En 2024, 749 incidents cyber ont été signalés au CERT Santé, soit une hausse de 29 % par rapport à l'année précédente — 230 d'entre eux ont provoqué une interruption de prise en charge des patients. Dans ce contexte, la certification HDS mise en conformité n'est plus une simple formalité administrative : c'est une condition légale d'exercice pour tout acteur hébergeant des données de santé. Or, la publication du référentiel v2.0 au Journal officiel le 16 mai 2024 bouleverse les repères établis et impose une migration obligatoire avant le 16 mai 2026. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et protection des données, accompagne les entreprises de la santé numérique dans la sécurisation juridique de cette transition. Voici un guide pas-à-pas pour comprendre vos obligations et agir efficacement.
Le référentiel HDS — pour Hébergeur de Données de Santé — trouve son fondement dans l'article L.1111-8 du Code de la santé publique et le décret n°2018-137 du 26 février 2018. Il impose à toute personne physique ou morale hébergeant des données de santé à caractère personnel pour le compte d'un tiers d'obtenir une certification délivrée par un organisme accrédité. Ces données, qualifiées de « catégorie particulière de données sensibles » au sens de l'article 9 du RGPD, bénéficient de protections renforcées justifiant un cadre réglementaire exigeant. Cette réforme s'inscrit dans un mouvement législatif plus large : la loi SREN n°2024-449 du 21 mai 2024 (loi visant à Sécuriser et Réguler l'Espace Numérique) a modifié, via son article 32, les dispositions du Code de la santé publique applicables au HDS, notamment en matière d'archivage électronique et de stipulations contractuelles face aux risques de transfert de données ou d'accès non autorisé. Le référentiel v2.0 intègre déjà ces précisions, et le décret n°2026-209 du 24 mars 2026 en constitue le décret d'application.
Concrètement, sont concernés les éditeurs de logiciels médicaux, les plateformes de télémédecine, les start-ups e-santé, les infogéreurs, les prestataires cloud — y compris les grands acteurs internationaux opérant en France. Par exemple, un éditeur de logiciel hospitalier qui administre un système d'information de santé pour le compte d'un établissement doit détenir la certification HDS, et non simplement s'appuyer sur celle de son sous-traitant.
Depuis 2018, l'ancien agrément HADS a laissé place à la certification HDS v1.1. La version 2.0, élaborée avec la CNIL — qui a rendu un avis favorable formalisé le 13 juillet 2023 sur le projet de référentiel, étape institutionnelle clé attestant la validation par l'autorité de contrôle française — et l'Agence du Numérique en Santé (ANS), a été approuvée par l'arrêté du 26 avril 2024. Le calendrier de transition se décompose en trois temps : depuis le 16 novembre 2024, plus aucun audit ne peut se dérouler sur la v1.1 ; la date butoir du 16 mai 2026 marque la fin de validité de tout certificat v1.1 ; au-delà, tout hébergeur non migré se trouve en situation d'illégalité. La période de transition entre la v1.1 et la v2.0 a été formellement fixée à 24 mois pour les hébergeurs déjà certifiés sous la v1.1 au moment de la publication de l'arrêté du 26 avril 2024, ce qui explique le calcul aboutissant à cette date butoir. Le socle principal du référentiel v2.0 repose sur la norme ISO/IEC 27001:2022, qui représente environ 80 % des exigences applicables.
Au-delà du seul référentiel HDS, la directive NIS 2 (transposée en droit français en 2024) inclut les établissements de santé parmi ses « secteurs essentiels » et les fabricants de dispositifs médicaux parmi ses « secteurs importants ». Les hébergeurs de données de santé établis en France doivent donc satisfaire simultanément aux exigences du référentiel HDS v2.0 et aux obligations NIS 2 (gestion des risques cyber, déclaration d'incidents), créant une double couche de conformité. Il convient de préciser que ces deux cadres sont complémentaires et non substituables l'un à l'autre : une conformité HDS ne dispense pas des obligations NIS 2, et inversement.
