Choisir un hébergeur HDS certifié : les critères qui comptent

La question « quel hébergeur HDS choisir » est presque toujours posée à l’envers. On compare des marques — OVHcloud, Scaleway, AWS, Azure, Google Cloud, et une longue liste d’acteurs plus spécialisés — alors que la vraie comparaison porte sur le périmètre du certificat au regard de ce que vous n’assurez pas vous-même.

Commencer par la liste officielle

L’Agence du Numérique en Santé publie la liste des organismes certifiés. C’est la seule source qui fasse foi. Une mention « hébergement HDS » sur une page commerciale ne vous dit ni quelles activités sont couvertes, ni si le certificat est en cours de validité.

Deux vérifications systématiques : la date de validité — un certificat est délivré pour trois ans — et le périmètre d’activités couvert.

Le critère décisif : que couvre le certificat, et que couvrez-vous ?

Le dispositif distingue l’hébergement d’infrastructure physique de l’infogérance — infrastructure virtuelle, administration du système d’information, sauvegarde externalisée.

La question à se poser n’est pas « ce fournisseur est-il certifié » mais « qui fait quoi, et qui est certifié pour ce qu’il fait ». Si votre fournisseur est certifié pour l’infrastructure mais que vous administrez vous-même les systèmes pour le compte de vos clients, l’activité d’administration relève de vous — et c’est précisément l’ambiguïté que le référentiel de 2024 a entrepris de lever.

Établissez une matrice explicite des responsabilités avant de contractualiser. C’est ce document que votre client vous demandera en audit, et son absence est le signal le plus fiable d’un projet qui n’a pas traité le sujet.

Les deux critères devenus décisifs depuis novembre 2024

La localisation du stockage. Le référentiel impose un stockage physique réalisé exclusivement sur le territoire d’un pays situé au sein de l’Espace économique européen. Ce n’est plus un argument commercial différenciant : c’est une exigence.

La transparence sur les accès distants. Les hébergeurs doivent déclarer à leurs clients les accès distants depuis des pays tiers et les risques associés, et cartographier publiquement les transferts hors EEE. Demandez ces éléments : leur qualité en dit long sur la maturité réelle du fournisseur, et vous en aurez besoin pour vos propres analyses d’impact.

Les critères que l’on oublie et qui coûtent cher

La réversibilité. Formats d’export, délais, accompagnement, sort des sauvegardes. À négocier à la signature, quand vous avez encore du pouvoir de négociation.

Le modèle de responsabilité opérationnelle. Qui applique les correctifs ? Qui détient les clés de chiffrement ? Qui est joignable la nuit ? Sur une application utilisée en situation de soin, ces réponses valent plus que le prix affiché.

La compatibilité avec vos autres obligations. L’hébergement HDS ne dit rien de la sécurité de votre application. Si vous visez un référencement Ségur ou si votre logiciel est un dispositif médical, votre hébergeur devra s’inscrire dans un ensemble plus large.

Le besoin éventuel de SecNumCloud. Visa de sécurité de l’ANSSI distinct de la certification HDS, avec des exigences d’immunité aux législations extraterritoriales. Il ne se substitue pas au HDS, mais il devient déterminant sur certains marchés publics.

Une méthode de sélection en quatre étapes

1. Décrire votre architecture cible et la découper en activités au sens du référentiel.
2. Identifier ce que vous exercez vous-même et ce que vous déléguez.
3. Confronter cette répartition aux certificats disponibles, à partir de la liste officielle et non des plaquettes.
4. Contractualiser la matrice de responsabilités et la réversibilité avant de commencer à développer.

L’étape 2 est celle que presque personne ne fait sérieusement, et c’est celle qui détermine si votre projet passera un audit client.