Les 6 activités de la certification HDS et les 2 types de certificat

Quand on regarde de près la certification HDS, on découvre qu'elle ne forme pas un bloc unique : elle se décompose en six activités et deux certificats distincts. Comprendre ce découpage évite de se tromper de périmètre.

Pourquoi un découpage en activités

Tous les hébergeurs ne font pas la même chose. Certains fournissent seulement des locaux et du matériel, d'autres gèrent des machines virtuelles, d'autres encore administrent complètement le système d'information de santé. Le référentiel HDS reflète cette réalité en distinguant six activités : vous ne vous faites certifier que sur celles que vous exercez réellement.

Les 6 activités

1. Mise à disposition et maintien des sites physiques hébergeant l'infrastructure matérielle (les locaux, les datacenters).
2. Mise à disposition et maintien de l'infrastructure matérielle (les serveurs, le stockage).
3. Mise à disposition et maintien de l'infrastructure virtuelle (les machines virtuelles, la virtualisation).
4. Mise à disposition et maintien de la plateforme d'hébergement d'applications (l'environnement qui fait tourner les applications).
5. Administration et exploitation du système d'information contenant les données de santé.
6. Sauvegarde externalisée des données de santé.

Les 2 types de certificat

Ces six activités se regroupent en deux certificats :

• Hébergeur d'infrastructure physique : couvre les activités 1 et 2. C'est le domaine des opérateurs de datacenters et fournisseurs de matériel.
• Hébergeur infogéreur : couvre les activités 3 à 6. C'est le domaine des fournisseurs cloud, éditeurs SaaS et infogéreurs qui gèrent la couche virtuelle, applicative et l'exploitation.

Un acteur peut détenir les deux certificats s'il exerce l'ensemble des activités, mais beaucoup n'ont besoin que d'un seul.

Comment identifier votre périmètre

La bonne démarche est de cartographier ce que vous faites concrètement avec les données de santé. Un éditeur SaaS santé qui déploie son application sur un cloud tiers se situe surtout sur les activités 4 et 5 (plateforme applicative et exploitation), tandis que le datacenter sous-jacent relève des activités 1 et 2. Chacun se certifie sur son maillon.

Le lien avec la chaîne d'hébergement

Ce découpage explique pourquoi la certification se raisonne en chaîne. Un éditeur infogéreur (activités 3 à 6) s'appuie souvent sur un hébergeur d'infrastructure physique (activités 1 et 2) lui-même certifié. Chaque acteur couvre son périmètre, et l'ensemble doit être cohérent pour que la donnée de santé soit protégée de bout en bout. C'est la même logique de responsabilité en cascade qu'en sous-traitance RGPD.

En résumé

La certification HDS couvre six activités, regroupées en deux certificats : hébergeur d'infrastructure physique (activités 1-2) et hébergeur infogéreur (activités 3-6). Vous ne vous certifiez que sur les activités que vous exercez. Identifier précisément votre périmètre est la première étape, et la chaîne d'hébergement doit rester cohérente d'un maillon à l'autre.

FAQ

Faut-il se certifier sur les 6 activités ? Non. Vous vous certifiez uniquement sur les activités que vous exercez réellement. Beaucoup d'acteurs ne relèvent que d'un seul certificat.

Quelle différence entre infrastructure physique et infogéreur ? L'infrastructure physique couvre les locaux et le matériel (activités 1-2). L'infogéreur couvre le virtuel, l'applicatif, l'exploitation et la sauvegarde (activités 3-6).

Un éditeur SaaS santé relève de quelle catégorie ? Le plus souvent du certificat infogéreur, sur les activités liées à la plateforme applicative et à l'exploitation, le datacenter sous-jacent étant certifié à part.