Audit interne HDS : ce que le référentiel exige en plus de l'ISO 27001

La certification HDS n’est pas une norme de plus posée à côté de l’ISO 27001 : elle se construit dessus. Le référentiel exige un système de management conforme à l’ISO 27001, et l’audit interne de la clause 9.2 devient de ce fait une obligation pour tout hébergeur de données de santé.

Cette page dit ce que cet audit doit couvrir au delà de l’ISO 27001, qui peut le mener, à quel moment le programmer dans un cycle de trois ans, et ce que l’organisme certificateur regardera. Elle est écrite par Protectam, qui accompagne des hébergeurs de données de santé depuis 2019.

L’audit interne est une exigence, pas une bonne pratique

Le raisonnement tient en trois étapes.

Le référentiel de certification HDS repose sur un système de management de la sécurité de l’information conforme à l’ISO/IEC 27001:2022.

Or la clause 9.2 de l’ISO 27001 exige des audits internes à intervalles planifiés, menés par des auditeurs qui garantissent l’objectivité et l’impartialité du processus, dont les résultats sont communiqués à la direction et conservés.

Donc l’audit interne est une exigence de la certification HDS, au même titre que l’analyse de risques ou la revue de direction. Un hébergeur qui présente un dossier sans programme d’audit et sans rapport n’obtient pas son certificat.

Ce que la norme demande précisément sur cet audit, nous le détaillons dans notre page sur la clause 9.2 de l’ISO 27001. La suite de cette page traite de ce que le référentiel HDS ajoute.

Pourquoi l’ISO 27001 commande tout

La certification ISO 27001 est un prérequis du HDS, pas une option. Le référentiel s’appuie sur un certificat ISO 27001 en cours de validité, et le périmètre HDS doit être inclus dans le périmètre de ce certificat. La conséquence est structurante : la validité du certificat HDS est liée au maintien du certificat ISO 27001. Perdre le second fait tomber le premier.

Trois conséquences pratiques en découlent.

• Deux calendriers sont possibles : les deux certifications ensemble, ou l’ISO 27001 d’abord et le HDS ensuite. Ce qui n’existe pas, c’est le HDS sans l’ISO 27001. Mener les deux de front est en général plus simple à organiser, parce que les cycles de certification sont identiques, trois ans avec un audit de surveillance par an : les deux audits se tiennent alors en même temps, et non à deux moments de l’année. C’est ainsi que nous avons mené la double certification d’ITC DATA.
• Le périmètre ISO 27001 doit être assez large. Un périmètre ISO 27001 limité à un produit, alors que l’hébergement des données de santé passe par une autre partie de votre infrastructure, ne permet pas la certification HDS de cette activité. C’est un arbitrage à faire au moment de définir le domaine d’application.
• Le maintien porte sur deux certificats. Chacun a son cycle d’audits, et l’un tient l’autre. C’est ce que couvre notre offre de maintien du système de management de la sécurité de l’information.

Les six activités du référentiel

Le référentiel distingue six activités d’hébergement de données de santé. Un hébergeur se fait certifier pour une à six d’entre elles, selon ce qu’il exerce réellement.

1. La mise à disposition de locaux, c’est à dire l’hébergement physique des matériels dans un centre de données.
2. La mise à disposition d’une infrastructure matérielle, serveurs et équipements de stockage.
3. La mise à disposition d’une infrastructure virtuelle, machines virtuelles et stockage en nuage.
4. La mise à disposition d’une plateforme d’hébergement applicative, conteneurs et bases de données gérées.
5. L’administration et l’exploitation du système d’information contenant les données de santé, ce que l’on appelle couramment l’infogérance.
6. La sauvegarde et l’archivage électronique des données de santé.

Ce sont ces activités qui définissent le périmètre, et non une catégorie d’hébergeur : la distinction entre hébergeur d’infrastructure et hébergeur infogéreur n’a plus cours. Lire un certificat HDS consiste donc à regarder quelles activités il couvre, et non sa seule existence.

Pour l’audit interne, ce découpage est le point de départ : il fixe le périmètre que l’audit doit couvrir.

Ce que l’audit interne doit couvrir en plus de l’ISO 27001

Les chapitres 4 à 10 et les mesures de l’annexe A que vous avez déclarées applicables constituent le socle, comme pour n’importe quel audit interne ISO 27001. Le référentiel HDS y ajoute des exigences propres, que l’audit doit couvrir explicitement, avec des preuves.

La localisation des données et les accès depuis un pays tiers

Le référentiel impose des exigences de souveraineté. Les données de santé doivent être hébergées physiquement dans l’Espace économique européen, et tout accès à distance depuis un pays tiers doit être documenté dans le contrat, avec les risques associés et les mesures prises.