À noter : L'ANS exerce le contrôle de l'obligation de certification HDS et peut diligenter des audits inopinés à tout moment auprès des hébergeurs — y compris pour des hébergeurs certifiés en cours de surveillance annuelle. L'hébergement de données de santé sans certification valide est une infraction pénale au sens de l'article L.1111-8 du CSP, et non simplement une irrégularité administrative. Cette prérogative de contrôle ne se limite pas à l'échéance du 16 mai 2026 : elle s'applique de manière permanente.
Le référentiel distingue six activités certifiables :
Deux types de certification existent : la « certification hébergeur d'infrastructure physique » couvrant les activités 1 et 2, et la « certification hébergeur infogéreur » pour les activités 3 à 6. Si vous exercez les deux catégories, vous devez obtenir les deux certifications. Un éditeur de logiciel médical, par exemple, doit impérativement être certifié sur l'activité 5 — être simplement « certifié HDS » sans ce périmètre ne couvre pas la fourniture de services applicatifs. Par ailleurs, le décret n°2026-209 du 24 mars 2026 modifie l'article R.1111-9 du CSP pour clarifier que l'activité de sauvegarde (activité 6) inclut explicitement l'archivage électronique — ce qui étend le champ d'application de la certification HDS à toute forme d'archivage numérique de données de santé, et non plus au seul stockage courant.
Avant toute démarche, consultez la liste officielle publiée par l'ANS sur esante.gouv.fr. Si vous êtes donneur d'ordre, vérifiez que les périmètres certifiés chez votre prestataire correspondent précisément aux services qu'il vous fournit. Une certification sur les activités 1 et 2 ne couvre pas l'infogérance applicative.
Exemple concret : Imaginons la société MedArchive, éditrice d'un logiciel d'archivage de comptes rendus d'imagerie médicale pour le compte de trois groupements hospitaliers. Avant le décret n°2026-209, MedArchive considérait que son activité relevait uniquement de la sauvegarde externalisée (activité 6). Depuis la clarification réglementaire, l'archivage électronique de ces données de santé entre explicitement dans le périmètre de l'activité 6, confirmant l'obligation de certification. Son dirigeant, Thierry Morand, a dû relancer en urgence une analyse de périmètre pour vérifier que la certification couvrait aussi l'activité 5 (administration et exploitation du SI de santé), car MedArchive assurait également la maintenance applicative du logiciel. Résultat : une double certification « hébergeur infogéreur » couvrant les activités 5 et 6 s'est avérée indispensable.
La version 2.0 introduit des évolutions structurantes. L'Exigence 5 impose d'intégrer huit événements prédéfinis dans l'analyse des risques prévue par la norme ISO 27001:2022. Il ne s'agit plus uniquement d'identifier librement ses risques : le référentiel prescrit désormais des scénarios précis à traiter obligatoirement. Cette nouveauté oblige de nombreux hébergeurs à refondre entièrement leur analyse de risques.
L'Exigence 09 impose explicitement que les objectifs de sécurité de l'information fixés par l'hébergeur intègrent le respect des obligations du RGPD. Concrètement, cela signifie que la politique de sécurité documentaire préparée pour la phase 1 de l'audit doit démontrer l'articulation entre les mesures de sécurité HDS et les obligations RGPD (base légale du traitement, droits des personnes, gestion des violations de données). Il faut toutefois garder à l'esprit que la certification HDS ne certifie pas la conformité RGPD dans sa globalité : elle en sécurise le volet hébergement, pas l'ensemble du traitement.
L'Exigence 11 rend obligatoire la sensibilisation de tous les personnels — y compris ceux des sous-traitants — à la criticité des données de santé hébergées. Des preuves documentaires doivent être conservées pour l'audit. L'hébergeur doit contractualiser avec ses sous-traitants une obligation de sensibilisation équivalente.
L'interdiction absolue d'utiliser les données de santé à d'autres fins que l'hébergement constitue un pilier du référentiel. Même avec le consentement de la personne concernée, la vente de ces données est prohibée. En fin de contrat, l'hébergeur doit restituer l'intégralité des données et en détruire toute copie.
Sur le plan de la souveraineté numérique, les données doivent être physiquement hébergées dans l'Espace Économique Européen. Le décret n°2026-209 du 24 mars 2026 renforce cette exigence en créant l'article R.1111-9-1 du CSP, applicable au 27 septembre 2026. Une cartographie publique des transferts de données vers des États tiers devient obligatoire. Si un prestataire de support technique basé aux États-Unis accède à distance aux données, cet accès doit être documenté et signalé contractuellement au client.
