Certification HDS : comment l’obtenir pour une application de santé
Dossier mis à jour le 7 septembre 2026. Références réglementaires citées et datées, relues à chaque millésime.
La certification d’hébergeur de données de santé ne s’obtient pas en cochant une case dans un contrat de cloud. C’est un audit de système de management, mené par un organisme accrédité, sur un périmètre que vous décrivez vous-même. La bonne nouvelle pour un éditeur d’application : dans la majorité des projets, ce n’est pas vous qui devez être certifié, c’est votre hébergeur. Reste à savoir dans quels cas la question se retourne contre vous, et ce que l’audit regarde vraiment.
Ce que la certification couvre exactement
Le référentiel HDS découpe l’hébergement en activités distinctes : la mise à disposition de locaux physiques, celle de l’infrastructure matérielle, celle de l’infrastructure virtuelle, la fourniture de la plateforme d’hébergement, l’administration et l’exploitation du système, et la sauvegarde externalisée. Un certificat n’est jamais générique : il liste les activités couvertes. Lire un certificat, c’est d’abord lire ce périmètre.
Cette granularité explique une confusion fréquente. Un fournisseur peut être certifié pour l’infrastructure sans l’être pour l’infogérance. Si votre contrat confie l’administration des serveurs à un tiers non couvert, la chaîne est rompue même si le nom du datacentre est rassurant. Demandez le certificat, pas une mention sur une page commerciale.
Qui doit se faire certifier, et qui n’a pas à le faire
L’obligation pèse sur celui qui héberge les données pour le compte du responsable de traitement. Un éditeur qui livre son application sur une infrastructure certifiée, sans détenir ni administrer les serveurs, s’appuie sur la certification de son hébergeur. Il reste responsable de son propre niveau de sécurité applicative, mais il n’est pas soumis à l’audit HDS.
La question se retourne dans trois situations concrètes : vous louez des serveurs nus et vous les administrez vous-même, vous proposez à vos clients une offre en mode logiciel comme service dans laquelle vous exploitez la plateforme, ou vous assurez l’infogérance de l’environnement d’un établissement. Dans ces cas, l’activité d’administration et d’exploitation vous revient, et elle est dans le périmètre du référentiel.
Le parcours, étape par étape
La certification s’obtient auprès d’un organisme certificateur accrédité, pas auprès d’une administration. Le calendrier réel dépend surtout de votre maturité en sécurité de l’information : une équipe qui part de zéro construit d’abord un système de management, ce qui prend le plus clair du temps.
- Définir le périmètre : quelles activités d’hébergement, quels environnements, quels sites, quelles données.
- Construire le système de management de la sécurité de l’information : politique, analyse de risques, plan de traitement, indicateurs, revue de direction.
- Mettre en œuvre les exigences propres à la santé : traçabilité des accès aux données, réversibilité, information des personnes concernées, localisation des données.
- Réaliser un audit à blanc, corriger les écarts, puis passer l’audit initial en deux étapes, documentaire puis sur site.
- Maintenir : audits de surveillance annuels, puis renouvellement complet à l’échéance du certificat.
Ce que l’auditeur regarde dans une application
Sur le volet applicatif, trois sujets reviennent systématiquement. La traçabilité d’abord : chaque accès à une donnée de santé doit être journalisé, avec l’identité de l’utilisateur, l’horodatage et la nature de l’action, et ces journaux doivent être conservés et protégés contre la modification. L’authentification ensuite : un compte partagé dans une équipe soignante est un écart, pas un détail d’ergonomie.
La réversibilité enfin. Vous devez pouvoir restituer les données dans un format exploitable et prouver leur destruction en fin de contrat. C’est une clause contractuelle, mais c’est surtout une fonctionnalité à développer : un export complet, documenté, testé. Beaucoup d’équipes le découvrent à l’audit, alors que cela se conçoit au début du projet.
Le coût, en ordre de grandeur
Le budget se lit en trois lignes. L’audit lui-même est facturé par l’organisme certificateur, sur la base du nombre de jours d’auditeur, lequel dépend de la taille de l’organisation et du périmètre. Le travail interne de mise à niveau vient ensuite, et c’est presque toujours le poste dominant. La maintenance annuelle du système de management ferme la marche.
