Combien coûte le HDS ? Décomposer la vraie facture

« Combien coûte le HDS ? » n’a pas de réponse chiffrée universelle, et se méfier de ceux qui en donnent une est un bon réflexe. Il n’existe pas de tarif public : la certification est délivrée par des organismes accrédités par le COFRAC qui fixent librement leurs prix, en fonction du périmètre, de la complexité du système d’information et du nombre de sites.

Ce qui est stable, en revanche, c’est la structure de coût. Et elle réserve la même surprise à presque tout le monde.

Scénario 1 — Se certifier soi-même

Quatre postes, par ordre de poids décroissant :

1. La mise à niveau du système de management. C’est le poste dominant, et de loin. Politique de sécurité, analyse de risques, procédures d’exploitation, journalisation, gestion des incidents, plan de continuité, gestion des accès. Un organisme qui dispose déjà d’un système conforme à l’ISO 27001 part avec une avance considérable ; un organisme partant de zéro doit construire une fonction qui n’existait pas.

2. La charge interne récurrente. Le certificat vaut trois ans, avec audits de surveillance annuels. Maintenir le niveau mobilise du temps de manière permanente — pas un projet, un régime.

3. Les prestations d’accompagnement, si vous vous faites aider sur la préparation.

4. L’audit lui-même — documentaire puis sur site. C’est le seul poste que les gens anticipent, et c’est rarement le plus lourd.

À cela s’ajoute un coût rarement mis au budget : le délai. Pour un organisme partant de zéro, il faut raisonner en trimestres. Si votre calendrier commercial dépend de l’obtention du certificat, ce délai est un coût d’opportunité, pas une ligne de dépense.

Scénario 2 — S’appuyer sur un hébergeur certifié

Trois postes :

1. Le surcoût d’hébergement par rapport à une offre non certifiée. Réel, mais d’un ordre de grandeur sans rapport avec le scénario 1.

2. Le travail de contractualisation : matrice de responsabilités, réversibilité, engagements d’exploitation. Quelques jours bien employés qui évitent des années de friction.

3. Ce qui reste à votre charge. Le certificat de votre hébergeur couvre l’hébergement. La sécurité applicative — authentification, habilitations, journalisation, imputabilité — relève de vous et de la PGSSI-S. Ce poste existe dans les deux scénarios ; on l’oublie surtout dans celui-ci, parce que le mot « certifié » rassure.

Le vrai arbitrage

Pour un éditeur SaaS, l’écart de coût total sur trois ans entre les deux scénarios est en général massif, en faveur de l’hébergeur certifié. La certification propre ne se justifie que si l’hébergement pour le compte de tiers fait partie de votre offre, pas de votre infrastructure.

La bonne question n’est donc pas « combien ça coûte » mais « sommes-nous hébergeur ? ». Si la réponse est non, le scénario 1 n’aurait jamais dû être envisagé — et beaucoup d’équipes y consacrent un trimestre d’analyse avant de s’en apercevoir.

Les trois postes systématiquement oubliés

La réversibilité. Non budgétée à la signature, elle se paie au moment où vous voulez partir.

L’écart entre le certificat et votre besoin réel. Si votre hébergeur n’est pas certifié sur une activité que vous ne réalisez pas vous-même, vous avez un trou de conformité que personne ne facture jusqu’au jour de l’audit client.

La mise à niveau applicative. Passer sur un hébergement certifié n’est pas neutre techniquement : cloisonnement, gestion des secrets, journalisation, sauvegardes. Cette charge est du développement, et elle n’apparaît sur aucun devis d’hébergeur.