Prix de la certification HDS : les vrais postes de coût à budgéter

Combien coûte la certification HDS ? Question légitime, réponse honnête : il n’existe ni tarif réglementé ni barème public, et tout montant annoncé sans étude de votre périmètre relève de la devinette. Ce qui se budgète en revanche très bien, ce sont les postes de coût — ils sont connus, stables, et vous pouvez les chiffrer par des devis. Voici la structure complète d’un budget HDS, et les leviers qui le font baisser.

Pourquoi il n’y a pas de « prix de la certification HDS »

La certification est délivrée par des organismes certificateurs accrédités (par le COFRAC en France, ou un accréditeur européen équivalent), qui fixent librement leurs honoraires. Le devis dépend mécaniquement du périmètre : certificat « hébergeur d’infrastructure physique » (activités sites physiques et infrastructure matérielle), certificat « hébergeur infogéreur » (infrastructure virtuelle, plateforme applicative, administration-exploitation, sauvegarde), ou les deux ; nombre de sites ; taille et complexité du système d’information. Deux candidats peuvent recevoir des devis très différents pour la même liste d’activités, simplement parce que leurs architectures n’ont rien à voir.

Conséquence pratique : comparez toujours plusieurs certificateurs à périmètre strictement identique — même liste d’activités, mêmes sites, même description du système. C’est la seule comparaison qui ait un sens.

Poste 1 — Les audits, sur tout le cycle de trois ans

Le certificat HDS vaut trois ans. Le coût d’audit ne se limite donc pas à l’audit initial :

Moment	Prestation	Fréquence
Année 1	Audit de certification (documentaire + sur site)	Une fois
Années 2 et 3	Audits de surveillance	Annuels
Échéance des 3 ans	Audit de renouvellement	À chaque cycle

Budgétez le cycle complet, pas la première année : c’est sur trois ans que les devis se comparent. Intégrez aussi le scénario défavorable : des non-conformités non corrigées dans le délai de trois mois imposent de repasser l’audit sur site, à vos frais. Un audit à blanc bien mené coûte toujours moins cher qu’un audit repassé.

Poste 2 — La mise en conformité : le vrai poste dominant

Dans la plupart des projets, l’essentiel du budget n’est pas chez le certificateur : il est dans le chantier interne. Le référentiel, publié par l’Agence du Numérique en Santé, combine un socle ISO 27001 — un système de management de la sécurité complet — et des exigences propres à la santé. Selon votre point de départ, cela recouvre :

• la construction ou la mise à niveau du SMSI : analyse de risques, politiques, procédures, plan de continuité ;
• les investissements techniques : contrôle d’accès, chiffrement, journalisation, supervision, sécurité physique le cas échéant ;
• la refonte contractuelle : le référentiel impose des clauses spécifiques dans les contrats avec vos clients — un chantier juridique souvent sous-estimé ;
• le temps des équipes, poste invisible mais bien réel : le SMSI mobilise la direction, l’IT, le juridique et le commercial ;
• l’accompagnement externe éventuel (conseil, audit à blanc), utile si vous manquez de compétences internes en management de la sécurité.

La littérature académique sur ISO 27001 confirme cette structure de coût : la revue systématique de Culot et ses coauteurs, publiée en 2021 dans The TQM Journal, relève que l’effort d’implémentation du standard — ressources internes, expertise, maintien dans la durée — constitue l’investissement principal, loin devant les frais de certification proprement dits (voir l’étude). Le même raisonnement vaut pour le référentiel HDS, qui incorpore ce socle. Nous détaillons la mécanique budgétaire du socle dans notre article sur le prix de la certification ISO 27001.

Poste 3 — Le maintien dans la durée

Le certificat n’est pas un achat ponctuel : c’est un abonnement à un niveau d’exigence. Entre deux audits, il faut faire vivre le système — revues de direction, audits internes, gestion des incidents, veille sur le référentiel (révisé en 2024, avec de nouvelles exigences de localisation dans l’EEE et de transparence : voyez ce qui change avec le référentiel 2024). Prévoyez ce coût récurrent dans vos prix de vente : les hébergeurs certifiés intègrent structurellement ce niveau d’exigence dans leur modèle économique.

Les leviers qui font vraiment baisser la facture

1. Capitaliser sur une certification ISO 27001 existante. C’est le levier le plus puissant : le socle étant commun, une certification en cours de validité sur le bon périmètre concentre l’effort résiduel sur les exigences propres à la santé.
2. Resserrer le périmètre. Ne certifiez que les activités que vous assurez réellement ; déléguez le reste à des sous-traitants déjà certifiés. Chaque activité et chaque site ajoutés se paient à l’audit — mais attention à ne pas exclure une activité que vous opérez en propre, sous peine d’être hors la loi sur celle-ci (qui doit être certifié, activité par activité).
3. Mettre les certificateurs en concurrence. Plusieurs organismes accrédités opèrent sur ce marché : des devis à périmètre identique révèlent des écarts réels, sur le prix comme sur les délais.
4. Investir dans l’audit à blanc. Sécuriser le passage évite le surcoût le plus rageant : l’audit sur site à repasser faute d’avoir corrigé les non-conformités dans les trois mois.

Raisonner en retour sur investissement

Le bon cadre d’analyse n’est pas « combien coûte le certificat » mais « que vaut l’accès au marché ». L’hébergement de données de santé pour le compte de tiers est fermé aux non-certifiés : sans certificat, pas d’offre légale possible, et vos prospects — tenus de choisir des hébergeurs certifiés — vérifieront votre présence sur la liste publique de l’ANS. Le budget HDS s’évalue donc contre le chiffre d’affaires du marché qu’il ouvre, et contre le coût, autrement élevé, d’un incident de sécurité sur des données de santé.

Passez à l’action

Établissez votre périmètre, sollicitez plusieurs devis comparables et chiffrez le chantier interne avant de vous engager : c’est la mise en conformité, pas l’audit, qui fera votre budget. La fiche certification HDS vous donne la vue d’ensemble du dispositif, et l’ebook offert qui l’accompagne inclut la méthode complète, du cadrage au renouvellement.