DELTA-SIERRA
Comprendre aujourd’hui, construire demain
Rechercher dans tout le portail France : logement, défense, fiscalité, retraite, dette, préfet, OAT, intelligence artificielle…
Propriétaire budgétaire : Établissements de santé / responsables de traitement ; crédits numériques et d’hébergement sous tutelle Santé
Périmètre de transition : Migration vers hébergeur certifié, réversibilité, tests, éventuelle double exploitation temporaire ; montant à documenter, donc aucun net fermé.
Cette clarification ferme le critère local de documentation ; elle ne ferme pas automatiquement l’impact budgétaire net.
Le Plan classe le maintien des hébergeurs certifiés comme garantie juridique. La certification HDS est un socle : elle ne remplace pas la gestion des habilitations, le chiffrement, la journalisation, les sauvegardes, le contrôle des sous-traitants et la réversibilité. [source]
La certification des hébergeurs de données de santé n’est pas une innovation à créer : c’est déjà une exigence structurante.
La transition vers HDS V2.0 s’est achevée le 16 mai 2026 et l’Agence du Numérique en Santé a rappelé qu’au-delà de cette date seuls les acteurs conformes peuvent légalement poursuivre l’hébergement de données de santé pour compte de tiers. Le droit a aussi été renforcé en 2026 sur la localisation et l’information relative aux risques d’accès depuis des États tiers. [source]
La mesure est donc repositionnée : maintenir HDS comme plancher, puis ajouter une doctrine de résilience.
Pour les systèmes critiques, l’acheteur public documente localisation, sous-traitants, dépendances techniques, chiffrement, journalisation, sauvegardes hors scénario de panne, réversibilité et capacité de reprise. L’objectif n’est pas d’inventer un label Delta-Sierra concurrent de HDS, mais de transformer la conformité réglementaire en véritable architecture de continuité et de souveraineté proportionnée au risque.
Aucune économie autonome n’est attribuée au maintien de HDS : la certification est un coût de sécurité et de conformité. L’analyse financière compare plutôt le coût complet d’une solution — hébergement, sauvegarde, réseau, audit, réversibilité, migration — au coût d’une interruption ou d’un changement forcé.
Une architecture plus résiliente peut éviter des pertes, mais ces coûts évités ne sont pas intégrés au total prudent sans historique ou modèle documenté. Le chiffrage public doit séparer conformité obligatoire et options supplémentaires.
L’article L1111-8 du Code de la santé publique et ses textes d’application encadrent l’hébergement.
Les contrats doivent notamment traiter les obligations de l’hébergeur et la fin de prestation ; le cadre 2026 renforce les exigences de souveraineté et de transparence. Les clauses Delta-Sierra viennent donc s’ajouter dans la commande publique ou la politique SI là où elles sont compatibles, sans prétendre remplacer la certification légale.
Le risque d’une doctrine trop rigide est de réduire la concurrence ou d’interdire des architectures utiles sans gain réel.
Le risque inverse est de considérer le certificat comme une assurance absolue : une mauvaise gestion des habilitations, une sauvegarde inaccessible ou une dépendance excessive à un sous-traitant peut provoquer un incident malgré la conformité. La méthode retient donc suivre les preuves opérationnelles : tests de restauration, délai de reprise, exercices de sortie et audit des dépendances.
L’efficacité de cette mesure doit être appréciée à partir d’indicateurs qui lui sont propres et suivis dans le temps.
Conserver HDS V2.0 comme exigence minimale et intégrer aux nouveaux contrats critiques des clauses de réversibilité testée, de sauvegarde, de journalisation, de notification et de cartographie des sous-traitants. Les établissements exécutent un exercice annuel de restauration et un exercice périodique de sortie. Les résultats sensibles restent internes, mais les taux de conformité et de test sont publiés.
Si une même exigence de souveraineté pour tous les services crée un surcoût disproportionné, classer les traitements par criticité : soins vitaux et dossiers patients d’un côté, services auxiliaires de l’autre. Le niveau de redondance et les délais de reprise varient, mais HDS demeure le socle légal lorsque son champ s’applique.
