Cout de la certification HDS : les postes pour un hébergeur

Le cout de la certification HDS ne se résume pas à un chiffre : combien faut-il investir pour devenir hébergeur certifié ? La question revient chez les prestataires qui veulent adresser le marché de la donnée de santé. La réponse tient à une suite de postes qui s’enchaînent dans le temps. Les détailler aide à comprendre pourquoi cette certification engage une démarche structurée plutôt qu’un achat ponctuel.

Ce que recouvre le cout de la certification HDS

La certification HDS est un dispositif français, encadré par le décret n° 2018-137 du 26 février 2018 et un référentiel actualisé par l’arrêté du 26 avril 2024. Elle est délivrée par un organisme certificateur accrédité par le COFRAC, après un audit. Parler de son coût, c’est donc parler de l’ensemble des dépenses qu’un hébergeur engage pour répondre au référentiel, faire vérifier sa conformité, puis la maintenir. Aucun barème national ne fixe un prix unique ; le montant dépend du périmètre visé et de la maturité de l’organisation au départ. Avant d’entrer dans le détail, une précision de cadrage s’impose pour un lecteur calédonien : cette certification relève de la métropole. En Nouvelle-Calédonie, ce qui fait foi est l’agrément local du gouvernement, créé par la loi du pays n° 2026-5.

Le périmètre visé, premier facteur de coût

La certification couvre six activités d’hébergement, regroupées en deux familles. La première touche l’infrastructure physique : la mise à disposition de sites physiques (datacenters) et la fourniture d’infrastructure matérielle. La seconde concerne l’infogérance : infrastructure virtuelle, plateforme d’hébergement d’applications, administration et exploitation du système d’information contenant les données de santé, sauvegarde externalisée de ces données. Un prestataire ne vise pas forcément les six activités. Plus le périmètre est large, plus l’effort de mise en conformité et la durée d’audit augmentent. Ce choix initial pèse donc lourd dans l’enveloppe finale, avant même la première dépense de certification proprement dite.

Les postes de coût, étape par étape

Plusieurs dépenses se cumulent pour former l’investissement réel :

• La préparation et la mise en conformité : analyse d’écart par rapport au référentiel, rédaction des procédures, adaptation de l’infrastructure et des pratiques d’exploitation. C’est souvent le poste le plus lourd, car il mobilise des équipes internes sur plusieurs mois.
• Les prérequis ISO : le référentiel s’appuie sur des normes comme l’ISO 27001 et l’ISO 20000. Atteindre puis documenter ce socle représente un coût en soi, que l’organisme certificateur vérifie au titre de l’équivalence des certifications déjà obtenues.
• L’audit par l’organisme accrédité : la prestation du certificateur accrédité par le COFRAC, dont la charge dépend du périmètre et du nombre de sites concernés.
• Le maintien et le renouvellement : la certification n’est pas acquise une fois pour toutes ; elle se conserve dans la durée.
• Les audits de surveillance : des contrôles périodiques vérifient que la conformité tient entre deux cycles, ce qui suppose un effort de maintien continu côté hébergeur.

Ces postes se déploient sur plusieurs étapes de délai : une phase de préparation, un audit initial, une décision de l’organisme, puis des audits de surveillance qui rythment la vie de la certification. La durée totale varie selon la maturité de départ et l’étendue du périmètre.

ISO 27001 et SecNumCloud : des coûts à ne pas confondre

Un prestataire qui prépare sa certification croise souvent deux autres dispositifs, et il importe de bien situer chacun pour budgéter juste. L’ISO 27001 est une norme internationale de management de la sécurité de l’information ; elle constitue un socle de sécurité générale, non spécifique à la santé. L’obtenir représente déjà un investissement, mais elle ne suffit pas à elle seule : la certification HDS exige la conformité au référentiel complet, avec son volet santé. SecNumCloud, de son côté, est une qualification de l’ANSSI qui reconnaît des offres cloud de confiance pour les données sensibles et protège explicitement contre l’application de lois extraterritoriales. Ce cadre transversal est distinct du HDS ; un hébergeur peut viser les deux, qui se complètent, ce qui ajoute alors des postes de dépense supplémentaires. Confondre ces démarches reviendrait à sous-estimer le budget global.

Ce qui fait varier la facture

Au-delà du périmètre et de la maturité déjà évoqués, deux paramètres concrets font bouger l’enveloppe finale. Le nombre de sites entre d’abord en jeu : chaque datacenter ou salle technique à couvrir allonge la durée d’audit, multiplie les déplacements de l’auditeur et démultiplie les preuves à constituer. Une infrastructure répartie sur plusieurs implantations coûte mécaniquement plus à faire vérifier qu’un site unique. Vient ensuite le recours à un accompagnement externe : un cabinet spécialisé qui pilote l’analyse d’écart, structure les procédures et prépare le passage devant l’organisme représente une ligne de dépense à part entière. Elle se justifie souvent pour une équipe interne sans expérience du référentiel, à condition de la mettre en balance avec le temps et les erreurs qu’elle fait économiser. Le coût des outils mobilisés en interne, du SIEM à la gestion documentaire de la conformité, pèse lui aussi sur le total. C’est pourquoi aucun chiffre générique ne tient : seule une projection adaptée au projet a du sens.

Où trouver la liste des hébergeurs certifiés

La liste des hébergeurs certifiés HDS est publiée au niveau national par l’Agence du numérique en santé (ANS), sur esante.gouv.fr. C’est la source officielle pour vérifier qu’un prestataire détient bien la certification métropolitaine et pour quelles activités. Côté calédonien, cette liste renseigne sur la conformité nationale, sans valoir agrément local : un acteur exerçant en Nouvelle-Calédonie relève d’abord du cadre prévu par la loi du pays. Pour mesurer ce que cela implique concrètement, nos repères sur le caractère obligatoire ou non du HDS en 2026 font le point sur ce qui s’applique réellement sur le territoire.

Coût pour se certifier ou coût pour le client : deux questions distinctes

Le coût de la certification HDS, abordé ici, est celui que supporte le prestataire qui veut se certifier. Il ne se confond pas avec le prix payé par un professionnel de santé pour héberger ses données chez un acteur déjà agréé. Ce dernier relève d’une autre logique, détaillée dans notre analyse du coût d’un hébergement de données de santé agréé en NC. Pour le prestataire, la certification reste un investissement amorti sur la durée, qui ouvre l’accès à un marché exigeant. Pour le client final, l’enjeu est de payer la bonne garantie au juste prix. Distinguer ces deux plans évite bien des malentendus au moment de comparer des offres.

Le cadre calédonien : un coût encore à préciser

En Nouvelle-Calédonie, héberger des données de santé pour le compte d’un tiers suppose l’agrément local du gouvernement, prévu par la loi du pays n° 2026-5. Ce cadre est distinct de la certification HDS métropolitaine ; il ne s’applique pas automatiquement, et la certification nationale ne vaut pas agrément sur le territoire. Les modalités de cet agrément, ses critères et le coût de la démarche relèvent de textes d’application encore en cours de définition. Annoncer aujourd’hui un montant pour la voie calédonienne serait prématuré. Ce qui est acquis, c’est que la référence locale prime : pour un acteur calédonien, ce qui fait foi est l’agrément du gouvernement, et c’est sur lui qu’il faut raisonner, sans transposer mécaniquement les chiffres ou les exigences de la métropole.

Sources : ANS — Hébergement des données de santé (HDS) · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.