Delai de certification HDS : combien de temps et quelles étapes

Combien de temps faut-il pour décrocher une certification HDS ? La question revient souvent chez les éditeurs et prestataires qui veulent travailler avec le secteur de la santé. La réponse honnête tient en quelques étapes claires et en un constat : le calendrier se construit au cas par cas. Pour un acteur calédonien, il faut aussi distinguer ce dispositif national de l’agrément qui s’applique réellement en Nouvelle-Calédonie.

Ce que recouvre le delai de certification HDS

La certification HDS est un dispositif français, encadré par le décret n° 2018-137 du 26 février 2018 et par un référentiel actualisé par l’arrêté du 26 avril 2024. Elle est délivrée par un organisme certificateur accrédité par le COFRAC, à l’issue d’un audit. Parler de calendrier suppose donc de décomposer un parcours qui va bien au-delà du seul jour d’audit. Le temps total cumule une phase interne de mise en conformité, l’audit lui-même, le traitement des conclusions et la décision finale. Chacune de ces étapes a sa propre durée, et la somme varie d’une organisation à l’autre.

Les grandes étapes du parcours

Le chemin vers la certification se découpe en plusieurs jalons que l’on retrouve dans tous les projets :

• La préparation et la mise en conformité : c’est souvent la phase la plus longue. L’organisation aligne ses processus sur le référentiel, documente ses procédures, met en place la traçabilité, le chiffrement et la gestion des accès, puis vérifie en interne que tout tient la route.
• Les prérequis ISO : le référentiel HDS s’appuie sur des normes comme l’ISO 27001 et l’ISO 20000. Une organisation déjà certifiée ISO part avec une longueur d’avance ; celle qui doit bâtir son système de management de la sécurité y consacre un temps supplémentaire non négligeable.
• L’audit initial : l’organisme accrédité examine les preuves, conduit des entretiens et inspecte les dispositifs en place. Sa durée dépend du nombre d’activités d’hébergement couvertes.
• La décision de certification : après l’audit, le certificateur instruit le dossier, le candidat traite les éventuels écarts relevés, puis la décision est rendue.
• Les audits de surveillance : la certification n’est pas un acquis définitif. Des contrôles périodiques jalonnent sa durée de validité et conditionnent son renouvellement.

Ce séquencement explique pourquoi deux projets comparables peuvent afficher des durées très différentes. Le point de départ de chaque organisation en explique l’essentiel.

Ce qui fait varier le calendrier

À étapes identiques, plusieurs facteurs allongent ou raccourcissent le calendrier. Le périmètre visé compte en premier lieu : la certification couvre six activités d’hébergement, depuis les sites physiques et l’infrastructure matérielle jusqu’à l’infrastructure virtuelle, la plateforme d’hébergement d’applications, l’administration du système et la sauvegarde externalisée. Viser une seule activité ne demande pas le même travail que les couvrir toutes. La maturité de l’organisation pèse tout autant ; une structure dont les pratiques de sécurité sont déjà solides et documentées avance plus vite qu’une équipe qui démarre de zéro. L’état des certifications ISO préexistantes joue dans le même sens, puisque le certificateur vérifie l’équivalence des certifications déjà obtenues. Enfin, la disponibilité des équipes internes et la qualité de la documentation produite influent directement sur la longueur de la phase de préparation.

Pourquoi aucune durée fixe ne peut être annoncée

Annoncer un délai unique reviendrait à promettre l’impossible. Le référentiel ne fixe pas de chronomètre ; il définit des exigences que chaque candidat doit satisfaire selon sa propre situation. Une organisation qui dispose déjà d’un système de management de la sécurité éprouvé concentre son effort sur le volet santé du référentiel. Une autre, qui découvre ces obligations, doit d’abord construire les fondations avant même de penser à l’audit. C’est la phase de mise en conformité qui crée l’essentiel de l’écart entre deux calendriers. Mieux vaut donc raisonner en étapes à franchir qu’en nombre de semaines affiché, et bâtir un rétroplanning réaliste avec l’organisme certificateur dès le début. Au calendrier s’ajoute la question du budget, qui obéit à la même logique de cas par cas : nous la détaillons dans notre point sur le coût de la certification HDS.

ISO 27001 et SecNumCloud : des socles distincts

Une certification ISO 27001 déjà en poche fait gagner du temps, sans pour autant remplacer la démarche HDS. Cette norme internationale couvre le management de la sécurité de l’information de façon générale ; elle constitue un socle, pas une équivalence. Le HDS exige la conformité au référentiel complet, avec son volet propre aux données de santé. De son côté, la qualification SecNumCloud délivrée par l’ANSSI relève d’une logique différente : ce visa de sécurité reconnaît des offres cloud de confiance et protège explicitement contre l’application de lois extraterritoriales. Transversal et non spécifique à la santé, il reste distinct du HDS ; un hébergeur peut viser les deux, qui se complètent. Comprendre cette articulation aide à estimer le travail restant et donc le temps à prévoir.

Et le calendrier en Nouvelle-Calédonie ?

Pour un acteur calédonien, ce parcours national éclaire le sujet sans le régir. En Nouvelle-Calédonie, héberger des données de santé pour le compte d’autrui suppose un agrément local du gouvernement, créé par la loi du pays n° 2026-5. C’est ce cadre, et lui seul, qui fait foi sur le territoire. Les modalités et le calendrier d’instruction relèvent des textes d’application propres à la Nouvelle-Calédonie, en cours de mise en place. La certification HDS métropolitaine, la qualification SecNumCloud ou l’ISO 27001 peuvent constituer des repères de sérieux, mais elles ne s’appliquent pas automatiquement ici. Sur les exigences de fond attendues d’un hébergement local, nos repères sur la sécurisation des données de santé détaillent ce qui est en jeu, et le calendrier d’entrée en vigueur du cadre est abordé dans notre point sur le caractère obligatoire de l’agrément en 2026.

Sources : ANS — certification des hébergeurs de données de santé (HDS) · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.