Lorsqu’un fournisseur ne remplit plus les conditions, ne pas interrompre brutalement un service de santé. Activer un plan de migration sécurisé, geler les nouveaux usages, renforcer la surveillance et basculer vers un hébergeur conforme selon une séquence documentée. Aucun gain budgétaire n’est déclaré pendant cette transition.
La certification HDS répond à un cadre précis de sécurité et d’hébergement. La souveraineté ajoute la question des juridictions, dépendances et accès depuis des États tiers. La continuité ajoute encore une autre question : le service peut-il être restauré et migré lorsque le fournisseur tombe, perd sa certification ou devient indisponible ? Une politique robuste doit traiter ces trois axes sans les confondre.
Pour chaque service critique, la fiche d’architecture indique où sont les données principales et les sauvegardes, qui détient les clés, quels sous-traitants interviennent, quel délai maximal d’interruption est acceptable et comment exporter les données dans un format exploitable. Le test de réversibilité ne consiste pas à vérifier qu’une clause existe : on simule périodiquement un départ. Le temps et les incidents rencontrés sont documentés. Cette preuve opérationnelle complète le certificat sans le remplacer. [source]
Des exigences très spécifiques peuvent réduire le nombre de fournisseurs et renchérir les contrats. La commande publique doit donc exprimer des résultats de sécurité — délai de reprise, localisation, réversibilité, auditabilité — plutôt qu’imposer une technologie ou un acteur sans nécessité. Les critères sont proportionnés à la criticité. Un service de prise de rendez-vous n’a pas nécessairement le même besoin de redondance qu’un système supportant des soins vitaux.
Le coût de la résilience est publié comme coût de service, pas masqué dans une « économie ». À l’inverse, le coût théorique d’une panne majeure ne doit pas servir de rendement automatique. Lorsqu’un incident réel survient, son impact permet d’améliorer les modèles de risque. Cette doctrine donne au décideur une vue plus honnête : la sécurité est un investissement avec un niveau de service attendu, non une promesse magique d’économies futures.
Le dossier de décision peut être lu comme une fiche de risque. Pour chaque application, le responsable indique le niveau de criticité, le délai maximal acceptable d’interruption, la perte maximale de données admissible, le territoire de stockage, les sous-traitants et les mécanismes de sortie. Un service ne passe au statut « conforme et résilient » que lorsque la restauration a été testée. Une déclaration contractuelle non exercée ne suffit pas.
Le suivi économique distingue le coût réglementaire incompressible du surcoût volontaire de résilience. Cette distinction permet de comparer des offres sans faire passer une obligation légale pour une réforme nouvelle. Elle permet aussi d’éviter qu’une exigence de souveraineté soit réduite à un slogan : les risques d’accès, de transfert, de dépendance technologique et de continuité sont documentés séparément. L’objectif est que l’hôpital sache continuer à soigner pendant un incident et puisse changer de fournisseur sans perdre la maîtrise de ses données, plutôt que d’accumuler des labels sans preuve opérationnelle.
La certification des hébergeurs de données de santé est un préalable important, mais elle ne dispense pas l’acheteur public ou l’établissement de vérifier l’architecture concrète du service. Une plateforme peut être portée par un acteur certifié tout en reposant sur plusieurs sous-traitants, plusieurs régions d’hébergement, des comptes d’administration distants et des mécanismes de sauvegarde dont les responsabilités sont réparties. La sécurité réelle se joue dans cette chaîne, et non dans le seul logo d’un certificat.
Chaque contrat devrait contenir une cartographie maintenue à jour : hébergeur principal, sous-traitants techniques, localisation logique et physique des données, sauvegardes, services d’identité, journaux, chiffrement, clés, équipe d’administration et procédure de sortie. Pour chaque maillon, il faut préciser qui peut accéder aux données en clair et qui peut modifier la configuration. Une cartographie qui ne permet pas de répondre à ces deux questions est insuffisante pour un service critique.
L’Agence du Numérique en Santé maintient la liste des organismes habilités dans le dispositif de certification et le cadre HDS. Source officielle — Agence du Numérique en Santé, certification HDS. La présence dans cet écosystème doit être vérifiée à la date de passation puis pendant l’exécution du contrat.
