Pourquoi vos clients vous demandent le HDS
L'article L.1111-8 du Code de la santé publique impose la certification à quiconque héberge des données de santé à caractère personnel pour le compte d'un tiers.
Trois situations reviennent sans cesse :
- L'hôpital exige un hébergeur certifié. Son appel d'offres l'exige. Sans preuve, dossier écarté.
- L'éditeur doit sous-traiter l'hébergement. Vous n'hébergez rien vous-même ? Votre client vérifiera que votre hébergeur est certifié pour les bonnes activités.
- La mutuelle audite ses prestataires. Elle envoie un questionnaire sécurité. Un certificat HDS couvre une bonne partie des réponses.
En due diligence, un investisseur vérifie aussi votre hébergement. Et le référencement, c'est-à-dire votre présence sur la liste publique des hébergeurs certifiés, se vérifie en un clic.
Un établissement attend votre réponse ?
Vérifiez votre situation en 30 minutesHDS en clair : ce que le référentiel exige vraiment
Trois sigles, trois choses différentes :
- RGPD : la loi européenne sur les données personnelles. Elle s'applique toujours.
- ISO 27001 : une norme internationale de sécurité, volontaire.
- HDS : une certification française, obligatoire pour héberger des données de santé pour autrui.
Le référentiel HDS, c'est-à-dire le document qui fixe les exigences à respecter, est élaboré par l'ANS (Agence du numérique en santé, ex-ASIP Santé).
Sa base est ISO/IEC 27001. Vous mettez donc en place un SMSI (Système de Management de la Sécurité de l'Information) : l'ensemble des règles, rôles et routines qui pilotent votre sécurité. Le référentiel HDS ajoute des exigences propres à la santé :
- Les données de santé restent hébergées dans l'Espace économique européen.
- Vos clients sont informés des accès possibles depuis l'extérieur de cet espace.
- Le contrat d'hébergement précise les responsabilités et les garanties de chacun.
Un organisme de certification accrédité vous audite. L'accréditation, c'est la reconnaissance officielle de sa compétence, délivrée par le COFRAC (Comité français d'accréditation) ou un équivalent européen. L'ANS publie ensuite la liste des hébergeurs certifiés.
Ce que la certification HDS n'est pas :
- Pas un label marketing. C'est une obligation légale, vérifiée par un audit.
- Pas une certification de toute l'entreprise. Elle couvre un périmètre d'activités précis.
- Pas un substitut au RGPD. Vos obligations sur les données personnelles restent entières.
Êtes-vous concerné par le HDS ?
Deux cas de figure :
- Vous hébergez vous-même les données de santé. Hébergeur, fournisseur d'infrastructure ou éditeur qui garde les données de ses clients : vous êtes concerné pour chaque activité exercée.
- Vous êtes éditeur et sous-traitez l'hébergement à un hébergeur certifié. Si vous n'exercez aucune des six activités, l'obligation porte sur l'hébergeur. Vérifiez quand même que son certificat couvre les bonnes activités. Votre client le fera.
Attention au second cas. Vous administrez et exploitez l'application ou la plateforme qui contient les données ? Vous exercez peut-être les activités 4 ou 5. Vous pouvez alors devoir être certifié pour elles, même sur un cloud certifié. Le diagnostic ouwba tranche ce point.
Les six activités d'hébergement du référentiel
activités 3 à 6
activités 1 et 2
- Les sites physiques : les locaux qui abritent les serveurs.
- L'infrastructure matérielle : serveurs, stockage et réseau.
- L'infrastructure virtuelle : les machines virtuelles.
- La plateforme d'hébergement d'applications : l'environnement où tournent les applications.
- L'administration et l'exploitation du système d'information qui contient les données de santé.
- La sauvegarde externalisée des données de santé.
Les activités 1 à 4 consistent à fournir et maintenir l'élément cité. Les activités 1 et 2 relèvent du certificat « hébergeur d'infrastructure physique ». Les activités 3 à 6 relèvent du certificat « hébergeur infogéreur ».
La certification se fait activité par activité. Vous fixez votre périmètre d'activités, c'est-à-dire la liste des activités couvertes, avant l'audit.
Combien de temps prend une certification HDS ?
- La mise en conformité, c'est le travail. Cadrer, analyser les risques, rédiger, déployer, collecter les preuves.
- L'audit, c'est la validation. Un organisme accrédité vérifie votre SMSI et les exigences propres à la santé. Le travail déjà fait pour ISO 27001 se réutilise. ouwba vous prépare à l'audit, l'organisme décide de la certification.
Pourquoi tant de projets dérapent :
- Un périmètre d'activités mal cadré. On certifie trop, ou pas assez.
- Des preuves collectées à la main, au dernier moment.
- Un sous-traitant ultérieur non certifié, c'est-à-dire un prestataire à qui vous ou votre hébergeur confiez une partie de l'hébergement.
HDS, ISO 27001, RGPD, NIS 2 : laquelle vous faut-il ?