Ce que l’audit vérifie n’est pas la déclaration mais la preuve : la localisation réelle des données et des sauvegardes, la liste des personnes et des prestataires qui y accèdent, depuis quels pays, et ce que le contrat en dit. Un accès d’astreinte depuis un pays tiers, non documenté, est un écart.

Les clauses du contrat d’hébergement

Le référentiel impose des clauses au contrat que vous passez avec votre client, notamment sur la localisation des données, sur les conditions de leur restitution et sur leur durée de conservation.

L’audit interne les lit. C’est un exercice inhabituel pour une équipe technique, et c’est une des raisons de le mener en avance : un contrat type à reprendre demande quelques semaines de travail juridique, qu’il vaut mieux engager plusieurs mois avant l’audit de certification.

Les centres de données de vos partenaires

Beaucoup d’hébergeurs n’exploitent pas leurs propres bâtiments : leurs serveurs sont installés dans les centres de données d’un ou de plusieurs partenaires. L’audit interne ne se déplace pas dans chacun d’eux. Ces partenaires sont des fournisseurs, et ce que l’audit vérifie, c’est la façon dont vous les maîtrisez :

• les contrats et les niveaux de service ;
• les certificats en cours de validité, et les activités HDS qu’ils couvrent ;
• la liste des personnes autorisées à accéder à vos équipements, et sa revue ;
• les comptes rendus de visite, quand il y en a ;
• le partage des responsabilités : quelle activité porte chacun, et ce qui reste à votre charge.

Ce dernier point compte le plus pour la certification. Un partenaire certifié pour la mise à disposition de locaux ne couvre que cette activité : l’infrastructure, la plateforme, l’exploitation et la sauvegarde restent à démontrer chez vous.

Les sous-traitants et les tiers-archiveurs

Une activité d’hébergement s’appuie presque toujours sur d’autres prestataires. L’audit remonte la chaîne : qui héberge quoi, sous quelle certification, et ce que vos contrats prévoient si l’un d’eux perd la sienne.

L’archivage électronique demande une explication, parce que le mot est souvent confondu avec un autre.

Archiver n’est pas sauvegarder. Une sauvegarde sert à remonter un système après une panne ou une erreur : elle est récente, et elle est écrasée régulièrement. Un archivage conserve des données dont on n’a plus l’usage courant mais que la réglementation oblige à garder, pour des durées qui se comptent en années, en garantissant qu’elles n’ont pas été modifiées et qu’on saura encore les relire à la fin.

Un tiers-archiveur est le prestataire à qui l’on confie cette conservation longue. Ce n’est pas nécessairement l’hébergeur qui fait tourner votre service au quotidien : beaucoup d’organisations passent par un prestataire spécialisé pour l’archivage seul.

La version 2.1 du référentiel, annoncée par l’Agence du numérique en santé, demande à ce prestataire de détenir sa propre certification HDS. Si vous confiez de l’archivage, vérifiez que votre tiers-archiveur est certifié en son nom.

La restitution et la destruction des données

Que se passe-t-il quand un client s’en va ? Sous quel format, dans quel délai, avec quelle preuve de destruction des copies et des sauvegardes ?

C’est l’une des exigences les plus concrètes du référentiel et l’une des moins souvent éprouvées. Beaucoup d’organisations ont une procédure et n’ont jamais eu à s’en servir. L’audit interne demande à voir la dernière restitution réalisée, ou à défaut un essai documenté.

Qui peut mener l’audit interne HDS

Les règles sont celles de l’ISO 27001, et elles sont fermes.

L’impartialité d’abord. Personne ne peut auditer son propre travail. Si votre responsable sécurité a rédigé les procédures, construit l’analyse de risques et négocié les clauses du contrat d’hébergement, il ne peut auditer aucun de ces trois objets. Dans une entreprise de moins de 200 personnes, cette contrainte élimine en général la seule personne qui connaît les deux référentiels, ce qui conduit à faire appel à un auditeur extérieur.

La compétence ensuite, et elle est double ici. L’auditeur doit connaître les exigences de l’ISO 27001, les mesures de l’annexe A et la méthode d’audit de l’ISO 19011, mais aussi le référentiel HDS, ses six activités et ses exigences propres. C’est cette double compétence qui permet au rapport de couvrir les exigences propres au référentiel HDS, comme l’organisme certificateur l’attend.

Une précaution qui vaut pour tout prestataire : la personne qui construit ou pilote votre système de management ne peut pas l’auditer. C’est pourquoi, quand Protectam accompagne ou maintient un système, l’audit interne est mené par une autre personne, ou seulement une fois que votre équipe a repris le système en main. Notre guide de choix d’un auditeur interne détaille les types de prestataires et les questions à poser avant de signer.