Deux indicateurs doivent être contractuels. Le RTO, ou « objectif de temps de reprise », est la durée maximale visée pour remettre le service en fonctionnement. Le RPO, ou « objectif de point de reprise », décrit la quantité maximale de données que l’on accepte de perdre entre la dernière copie exploitable et l’incident. Un service de prise en charge urgente et une archive ancienne n’ont pas les mêmes exigences. La réforme doit imposer des tests réguliers de restauration plutôt qu’une simple déclaration de sauvegarde.
La souveraineté opérationnelle passe aussi par la réversibilité. L’établissement doit savoir sous quel format récupérer les données, dans quel délai, à quel coût et avec quelles métadonnées. Les comptes d’accès de l’ancien prestataire doivent pouvoir être supprimés et la destruction résiduelle attestée. Une clause de réversibilité jamais testée est une promesse théorique. Le dispositif proposé devrait donc prévoir un exercice périodique d’export et de restauration chez un environnement de secours, avec publication d’un indicateur de réussite. Cela permet de concilier certification, concurrence et continuité de service.
Pour chaque grand service numérique de santé, l’autorité responsable devrait tenir un registre non sensible indiquant le prestataire principal, la présence d’une certification HDS valide, le nombre de sous-traitants critiques, le pays ou la zone d’hébergement prévue contractuellement, la date du dernier exercice de reprise et l’existence d’un plan de réversibilité testé. Les détails qui exposeraient l’architecture à une attaque resteraient confidentiels, mais le public pourrait vérifier que les obligations fondamentales sont réellement suivies.
Les marchés doivent intégrer des clauses de notification rapide lors d’un changement de sous-traitant ou de localisation. Un service ne devrait pas pouvoir devenir dépendant d’un nouveau maillon critique simplement parce que le fournisseur principal modifie son architecture. L’acheteur conserve un droit d’audit et un délai de sortie lorsque la nouvelle configuration n’est pas acceptable.
Une fois par an, un exercice simule l’indisponibilité du prestataire principal. L’établissement doit démontrer qu’il peut restaurer un ensemble de données défini, vérifier leur intégrité et remettre un service prioritaire en fonctionnement dans le RTO contractuel. Si l’objectif est quatre heures et que le test nécessite douze heures, le résultat n’est pas « sauvegarde existante » mais « objectif non atteint ». Cette culture du test transforme la certification en système de résilience concret et donne une base objective pour renouveler ou non les contrats.
Le test annuel doit imposer une contrainte : l’équipe agit comme si le prestataire principal était indisponible et ne pouvait pas assister la restauration pendant les premières heures. Les données extraites sont contrôlées par échantillonnage, les droits d’accès recréés et un service prioritaire ouvert en environnement de secours. Le compte rendu mesure temps réel, erreurs, dépendances non documentées et écarts avec le contrat. Une certification HDS reste indispensable, mais ce test révèle si l’établissement sait effectivement survivre à une panne ou à une rupture contractuelle.
Le bilan annuel doit indiquer combien de services critiques ont un certificat valide, un plan de réversibilité testé, une restauration réussie et un inventaire complet des sous-traitants. Un taux de certification de 100 % avec zéro test de reprise ne suffit pas. La mesure est considérée comme effective lorsque la conformité documentaire et la capacité opérationnelle sont vérifiées ensemble, et lorsque les écarts constatés déclenchent un calendrier de correction suivi jusqu’à fermeture.
Point de vigilance : la date d’expiration du certificat et le périmètre exact couvert doivent être contrôlés. Un certificat valide pour une activité ou une entité juridique ne doit pas être extrapolé à un service différent sans vérification du périmètre contractuel et technique.
Ces références ne servent pas de décor bibliographique : chacune contrôle une fonction différente de la démonstration — droit applicable, assiette ou données observées, puis effets ou conditions de mise en œuvre.
Un certificat HDS ne dispense pas l’établissement de santé de connaître la chaîne technique réellement utilisée. Le contrôle utile porte sur le titulaire du certificat, les activités couvertes, la version du référentiel, les sous-traitants, les lieux d’hébergement, les sauvegardes, la réversibilité et la procédure de sortie. Une migration vers un prestataire certifié mais sans inventaire contractuel complet peut déplacer le risque au lieu de le réduire.