Pour un éditeur, la comparaison honnête est rarement en faveur de la certification : s’appuyer sur un hébergeur déjà certifié coûte une majoration sur la facture d’infrastructure, là où une certification propre mobilise des mois de travail et un budget d’audit récurrent. La certification se justifie quand l’hébergement fait partie de votre offre commerciale, pas quand elle est une contrainte technique.
Comment nous vous accompagnons
Nous intervenons du côté du logiciel. Concrètement, nous cadrons avec vous le partage des responsabilités entre l’éditeur et l’hébergeur, nous développons la journalisation des accès, l’authentification et les exports de réversibilité attendus à l’audit, et nous rédigeons la partie applicative du dossier que votre organisme certificateur ou celui de votre client demandera. Quand votre hébergeur est déjà certifié, nous alignons l’architecture sur son périmètre plutôt que d’ouvrir un chantier de certification dont vous n’avez pas besoin.
Digital Unicorn développe des applications de santé pour des éditeurs et des établissements, en appliquant les référentiels décrits ci-dessus. Nous ne sommes ni un organisme notifié, ni un hébergeur certifié : nous concevons le logiciel, nous produisons la documentation attendue et nous travaillons avec l’hébergeur agréé et l’organisme d’audit que vous choisissez. Avis technique gratuit de trente minutes au 06 32 64 24 80 ou à contact@digitalunicorn.fr, et le guide du développement d’application santé pour la vue d’ensemble.
Certification HDS : à qui incombe l’obligation
| Votre montage | Qui porte la certification | Ce qui reste à votre charge |
|---|---|---|
| Application déployée sur une offre managée certifiée | Le fournisseur de la plateforme | Sécurité applicative, journalisation, contrat et annexe de sous-traitance |
| Serveurs loués et administrés par vos équipes | Vous, pour l’administration et l’exploitation | L’ensemble du système de management de la sécurité |
| Logiciel comme service exploité par vos soins | Vous, en plus de l’hébergeur d’infrastructure | Exploitation, sauvegarde, supervision, réversibilité |
| Application installée chez le client, sur son infrastructure | L’établissement, ou son infogérant | Documentation d’installation et exigences de sécurité à transmettre |
Certification HDS : comment l’obtenir pour une application de santé : questions fréquentes
Faut-il être certifié HDS pour éditer une application de santé ?
Non, dans la majorité des cas. L’obligation vise l’hébergement des données de santé, pas l’édition du logiciel. Un éditeur qui déploie chez un hébergeur certifié s’appuie sur le certificat de ce dernier. La certification devient nécessaire si vous administrez vous-même l’infrastructure ou si vous exploitez la plateforme pour le compte de vos clients.
Combien de temps prend une certification HDS ?
Le délai dépend de votre point de départ. Une organisation déjà certifiée ISO 27001 sur le bon périmètre ajoute les exigences propres à la santé et passe l’audit dans un délai relativement court. Une équipe qui construit son système de management depuis zéro travaille plusieurs mois avant d’être auditable. Le facteur limitant est la maturité interne, pas la disponibilité de l’organisme.
Un hébergeur américain certifié HDS suffit-il ?
La certification et la question des transferts de données sont deux sujets distincts. Un fournisseur peut détenir un certificat HDS valide tout en relevant d’un droit étranger qui pose une question d’exposition. Regardez la localisation effective des données, la structure juridique qui opère le service et les garanties contractuelles, en plus du certificat. Le sujet se traite dans l’analyse d’impact, pas dans la fiche produit.
Que se passe-t-il si mon hébergeur perd sa certification ?
Vous vous retrouvez en situation non conforme sans avoir rien changé. C’est la raison pour laquelle le contrat doit prévoir l’information sans délai en cas de suspension ou de retrait, et une clause de réversibilité réellement exécutable. Vérifiez la validité du certificat à chaque renouvellement de contrat, et gardez un export récent de vos données.
Cadrer votre projet de santé numérique en trente minutes ?
Décrivez votre application en quinze minutes : vous repartez avec un avis technique sous 48 h. Périmètre, technologies pertinentes et ordre de grandeur budgétaire. Sans engagement.
Ou par téléphone 06 32 64 24 80
Développement d’application santé numérique
Cette fiche fait partie d’un dossier plus large : cadrage réglementaire, hébergement des données, statut de dispositif médical, interopérabilité et accès au marché.