HDS v2 : l'échéance du 16 mai 2026 est passée — vos hébergeurs sont-ils encore certifiés ?

C'est une échéance passée relativement inaperçue hors des cercles spécialisés : depuis le 16 mai 2026, les hébergeurs de données de santé déjà certifiés devaient avoir obtenu leur certification selon le nouveau référentiel HDS v2, approuvé par un arrêté du 26 avril 2024 publié au Journal officiel le 16 mai 2024. Les nouveaux entrants y étaient déjà évalués depuis novembre 2024. Concrètement : un certificat émis sous l'ancien référentiel v1.1 de 2018 ne couvre plus votre hébergeur.

Ce que change le référentiel v2

Le référentiel v2 s'aligne sur l'ISO 27001:2022 et renforce deux exigences majeures : la localisation de l'hébergement au sein de l'Espace économique européen, et une transparence accrue sur les accès depuis des pays tiers — en écho direct aux débats sur la souveraineté des données de santé.

Il précise aussi le périmètre des six activités d'hébergement certifiables, ce qui oblige hébergeurs et clients à requalifier précisément qui fait quoi.

Pourquoi cela vous concerne, même si vous n'êtes pas hébergeur

L'obligation de recourir à un hébergeur certifié pèse sur vous, responsable de traitement (article L.1111-8 du Code de la santé publique). Si votre prestataire n'a pas migré, c'est votre conformité qui est exposée — vis-à-vis de la CNIL, de vos patients et de vos partenaires.

Trois vérifications immédiates : demander le certificat v2 en cours de validité (et sa portée exacte), vérifier la chaîne de sous-traitance (l'hébergeur de votre éditeur est-il lui-même couvert ?), et mettre à jour vos contrats et votre registre avec les références du nouveau certificat.

Le réflexe à adopter

Intégrez la vérification annuelle des certificats HDS de toute votre chaîne de prestataires à votre plan de contrôle — c'est l'un des points systématiques de nos audits et de notre checklist de conformité santé, téléchargeable sur ce site.

Les six activités certifiables : lisez le périmètre, pas seulement le logo

La certification HDS couvre six activités distinctes : mise à disposition de sites physiques (1) et d'infrastructure matérielle (2), mise à disposition d'infrastructure virtuelle (3) et de plateforme d'hébergement d'applications (4), administration et exploitation du système d'information (5), sauvegarde externalisée (6). Un certificat n'a de valeur que pour les activités qu'il mentionne : un hébergeur certifié « 3-4 » qui administre aussi vos serveurs sans couverture « 5 » vous laisse exposé.

Le réflexe : rapprocher ligne à ligne les prestations réellement contractées du périmètre exact du certificat v2 — et exiger la mise en cohérence, contractuelle ou opérationnelle, au moindre écart.

Souveraineté : ce que la v2 dit vraiment

Le référentiel v2 impose la localisation de l'hébergement dans l'Espace économique européen et une transparence contractuelle sur les accès possibles depuis des pays tiers — y compris pour les prestataires soumis à des législations extraterritoriales. Il ne s'agit pas d'un embargo sur les acteurs non européens, mais d'une obligation de vérité : le client doit pouvoir mesurer et documenter son exposition. Pour un responsable de traitement, cette information doit se retrouver dans l'analyse de risques et, le cas échéant, dans l'analyse d'impact.

Mise à jour — cap sur HDS v2.1

L'Agence du Numérique en Santé a annoncé à l'été 2026 une évolution du référentiel : la version HDS v2.1, mise en concertation publique, dont la publication est prévue en octobre 2026 pour une entrée en application trois mois plus tard, en décembre 2026 — date à partir de laquelle les audits initiaux, de surveillance et de renouvellement seront conduits selon la v2.1.

Au menu : un renforcement de la transparence sur les transferts de données et la soumission éventuelle à des législations d'États tiers, et des exigences de souveraineté européenne renforcées attendues d'ici 2027, en cohérence avec le futur schéma européen de certification cloud (EUCS). Pour les éditeurs et les responsables de traitement, le message est le même qu'en mai : vérifier ses certificats, leur périmètre — et désormais, anticiper la v2.1 dans les contrats en cours de renouvellement.