La réussite de la mesure se mesure donc par des preuves opérationnelles : part des traitements couverts par une certification valide, délai de restauration testé, taux de sous-traitants identifiés, capacité à exporter les données dans un format exploitable, incidents de sécurité et temps nécessaire à une réversibilité complète. Ces indicateurs évitent de confondre conformité documentaire et résilience effective du système de soins.
L’article L.1111-8 du Code de la santé publique impose qu’un hébergeur numérique de données de santé à caractère personnel soit titulaire d’un certificat de conformité délivré par un organisme de certification accrédité.
Interprétation / proposition Delta-Sierra : Comment préserver un niveau de sécurité vérifiable tout en évitant qu’une certification soit présentée comme une garantie absolue ? L’hébergement de données de santé relève d’exigences spécifiques de certification, de sécurité et de protection des données.
Le contrôle doit porter sur le périmètre réellement certifié, les sous-traitants, les accès privilégiés, la localisation des traitements et la réponse aux incidents.
Une organisation peut être certifiée tout en conservant des faiblesses opérationnelles liées aux identités, configurations ou chaînes de sous-traitance.
La certification est un plancher de gouvernance, pas une preuve d’invulnérabilité ; le maintien du dispositif doit donc s’accompagner d’exigences d’exploitation.
Le cas suivant est révélateur : Un hébergeur certifié peut rester vulnérable à un compte administrateur compromis ; la gestion des identités doit donc être évaluée indépendamment du certificat.
Le coût d’un hébergement certifié doit être comparé au niveau de risque et aux coûts potentiels d’incident ; une économie de court terme sur la sécurité peut créer une exposition beaucoup plus élevée.
les audits doivent suivre incidents, délais de correction, accès administrateurs, tests de restauration, sous-traitants critiques et portée exacte de la certification.
Les contrats doivent être revus à chaque renouvellement et après incident majeur, avec possibilité de migration si les exigences ne sont plus satisfaites.
Décision de fond — La certification est un plancher de gouvernance, pas une preuve d’invulnérabilité ; le maintien du dispositif doit donc s’accompagner d’exigences d’exploitation.
La certification HDS est ici traitée comme une condition de sécurité et de conformité, non comme une ligne d’économie autonome. Si une mutualisation d’hébergement, un marché commun ou une migration d’infrastructure produit ultérieurement un gain, cet euro doit être attribué à la ligne qui supprime réellement le coût et non à la présente mesure. Cette règle évite le double compte entre sécurité des données, mutualisation informatique et rationalisation des achats.
Le contrôle financier doit donc distinguer le coût de maintien en conformité, le coût éventuel de migration, les dépenses de réversibilité et toute économie démontrée sur un contrat précis. Tant qu’une économie n’est pas rattachée à une assiette et à un propriétaire budgétaire identifiés, elle reste hors agrégation.
Le grand livre des économies et la réalité budgétaire ne sont pas la même chose. Une mesure peut ne revendiquer aucune économie autonome tout en créant une dépense, une perte de recettes, un transfert ou un coût de transition. Le tableau ci-dessous sépare explicitement ces notions.
Classification prudente : aucun effet budgétaire n’est déclaré non applicable par défaut.
Le coût de la résilience est publié comme coût de service, pas masqué dans une « économie ». À l’inverse, le coût théorique d’une panne majeure ne doit pas servir de rendement automatique. Lorsqu’un incident réel survient, son impact permet d’améliorer les modèles de risque. Cette doctrine donne au décideur une vue plus honnête : la sécurité est un investissement avec un niveau de service attendu, non une promesse magique d’économies futures.
Pour prolonger « 5.06 — Maintenir les hébergeurs de données de santé certifiés », ces deux ouvrages replacent la réforme sanitaire dans le financement global de l’État, la simplification administrative et les usages encadrés de l’intelligence artificielle.
Le dossier fondateur : finances publiques, structures, calendrier et mesures.
Voir le livre et la lecture gratuite →
Comment utiliser l’intelligence artificielle pour simplifier, accélérer et améliorer les services publics.
Découvrir le livre →