Quand le mener, dans un cycle de trois ans

Le certificat HDS est délivré pour trois ans, avec un audit de surveillance chaque année. L’audit interne se cale sur ce rythme, et le moment compte autant que la fréquence.

• Avant l’audit de certification initial, avec deux à trois mois d’avance au minimum. Une action corrective doit être décidée, mise en oeuvre, et avoir produit une preuve de son efficacité avant l’audit.
• Chaque année ensuite, en amont de l’audit de surveillance, pour la même raison.
• Après tout changement du périmètre ou de la chaîne d’hébergement : une nouvelle activité, un changement de centre de données, un nouveau sous-traitant, un incident sérieux.

Un repère pour la première fois : neuf à douze mois séparent en général le premier cadrage du certificat en main, pour une entreprise de moins de 200 personnes. L’audit interne se place dans le dernier tiers de ce calendrier.

Ce que l’organisme certificateur vérifie

Sur l’audit interne, l’auditeur de certification suit toujours le même chemin. Le connaître permet de préparer les bonnes preuves plutôt que de les chercher devant lui.

1. Le programme d’audit. Existe-t-il, couvre-t-il l’ensemble du périmètre sur le cycle de trois ans, et tient-il compte des résultats des audits précédents ?
2. La couverture des deux référentiels. Le rapport traite-t-il les exigences propres au référentiel HDS, ou seulement l’ISO 27001 ?
3. L’impartialité de l’auditeur, et ce qui l’atteste.
4. La compétence de l’auditeur sur les deux référentiels.
5. La communication à la direction, et la présence des résultats en entrée de la revue de direction.
6. Le suivi des constats, jusqu’à la preuve que l’action corrective a fait disparaître la cause.

Ce que change la version 2.1, en cours d’approbation

L’Agence du numérique en santé a annoncé en août 2026 une version 2.1 du référentiel. Sa publication était prévue en octobre 2026 ; fin octobre, l’arrêté qui l’approuve n’était pas encore paru. Elle entrera en application trois mois après sa publication.

Deux choses à retenir si vous êtes déjà certifié. Aucun audit supplémentaire n’est prévu : la conformité à la version 2.1 sera vérifiée lors des audits de surveillance ou de renouvellement déjà planifiés. Et les évolutions portent principalement sur la clarté contractuelle plutôt que sur des obligations structurantes nouvelles : l’absence d’assujettissement à une législation extra-européenne doit être explicitée, les transferts vers des pays tiers détaillés, et les tiers-archiveurs doivent détenir leur propre certification HDS.

Conséquence pour votre prochain audit interne : faites le porter sur vos contrats types autant que sur votre infrastructure. C’est là que se situent les évolutions.

Nous suivons cette publication. Cette page sera mise à jour à la parution du texte.

Le déroulé d’un audit interne HDS

L’audit couvre les deux référentiels dans la même mission, en trois temps.

1. Préparation. Nous lisons votre documentation, votre déclaration d’applicabilité, vos précédents rapports, vos contrats types et la liste des activités HDS que vous faites certifier. Vous recevez ensuite le plan d’audit et la liste des personnes à rencontrer.
2. Entretiens. Comptez plutôt trois jours, à distance ou dans vos locaux. Les exigences du référentiel HDS s’auditent dans les mêmes entretiens que celles de l’ISO 27001, avec des questions ciblées sur la localisation des données, les contrats, vos partenaires et la restitution.
3. Rapport et restitution. Le rapport est remis sous dix jours ouvrés. Il classe les constats en non-conformités majeures, non-conformités mineures et pistes d’amélioration, avec une section dédiée au référentiel HDS. Nous le parcourons ensuite avec vous, constat par constat.

Vous recevez aussi la grille d’audit complète et le plan d’audit : ce sont les enregistrements que l’organisme certificateur demandera.

Ce que nous faisons, et ce que cela coûte

Protectam réalise des audits internes ISO 27001 et HDS pour les PME et les scale-up jusqu’à 200 personnes, partout en France.

Un audit interne couvre les deux référentiels en une seule mission. Le forfait démarre à 3 900 € HT, l’option HDS est à 1 200 € HT, et le rapport est remis sous dix jours ouvrés, présenté en réunion de restitution constat par constat.

Nous avons mené pour ITC DATA la double certification ISO 27001 et HDS en 2020, puis chaque année son maintien, ainsi que les deux changements de référentiel, le passage de l’ISO 27001 à sa version 2022 et celui du HDS v1 au HDS v2, sans perte de certificat.

Si votre échéance approche, un premier échange de trente minutes suffit pour savoir où vous en êtes et comment préparer votre audit.