Pour les acteurs souhaitant atteindre le plus haut niveau de souveraineté numérique, une matrice de correspondance entre le référentiel HDS v2.0 et le référentiel SecNumCloud 3.2 (certification de l'ANSSI pour les services cloud) est déjà intégrée en Annexe 1 du référentiel v2.0 actuellement en vigueur, avec la précision expresse que « correspondance ne signifie pas qu'il existe une équivalence ». Cette annexe permet de cartographier les exigences supplémentaires à couvrir via SecNumCloud, mais il convient de souligner que ce niveau supérieur implique des contraintes opérationnelles et financières considérables — il s'adresse principalement aux hôpitaux, opérateurs d'importance vitale et entreprises se positionnant sur des marchés publics exigeants.
Côté obligations contractuelles, les Exigences 12 et 27 imposent de mentionner dans chaque contrat le périmètre du certificat HDS avec ses dates, d'inclure une clause de réversibilité détaillant les modalités de restitution, et de formaliser les garanties selon le tableau standard du chapitre 8 du référentiel.
Conseil : Si vous êtes un donneur d'ordre (établissement de santé, éditeur de logiciel, plateforme de télémédecine), exigez systématiquement de votre hébergeur la communication de son certificat HDS en cours de validité, en vérifiant que le périmètre des activités certifiées correspond exactement aux prestations contractualisées. Vérifiez également que la cartographie des transferts de données vers des États tiers est annexée au contrat, et non simplement mentionnée de manière générique. Cette vigilance contractuelle constitue votre premier rempart juridique en cas de contrôle de l'ANS ou de la CNIL.
Avant de solliciter un organisme certificateur, réaliser un pré-audit interne ou avec un consultant externe est fortement recommandé. Cette étape, bien que non obligatoire, permet de détecter les non-conformités majeures et d'éviter des surprises coûteuses lors de l'audit officiel.
Le dossier documentaire à constituer pour la phase 1 comprend la politique de sécurité, les procédures de gestion des incidents, les plans de continuité et de reprise d'activité (PCA/PRA), ainsi que les contrats et clauses contractuelles types. En vertu de l'Exigence 09, ce dossier doit aussi démontrer de manière explicite l'articulation entre les mesures de sécurité HDS et les obligations RGPD — un point de vérification documentaire obligatoire lors de l'audit. Ces documents doivent être formalisés, à jour et accessibles. Si vous êtes déjà certifié ISO/IEC 27001:2022, vous pouvez faire reconnaître ce certificat et ne passer que les exigences complémentaires HDS, soit environ 20 % du total — ce qui réduit significativement la durée et le coût.
Prévoyez entre 6 et 12 mois de préparation si vous partez de zéro. Le coût total est estimé entre 20 000 € et 80 000 € sur trois ans selon la taille et le périmètre. Pour mieux appréhender ce budget, voici le détail des principaux postes de coûts directs : audit de pré-évaluation (optionnel) entre 1 000 € et 3 000 € ; constitution du dossier de certification entre 500 € et 1 500 € ; audit de certification entre 2 000 € et 5 000 € par jour d'audit ; audits de surveillance annuels entre 1 000 € et 2 000 € par an. À ces coûts directs s'ajoutent des coûts annexes souvent d'un montant équivalent : conseil préparatoire, mise à niveau d'infrastructure et formation des équipes.
Un organisme certificateur accrédité par le COFRAC — parmi lesquels LSTI, AFNOR Certification, BSI, Bureau Veritas, LNE ou Apave Certification — examine l'ensemble de vos documents. Cette phase dure 1 à 2 jours et vérifie la conformité documentaire aux exigences du référentiel v2.0.
L'audit sur site implique la visite des locaux, des interviews des équipes, des tests techniques et le recueil de preuves de conformité. Sa durée varie de 3 à 10 jours selon l'étendue du périmètre retenu. En cas de non-conformités identifiées, un délai de trois mois est accordé pour corriger et faire auditer les corrections.
