HDS
Certification obligatoire pour hébergeurs de données de santé. 6 activités couvertes. Base ISO 27001 obligatoire.
Qu’est-ce que HDS ?
La certification HDS (Hébergement de Données de Santé) est obligatoire pour toute personne physique ou morale hébergeant des données de santé à caractère personnel pour le compte de tiers. Elle est délivrée par des organismes de certification accrédités par le COFRAC et repose sur ISO 27001. La certification couvre 6 activités d’hébergement distinctes.
Les exigences de HDS
- Certification ISO 27001 préalable obligatoire
- Activité 1 : Mise à disposition et maintien en condition opérationnelle de sites physiques
- Activité 2 : Mise à disposition et maintien en condition opérationnelle d’infrastructure matérielle
- Activité 3 : Mise à disposition et maintien en condition opérationnelle de plateforme d’hébergement (PaaS)
- Activité 4 : Mise à disposition et maintien en condition opérationnelle de l’infrastructure logicielle
- Activité 5 : Administration et exploitation des systèmes d’information contenant les données de santé
- Activité 6 : Sauvegarde externalisée des données de santé
- Contrat HDS conforme avec chaque client
- Localisation des données en France ou dans l’UE
- Audit de surveillance annuel, renouvellement tous les 3 ans
-
Organisationnel
Gouvernance & Politique SSI
Politique de sécurité documentée, approuvée par la direction, rôles et responsabilités définis. Pilier de toute démarche de conformité. Comparer avec les autres référentiels -
Organisationnel
Analyse & Gestion des risques
Analyse formelle des risques cyber, identification des actifs, évaluation des menaces et vulnérabilités, plan de traitement. Comparer avec les autres référentiels -
Organisationnel
Gestion des incidents
Processus complet de détection, classification, réponse et notification des incidents. Délais réglementaires à respecter. Comparer avec les autres référentiels -
Technologique
Contrôle d’accès & Authentification
Gestion des identités, droits d'accès, authentification forte. Mesure fondamentale contre les intrusions. Comparer avec les autres référentiels -
Technologique
Cryptographie & Protection des données
Protection cryptographique des données sensibles au repos et en transit. Gestion des clés cryptographiques. Comparer avec les autres référentiels -
Organisationnel
Sécurité de la chaîne d’approvisionnement
Évaluation, contractualisation et suivi de la sécurité des prestataires et sous-traitants. Exigence renforcée de NIS 2 et DORA. Comparer avec les autres référentiels -
Organisationnel
Continuité & Reprise d’activité
Plans de continuité et de reprise d'activité, stratégie de sauvegardes, tests réguliers. Défense essentielle contre les ransomwares. Comparer avec les autres référentiels -
Technologique
Gestion des vulnérabilités
Identification, évaluation et correction des vulnérabilités. Patch management, scans réguliers, processus de divulgation coordonnée. Comparer avec les autres référentiels -
Humain
Sensibilisation & Formation
Formation et sensibilisation des collaborateurs à la cybersécurité. Programme continu adapté aux profils. Culture cyber mesurée. Comparer avec les autres référentiels -
Physique
Sécurité physique
Protection physique des locaux hébergeant les SI et les données. Contrôle d'accès physique, surveillance, sécurisation des équipements. Comparer avec les autres référentiels -
Technologique
Journalisation & Détection
Collecte, centralisation et analyse des journaux d'événements. Capacité de détection des incidents et activités malveillantes. Comparer avec les autres référentiels -
Organisationnel
Privé : Protection des données personnelles
Respect des droits des personnes, minimisation, finalités, bases légales. Obligations spécifiques au RGPD et textes sectoriels. Comparer avec les autres référentiels
Calendrier d’application
-
Passé
Entrée en vigueur de la certification HDS
-
Passé
Mise à jour du référentiel HDS v1.1
-
Passé
Révision du référentiel en cours — HDS v2 attendu
Sanctions
Hébergement sans certification HDS : délit pénal jusqu'à 3 ans d'emprisonnement et 45 000 € d'amende
Personne morale : jusqu'à 225 000 € d'amende
Responsabilité civile et pénale du directeur d'établissement pour les données confiées à un hébergeur non certifié.
La sanction pénale s'applique au responsable de traitement qui confie ses données à un hébergeur non certifié.
Comment se mettre en conformité ?
-
Obtenir ISO 27001
La certification ISO 27001 est un prérequis — commencer par là
-
Identifier les activités HDS
Déterminer lesquelles des 6 activités s’appliquent à votre service
-
Choisir l'organisme de certification
Sélectionner un organisme accrédité COFRAC (BSI, Bureau Veritas, LNE…)
-
Audit de certification
Préparer et passer l’audit initial avec l’organisme choisi
-
Mise en place des contrats
Adapter vos contrats clients pour inclure les clauses HDS obligatoires
-
Surveillance continue
Planifier les audits de surveillance annuels
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