- Vous hébergez des données de santé pour un tiers : HDS, pour les activités que vous exercez.
- Vous vendez aussi hors de la santé : ISO 27001 est la référence attendue. HDS s'appuie dessus sans s'y substituer. Voir notre accompagnement à la certification ISO 27001.
- Vous traitez des données personnelles : le RGPD s'applique toujours, certifié HDS ou non.
- Vos clients sont américains : ils demandent souvent un rapport SOC 2 (System and Organization Controls 2). Découvrez notre accompagnement SOC 2.
- Vous êtes une entité essentielle, c'est-à-dire une organisation jugée critique par la directive européenne NIS 2 (sécurité des réseaux et des systèmes d'information) : des obligations renforcées s'ajoutent. Voir notre accompagnement NIS 2.
Vous hésitez entre HDS seul et HDS avec ISO 27001 ?
Posez la question à un expertVos questions sur la certification HDS
Qu'est-ce que la certification HDS ?
La certification HDS (hébergement de données de santé) atteste qu'un hébergeur protège correctement les données de santé qu'il héberge pour autrui. Un organisme accrédité l'audite selon le référentiel HDS, élaboré par l'ANS (Agence du numérique en santé). Ce référentiel s'appuie sur ISO 27001 et ajoute des exigences propres à la santé. La certification porte sur des activités précises, pas sur toute l'entreprise.
Le HDS est-il obligatoire ?
Oui, pour quiconque héberge des données de santé à caractère personnel pour le compte d'un tiers : établissement, professionnel de santé ou patient. L'article L.1111-8 du Code de la santé publique l'impose. Si vous ne traitez que vos propres données, ou si vous n'exercez aucune activité d'hébergement, l'obligation ne vous vise pas directement. Le diagnostic ouwba permet de trancher votre cas.
Qui est concerné par le référencement HDS ?
Le référencement, c'est la présence sur la liste publique des hébergeurs certifiés, publiée par l'ANS. Y figurent les hébergeurs d'infrastructure, les fournisseurs de cloud et les éditeurs de logiciels de santé qui exercent eux-mêmes une activité d'hébergement. Un éditeur qui sous-traite tout l'hébergement n'y figure pas forcément. Il doit alors vérifier que le certificat de son hébergeur couvre les bonnes activités.
Quelles sont les activités d'hébergement couvertes par le HDS ?
Le référentiel en compte six : la mise à disposition des sites physiques, de l'infrastructure matérielle, de l'infrastructure virtuelle et de la plateforme d'hébergement d'applications, puis l'administration et l'exploitation du système d'information, et enfin la sauvegarde externalisée. Les deux premières relèvent du certificat « hébergeur d'infrastructure physique ». Les quatre autres relèvent du certificat « hébergeur infogéreur ». Vous êtes certifié activité par activité.
Combien de temps faut-il pour être référencé HDS ?
Le délai dépend surtout de la mise en conformité, pas de l'audit. Avec ouwba, comptez quelques semaines, selon le périmètre d'activités et la disponibilité des équipes. Une fois certifié, vous apparaissez sur la liste publique des hébergeurs certifiés. Les projets dérapent surtout quand le périmètre est mal cadré ou qu'un sous-traitant n'est pas certifié.
Quelle est la différence entre HDS et ISO 27001 ?
ISO 27001 est une norme internationale volontaire. Elle structure la sécurité de toute organisation, quel que soit son secteur. HDS est une certification française obligatoire pour héberger des données de santé pour autrui. Le référentiel HDS s'appuie sur ISO 27001, puis ajoute des exigences propres à la santé, comme la localisation des données. Être certifié ISO 27001 aide beaucoup, mais ne suffit pas.
Un éditeur de logiciel de santé qui sous-traite l'hébergement doit-il être HDS ?
Pas s'il n'exerce lui-même aucune des six activités : l'obligation porte alors sur son hébergeur, dont il vérifie le certificat. Mais s'il administre et exploite l'application ou la plateforme qui contient les données, il exerce peut-être les activités 4 ou 5. Il peut alors devoir être certifié pour elles, même sur un cloud certifié. Le diagnostic ouwba tranche ce point en 30 minutes.
Combien de temps dure le référencement HDS et comment est-il maintenu ?
Le certificat est valable trois ans. Vous restez sur la liste publique des hébergeurs certifiés tant qu'il est valide. Chaque année, l'organisme mène un audit de surveillance. Au bout de trois ans, un audit de renouvellement ouvre un nouveau cycle. Les preuves collectées automatiquement par ouwba restent à jour, ce qui allège beaucoup ces audits successifs.
Par où commencer ?
Commencez par cartographier vos données de santé. Pour qui les traitez-vous ? Où sont-elles hébergées ? Que fait votre hébergeur, et que faites-vous vous-même ? Le diagnostic ouwba répond à ces questions en 30 minutes avec un expert. Vous repartez avec votre périmètre d'activités, vos priorités et une première estimation du calendrier. Si votre échéance est serrée, vous saurez aussi si elle est tenable.