ISO 27001 et HDS : de l'étude d'opportunité à la certification

Mise en œuvre : je vous accompagne vers la certification ISO 27001 ou HDS

Vous partez de zéro ou vous voulez structurer votre démarche ?

Mon rôle n'est pas de faire à votre place, mais de vous rendre autonomes : votre système doit être compris et porté par vos équipes, pas par un consultant. En tant que Lead Implementer ET auditeur certifié, je vous transmets la méthode, je vous éclaire à chaque étape et je vous évite les erreurs qui coûtent cher le jour de l'audit.

• Étude d'opportunité et cadrage : définir ensemble un périmètre intelligent, pour ne pas complexifier inutilement le projet.
• Analyse de risques : vous apprendre à identifier vos vraies menaces (méthode EBIOS RM ou autre méthode plus adaptée à votre contexte), pour que vous sachiez la mettre à jour seuls.
• Prise en compte des spécificités de HDS v2.
• Documentation nécessaire et suffisante : je vous aide à définir ce qui doit être écrit et je relis ce que vous produisez, sans bureaucratie inutile.
• Formation et transmission : vos équipes apprennent à faire vivre le système au quotidien (indicateurs, revue de direction, gestion des incidents). Le PDCA n'est plus un sigle, il devient une approche naturelle.
• Un réseau d'auditeurs expérimentés pour réaliser des audits à blanc ou internes.

Mon atout : des pratiques, pas des modèles. Pas de « copier-coller » de documents standards : je vous transmets des façons de faire. Une mission réussie, c'est un système qui vit sans moi.

HDS : la certification santé, construite sur votre ISO 27001

Vous hébergez des données de santé pour le compte de vos clients ?

La certification HDS (Hébergeur de Données de Santé) est obligatoire en France pour héberger des données de santé à caractère personnel pour le compte de tiers. Depuis le référentiel HDS v2, publié le 16 mai 2024, elle s'obtient sur la base d'une certification ISO 27001:2022 : votre SMSI en est le socle, et HDS y ajoute des exigences propres à la santé.

• Le périmètre précis des activités d'hébergement certifiées.
• La localisation des données de santé dans l'Espace économique européen.
• La transparence envers vos clients sur les risques d'accès par des autorités de pays tiers.

J'interviens comme auditeur tierce partie HDS v2 pour AFNOR Certification : je connais les attentes des auditeurs de l'intérieur.

• Cadrage : êtes-vous concerné, et pour quelles activités ?
• Mise en œuvre conjointe ISO 27001 et HDS, dans un seul système de management.
• Audit interne et audit à blanc HDS avant l'audit de certification.

Qui doit être certifié HDS ?

Tout acteur qui héberge des données de santé à caractère personnel pour le compte d'un tiers : établissement ou professionnel de santé, éditeur, ou patient lui-même (article L.1111-8 du Code de la santé publique). Hébergeurs d'infrastructure, infogéreurs et éditeurs de solutions en mode SaaS sont les plus souvent concernés.

Faut-il être certifié ISO 27001 avant HDS ?

Oui. La certification HDS v2 repose sur une certification ISO 27001:2022 couvrant le périmètre concerné. Les deux audits peuvent être menés ensemble, sur un même système de management.

Un certificat HDS de 2018 est-il encore valable ?

Non. La période de transition vers le référentiel HDS v2 s'est achevée le 16 mai 2026 : les certificats délivrés selon l'ancien référentiel ont expiré.

Audit Interne & Audit à blanc

Vous êtes déjà certifié ou en cours de certification ISO 27001 et/ou HDS ?

La norme exige une amélioration continue.

J'interviens avec ma casquette d'Auditeur ICA certifié pour vérifier la solidité de votre système.

• Audit Interne externalisé : Un regard neuf et impartial sur votre conformité (obligatoire avant l'audit de certification).
• Audit Fournisseurs : Vérifiez que vos prestataires respectent bien vos exigences de sécurité.
• Diagnostic flash : Une revue rapide pour savoir si vous êtes prêt.

Mon atout : une approche exigeante et réaliste. Je ne cherche pas la non-conformité à tout prix : je vous aide à renforcer la qualité de votre système en apportant un retour d'expérience basé sur la variété de mes clients. Voir ici ma vision de l'audit interne.

Le saviez-vous ?

La démarche ISO 27001 couvre déjà une très grande partie des exigences de la directive NIS 2. En visant l'ISO, vous faites d'une pierre deux coups pour votre conformité réglementaire. Voir cet article dédié.

NIS 2 n'enlève rien à la valeur d'une norme volontaire telle que ISO 27001. Elle montre au contraire que votre entreprise a choisi d'aller au-delà des obligations de base pour montrer un engagement fort !

Tout cela vous semble trop lourd pour l'instant ? Commençons par une approche RSSI externalisé pour sécuriser l'essentiel.

En savoir plus sur NIS 2 : mes offres d'accompagnement NIS 2.

Pourquoi choisir Acove pour votre certification ?

L'expertise d'un auditeur, la souplesse d'un indépendant.

• La double compétence conseil & auditeur : je ne me contente pas de mettre en place la norme, je la vérifie chez d'autres. En tant qu'Auditeur certifié ICA, je connais précisément les critères d'exigence des certificateurs et les pièges à éviter. Je vous prépare à l'examen avec la vision de l'examinateur.
• Une approche pragmatique : l'ISO 27001 ne doit pas paralyser votre entreprise. Je vous aide à bâtir un SMSI utile et dimensionné pour vous, que vos équipes comprennent et gèrent elles-mêmes. Pas de complexité inutile, ni de compromis sur les exigences essentielles.
• Un interlocuteur unique : avec Acove, vous bénéficiez de nombreuses années d'expérience en direct. Je m'engage personnellement sur votre réussite, de la réunion de lancement jusqu'à l'audit final.