HDS ou ISO 27001 : la certification ISO suffit-elle pour les données de santé ?

Beaucoup d’hébergeurs mettent en avant une certification ISO 27001 pour rassurer sur la sécurité. La question « HDS ou ISO 27001 » se pose dès qu’il s’agit de données de santé, car les deux ne couvrent pas le même périmètre. Comprendre ce qui distingue une norme générale d’un référentiel sectoriel évite de confier des données sensibles à un prestataire qui n’offre qu’une partie des garanties attendues.

ISO 27001 : un socle de sécurité, pas une garantie santé

La norme ISO 27001 est une référence internationale de management de la sécurité de l’information. Elle structure ce que l’on appelle un SMSI (système de management de la sécurité de l’information) : analyse des risques, politiques de sécurité, contrôle des accès, gestion des incidents, amélioration continue. Une organisation certifiée démontre qu’elle pilote sa sécurité de façon méthodique et auditée. Cette norme s’applique à tous les secteurs (banque, industrie, services), sans contenu propre à la santé. C’est un fondement solide, reconnu partout, mais générique par construction.

HDS ou ISO 27001 : pourquoi la norme seule ne suffit pas

La certification HDS est un dispositif français. Elle découle du décret n° 2018-137 du 26 février 2018 et d’un référentiel actualisé par l’arrêté du 26 avril 2024, et elle est délivrée par un organisme certificateur accrédité par le COFRAC après audit. Ce référentiel s’appuie justement sur des normes ISO, dont ISO 27001 et ISO 20000 : le certificateur vérifie l’équivalence des certifications déjà obtenues. La nuance est décisive. Détenir ISO 27001 prouve que le socle de sécurité générale est en place, mais le HDS exige la conformité au référentiel complet, avec son volet santé. Une certification ISO 27001 isolée ne couvre donc pas les obligations propres aux données de santé.

HDS vs ISO 27001 : ce que le volet santé ajoute au socle

Comparer HDS ou ISO 27001 revient ici à mesurer un écart de périmètre. Au-delà du management de la sécurité, le référentiel HDS impose des garanties pensées pour le caractère sensible des données de santé :

• Un périmètre d’activités précis : la certification HDS couvre six activités d’hébergement, des sites physiques et de l’infrastructure matérielle jusqu’à l’administration du système d’information et la sauvegarde externalisée des données de santé.
• Une traçabilité renforcée des accès : chaque opération sur les données est journalisée et conservée, exigence forte dans le domaine sanitaire.
• Des engagements de confidentialité spécifiques : le secret applicable aux informations de santé encadre la façon dont l’hébergeur peut intervenir sur les données.
• Une disponibilité et une continuité éprouvées : redondance, sauvegardes et reprise après incident, pour que les soins ne soient pas interrompus par une panne.

Ces obligations expliquent qu’une organisation déjà certifiée ISO 27001 doive compléter sa démarche pour viser le HDS. Le socle est commun ; la couche santé est ce qui les sépare.

Le repère national et la place de SecNumCloud

À côté du HDS et d’ISO 27001 existe un troisième dispositif souvent cité : SecNumCloud. Il s’agit d’une qualification de l’ANSSI, un visa de sécurité qui distingue des offres cloud de confiance pour des données sensibles et protège explicitement contre l’application de lois extraterritoriales. SecNumCloud est transversal, comme ISO 27001, et reste distinct du HDS ; un hébergeur peut viser les deux, qui se complètent. La liste des hébergeurs certifiés HDS est publiée au niveau national par l’ANS (Agence du Numérique en Santé) sur esante.gouv.fr. Ces trois dispositifs, HDS, SecNumCloud et ISO 27001, sont des références françaises ou internationales ; ils ne constituent pas, à eux seuls, le cadre applicable en Nouvelle-Calédonie.

En Nouvelle-Calédonie, c’est l’agrément local qui fait foi

Pour un acteur calédonien, le point de repère n’est pas la certification métropolitaine. Héberger des données de santé pour le compte d’un tiers suppose un agrément du gouvernement, créé par la loi du pays n° 2026-5. C’est ce cadre, distinct du dispositif national, qui s’applique sur le territoire. Une certification HDS ou ISO 27001 peut témoigner du sérieux d’un prestataire et de la maturité de ses pratiques, mais elle ne remplace pas l’agrément local. Le régime social calédonien repose d’ailleurs sur la CAFAT, sans Carte Vitale ni SESAM-Vitale, signe que la Nouvelle-Calédonie dispose de son propre encadrement.

Cette spécificité territoriale ne fait pas disparaître le RGPD, qui reste applicable. Les données de santé y figurent parmi les catégories particulières (article 9) ; leur traitement par un hébergeur passe par un contrat de sous-traitance écrit (article 28), et toute violation doit être notifiée sous 72 heures (article 33). L’agrément local et ces obligations européennes se cumulent : le premier conditionne le droit d’héberger sur le territoire, les secondes encadrent la façon dont les données sont protégées. Notre dossier sur le RGPD appliqué aux données de santé en Nouvelle-Calédonie détaille cette articulation.

Comment lire une offre d’hébergeur sans se tromper

Lorsqu’un hébergeur n’affiche qu’une certification ISO 27001 pour des données de santé, la prudence s’impose. La norme atteste d’un bon niveau de sécurité générale, sans garantir la conformité sanitaire attendue. Plusieurs questions permettent d’y voir clair : la certification ISO 27001 est-elle complétée par une démarche orientée santé ? L’hébergeur dispose-t-il, en Nouvelle-Calédonie, de l’agrément local en cours de validité ? Les garanties de traçabilité, de sauvegarde et de continuité sont-elles documentées ? Avant tout engagement, il reste utile de vérifier que l’hébergeur est bien agréé et de demander les preuves correspondantes. Ces vérifications rejoignent les bonnes pratiques décrites dans nos repères sur la sécurisation des données de santé.

Deux niveaux d’exigence, une seule référence en NC

ISO 27001 et HDS ne s’opposent pas vraiment ; ils s’emboîtent. La première pose le socle de sécurité, la seconde y greffe les exigences propres à la santé. Pour un hébergeur sérieux, détenir ISO 27001 facilite la marche vers le HDS sans la rendre automatique. Sur le territoire calédonien, ces certifications gardent une valeur de signal de confiance, alors que la conformité juridique passe par l’agrément du gouvernement. Garder cette distinction en tête permet de comparer les offres sur des bases solides plutôt que sur un sigle isolé. Un prestataire qui distingue clairement norme, certification et agrément donne déjà un signal de transparence.

Sources : ANS — certification des hébergeurs de données de santé (HDS) · ISO/IEC 27001 — sécurité de l’information.