Si la conformité totale est établie, un double certificat est délivré : un certificat ISO/IEC 27001 et un certificat HDS, valables trois ans. Des audits de surveillance annuels sont ensuite obligatoires, suivis d'un audit de renouvellement complet au terme des trois ans.
Exemple concret : La société NovaSanté, éditrice d'une plateforme de télésurveillance cardiologique utilisée par 14 cliniques en Auvergne-Rhône-Alpes, disposait d'une certification HDS v1.1 délivrée en février 2023. Sa directrice technique, Clémentine Vauthier, a lancé la migration vers la v2.0 en janvier 2025 en commençant par un pré-audit interne (coût : 2 500 €). Ce pré-audit a révélé deux non-conformités majeures : l'analyse des risques ne couvrait pas les huit scénarios imposés par l'Exigence 5, et les contrats de sous-traitance ne formalisaient pas l'obligation de sensibilisation exigée par l'Exigence 11. Après quatre mois de remédiation, NovaSanté a passé avec succès l'audit de phase 1 puis l'audit sur site (5 jours) et obtenu son double certificat HDS v2.0 / ISO 27001:2022 en septembre 2025, soit sept mois avant la date butoir.
Les conséquences d'une non-conformité sont lourdes. L'article L.1111-8 du CSP prévoit des sanctions pénales : un an d'emprisonnement et 15 000 € d'amende pour exercice illégal de l'activité d'hébergement. S'y ajoutent des sanctions CNIL pouvant atteindre des montants très significatifs — les décisions publiées dans le secteur de la santé numérique ont pu atteindre 800 000 €, sur le fondement des articles 83 et 9 du RGPD applicables aux catégories particulières de données sensibles —, la perte de contrats commerciaux et une atteinte grave à la réputation. La certification HDS est devenue un prérequis contractuel incontournable pour accéder aux marchés de la santé numérique.
L'intégralité des contrats d'hébergement doit être revue pour intégrer les clauses obligatoires de la v2.0 : périmètre et dates du certificat, interdiction d'utiliser les données à d'autres fins conformément à l'article R.1111-11 du CSP, clause de réversibilité avec modalités de calcul des coûts et délais de restitution, et garanties formalisées du chapitre 8. Le contrat HDS constitue également un accord de sous-traitance au sens de l'article 28 du RGPD : il doit être articulé de manière cohérente avec le DPA (Data Processing Agreement).
Concernant le Cloud Act, tout accès distant depuis un pays hors EEE par l'hébergeur ou ses sous-traitants doit être documenté et signalé contractuellement. Ne pas le faire constitue une violation directe des exigences de souveraineté. Une réponse vague du type « dans le cloud » sans précision de localisation justifie une mise en demeure contractuelle.
À noter : La conformité HDS v2.0 et la conformité NIS 2 créent des obligations qui se cumulent sans se substituer l'une à l'autre. Un hébergeur de données de santé établi en France doit intégrer dans ses contrats non seulement les clauses HDS obligatoires, mais aussi les engagements relatifs à la déclaration d'incidents et à la gestion des risques cyber imposés par NIS 2. Un avocat compétent en droit du numérique peut vérifier la cohérence de l'ensemble et éviter les lacunes contractuelles exploitables en cas de litige ou de contrôle.
Un avocat compétent en droit de la santé numérique apporte une valeur décisive à chaque étape : rédaction et révision des contrats d'hébergement, sécurisation des relations avec les sous-traitants, gestion des litiges en cas de violation de données, et anticipation des évolutions réglementaires — une version v2.1 ou v3.0 du référentiel est déjà prévue pour 2027, avec un alignement sur SecNumCloud 3.2.
CONNECT AVOCATS intervient auprès des entreprises de la santé numérique sur l'ensemble du territoire français pour les accompagner dans la mise en conformité HDS, la sécurisation contractuelle et la gestion des risques juridiques liés à l'hébergement de données de santé. Le cabinet conjugue une expertise en droit du numérique, en droit commercial et en protection des données pour offrir un accompagnement sur mesure, de l'audit contractuel initial jusqu'à la défense en cas de contentieux. Si vous êtes éditeur de logiciel médical, plateforme de télémédecine ou prestataire cloud, n'hésitez pas à solliciter le cabinet pour sécuriser votre activité dans un cadre réglementaire en constante évolution.