour la protection des données personnelles dans le nuage. La révision a été soumise à consultation publique fin 2022, a reçu un avis favorable de la CNIL le 13 juillet 2023, puis a été approuvée par l'arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024.
La version 2.0 pose comme condition un SMSI certifié ISO 27001, complété par les exigences propres du référentiel. Elle tient compte de l'évolution de la norme ISO 27001, met à jour les durées d'audit et ajoute quatre exigences de souveraineté. Elle ne demande pas, en revanche, l'immunité face aux lois extra-européennes qu'exige la qualification SecNumCloud de l'ANSSI.
| Échéance | Pour qui | Effet |
|---|---|---|
| 16 mai 2024 | Nouveaux candidats | Possibilité d'être certifié selon la version 2.0 |
| 16 novembre 2024 | Organismes certificateurs | Tous les audits se font en version 2.0 |
| 16 mai 2026 | Hébergeurs certifiés | Les certificats en version 1.1 ne sont plus valables |
Ce que change la version 2.1
Le décret du 24 mars 2026 a inscrit de nouvelles règles dans le code de la santé publique. La version 2.1 du référentiel les transpose en exigences auditables. D'après le projet issu de la concertation et l'annonce de l'ANS, les principales évolutions sont les suivantes :
- Stockage exclusivement dans l'Union européenne ou l'EEE, sous réserve des accès à distance encadrés.
- Accès à distance : ils sont considérés comme des transferts au sens de l'article R.1111-9-1, y compris depuis un pays tiers ; ils doivent reposer sur une décision d'adéquation ou, à défaut, sur des garanties appropriées au sens de l'article 46 du RGPD (exigence 29).
- Lois extra-européennes : le contrat liste les réglementations d'un pays tiers qui pourraient imposer un accès non autorisé aux données, avec les mesures d'atténuation et les risques résiduels, ou indique qu'aucune ne s'applique (exigences 23-2 et 23-3).
- Cartographie des transferts hors EEE, accès à distance compris, publiée et tenue à jour (exigence 31).
- Activité 6 : le projet précise qu'elle ne vise que les sauvegardes externes, et y intègre la conservation dans le cadre d'un archivage électronique.
HDS, ISO 27001, SecNumCloud et PGSSI-S
Ces cadres se croisent souvent dans les appels d'offres du secteur. Ils ne répondent pas à la même question, et aucun ne remplace les autres.
| Cadre | Nature | Ce qu'il couvre |
|---|---|---|
| HDS | Certification obligatoire, droit français | L'hébergement de données de santé pour le compte d'un tiers |
| ISO 27001 | Norme internationale volontaire | Le système de management de la sécurité de l'information d'un organisme |
| SecNumCloud | Qualification de l'ANSSI | Une offre de nuage, avec des exigences renforcées dont la protection contre les lois extra-européennes |
| PGSSI-S | Politique publiée par l'ANS | Les règles de sécurité des systèmes d'information de santé, dont certains référentiels opposables |
Un nuage qualifié SecNumCloud qui héberge des données de santé doit aussi être certifié HDS ; selon l'ANS, huit des dix prestataires qualifiés SecNumCloud recensés en mai 2026 l'étaient. Pour approfondir, voir notre guide ISO 27001, notre article SecNumCloud et notre article sur la souveraineté numérique. Le chapitre suivant traite du contrat et de la localisation.
Questions fréquentes
Existe-t-il une norme HDS ?
Pas au sens d'une norme ISO ou AFNOR. HDS repose sur un référentiel de certification rédigé par l'Agence du numérique en santé et approuvé par arrêté du ministre chargé de la santé. Ce référentiel exige un système de management certifié ISO 27001, complété par des exigences propres à l'hébergement de données de santé.
Faut-il être certifié ISO 27001 pour obtenir HDS ?
Oui. Le référentiel HDS 2.0 exige un système de management de la sécurité de l'information certifié ISO 27001, dont le périmètre couvre toutes les activités d'hébergement de données de santé. Les deux certifications peuvent être obtenues lors d'un même audit.
Quand la version 2.1 du référentiel HDS s'appliquera-t-elle ?
Selon l'ANS, trois mois après la publication de l'arrêté qui l'approuve. Au 4 novembre 2026, cet arrêté n'était pas publié. Les hébergeurs déjà certifiés en version 2.0 seront vérifiés lors de leur prochain audit de surveillance ou de renouvellement, sans audit supplémentaire.
HDS et SecNumCloud, est-ce la même chose ?
Non. HDS est une certification obligatoire pour héberger des données de santé ; SecNumCloud est une qualification de l'ANSSI pour les offres de nuage, plus exigeante sur la protection contre les lois extra-européennes. Un nuage qualifié SecNumCloud qui héberge des données de santé doit aussi être certifié HDS.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- Arrêté du 26 avril 2024 portant approbation des modifications du référentiel de certification et du référentiel d'accréditation HDS (extrait du Journal officiel), Agence du numérique en santé, 16 mai 2024.
- Référentiel de certification Hébergeur de données de santé (HDS), exigences, version 2.0, Agence du numérique en santé.
- Certification HDS : transition vers la version 2.0 (webinaire), Agence du numérique en santé, 15 octobre 2025.
- Référentiel de certification HDS, version 2.1 issue de la concertation (projet non encore approuvé par arrêté), Agence du numérique en santé.
- Référentiel HDS v2.1 : les évolutions à anticiper dès maintenant, Agence du numérique en santé.
- Décret n° 2026-209 du 24 mars 2026 portant modification de certaines dispositions du code de la santé publique relatives à l'hébergement de données de santé à caractère personnel, Légifrance, Journal officiel, 26 mars 2026.
- Code de la santé publique, article R.1111-9-1 (stockage dans l'Union européenne ou l'EEE, transferts et cartographie), applicable depuis le 26 septembre 2026, Légifrance.
- Certification des hébergeurs de données de santé : tout savoir (atelier SantExpo), Agence du numérique en santé, 20 mai 2026.
- Questions fréquentes sur la qualification SecNumCloud, ANSSI.
- Politique générale de sécurité des systèmes d'information de santé (PGSSI-S), Agence du numérique en santé.
- Règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données), EUR-Lex, 4 mai 2016.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.