Certification HDS : comment l'obtenir, étape par étape

Avant tout : la plupart des organismes qui cherchent comment obtenir la certification HDS n’en ont pas besoin. Si vous éditez une application déployée chez un fournisseur certifié et que vous n’exercez pas vous-même d’activité d’hébergement pour le compte de tiers, le certificat de votre fournisseur répond à l’obligation. Se lancer dans une certification par excès de prudence coûte des trimestres.

Cette page s’adresse à ceux pour qui la question se pose réellement.

Les deux catégories de certificat

Le dispositif distingue :

• Hébergeur d’infrastructure physique — mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle et des sites physiques hébergeant les systèmes de traitement des données ;
• Hébergeur infogéreur — mise à disposition de l’infrastructure virtuelle, administration du système d’information, sauvegarde externalisée des données.

Un éditeur qui opère lui-même l’environnement de ses clients relève typiquement de la seconde catégorie. C’est le cas de figure le plus fréquent parmi ceux qui doivent réellement se certifier.

Le référentiel applicable

Le référentiel en vigueur a été publié au Journal officiel le 16 mai 2024 (arrêté du 26 avril 2024) et s’applique depuis le 16 novembre 2024. Il a introduit trois évolutions structurantes :

Des exigences de souveraineté. Le stockage physique des données doit être réalisé exclusivement sur le territoire d’un pays situé au sein de l’Espace économique européen. Les hébergeurs doivent déclarer à leurs clients les accès distants depuis des pays tiers ainsi que les risques associés, et cartographier publiquement les transferts hors EEE.

Une clarification du périmètre des activités, notamment de l’activité d’administration et d’exploitation, qui était historiquement la principale source d’ambiguïté.

Une meilleure articulation avec SecNumCloud de l’ANSSI, et l’intégration des évolutions de l’ISO 27001 version 2022.

Les organismes déjà certifiés disposaient de vingt-quatre mois pour se conformer au nouveau référentiel, au plus tard le 16 mai 2026.

Le déroulement de la certification

1. Choisir un organisme certificateur accrédité. L’accréditation relève du COFRAC, instance unique d’accréditation en France. L’ANS définit le référentiel mais ne délivre pas les certificats.

2. Préparer le système de management. C’est ici que se concentre l’essentiel de la charge : politique de sécurité, analyse de risques, procédures, journalisation, gestion des incidents, plan de continuité. Un organisme disposant déjà d’un système de management conforme à l’ISO 27001 part avec une avance décisive.

3. Audit documentaire. L’organisme certificateur examine la conformité de votre documentation aux exigences du référentiel.

4. Audit sur site. L’auditeur vérifie que ce qui est écrit est effectivement mis en œuvre. C’est l’étape où les écarts entre documentation et pratique apparaissent.

5. Délivrance du certificat, pour une durée de trois ans.

6. Audits de surveillance annuels, réalisés par l’organisme certificateur pendant toute la durée de validité.

Ce qu’il faut avoir en tête avant de se lancer

La certification est un régime, pas un projet. Les audits annuels imposent de maintenir le niveau. Une organisation qui obtient le certificat puis relâche l’effort le perd au premier audit de surveillance.

Le périmètre est un choix stratégique. Certifier plus large que nécessaire alourdit durablement l’exploitation ; certifier trop étroit vous expose à devoir refuser des marchés. Ce périmètre se décide avec le commerce, pas seulement avec la DSI.

L’alternative mérite d’être chiffrée honnêtement. Entre se certifier et s’appuyer sur un hébergeur certifié, l’écart de coût total sur trois ans est en général considérable. La question n’est pas « pouvons-nous y arriver » mais « est-ce le meilleur emploi de nos ressources ».