HDS activité 5 : l'éditeur qui administre sa production doit-il être certifié ?

Votre hébergeur est certifié HDS sur les six activités. Votre application tourne dans sa région française. Et pourtant, la personne qui se connecte à la production un vendredi soir pour corriger un incident n'est couverte par aucun certificat. C'est le cas le plus courant chez les éditeurs SaaS en santé, et il porte un nom : l'activité 5, l'administration et l'exploitation du système d'information qui contient les données de santé.

L'Agence du numérique en santé (ANS) a mis à jour sa FAQ sur ce point le 22 septembre 2026. Elle précise ce que l'activité couvre, rappelle que le cloud public la laisse souvent au client, et annonce des cas d'usage pour aider chaque acteur à savoir s'il doit se faire certifier. Ce guide reprend ce qui est écrit, ce qui reste à trancher, et les vérifications à faire dès maintenant.

Ce que couvre l'activité 5, selon l'ANS

Le code de la santé publique (article R. 1111-9) découpe l'hébergement de données de santé en six activités. La cinquième est « l'administration et l'exploitation du système d'information contenant les données de santé ». Les quatre premières portent sur l'infrastructure (sites physiques, matériel, infrastructure virtuelle, plateforme d'hébergement d'applications), la sixième sur la sauvegarde.

La FAQ de l'ANS définit l'activité 5 comme la maîtrise des interventions sur les ressources mises à la disposition du client de l'hébergeur. Elle liste quatre tâches qui en font partie :

Définir le processus d'attribution et de revue annuelle des droits d'accès : gestion des comptes, des droits, revue une fois par an. L'ANS précise que cette tâche consiste à définir le processus, pas à le mettre en œuvre.
Sécuriser la procédure d'accès, c'est-à-dire appliquer les mesures de sécurité prévues par cette procédure.
Collecter et conserver les traces des accès et de leurs motifs, aux données comme aux environnements qui les hébergent.
Valider les interventions, pour s'assurer qu'elles ne dégradent pas la sécurité des données, ni pour le client concerné ni pour les autres clients de l'hébergeur. Cette validation peut se faire a priori, pour les interventions que le client mène en autonomie, ou au moment où il sollicite l'hébergeur.

La FAQ conclut : ces tâches doivent être réalisées uniquement par un intervenant certifié HDS sur l'activité 5.

La distinction entre définir un processus et l'appliquer est l'apport le plus utile de la mise à jour. Elle permet de répartir le travail : un acteur certifié peut écrire la procédure d'attribution des droits et en garder la maîtrise, pendant qu'un autre acteur crée les comptes en suivant cette procédure.

Pourquoi la question retombe sur l'éditeur

Un hébergeur doit être certifié sur toutes les activités qu'il est susceptible de fournir. Mais la FAQ rappelle que la prestation fournie à un client donné peut ne couvrir qu'une partie de ces activités. Le certificat dit ce que l'hébergeur sait faire, le contrat dit ce qu'il fait pour vous.

Le cloud public complique la lecture. L'ANS l'écrit : certains hébergeurs, notamment les fournisseurs de cloud public, fonctionnent selon un modèle de responsabilité partagée dans lequel ils délèguent au client les missions et la responsabilité d'administration et d'exploitation du système d'information.

Concrètement, quand vous louez des machines virtuelles, une base managée ou un cluster Kubernetes chez AWS, Azure, Google Cloud, OVHcloud ou Scaleway, l'hébergeur fait tourner l'infrastructure. Ce que vous installez dessus, les comptes qui s'y connectent, les mises à jour que vous poussez et les journaux d'accès restent votre affaire. Le certificat de l'hébergeur peut mentionner l'activité 5 sans que votre contrat la comprenne.

L'ANS en tire la consigne pour le client : vérifier dans le contrat si l'activité 5 figure dans la description des prestations, et si ce n'est pas le cas, être lui-même certifié HDS sur l'activité 5, le cas échéant.

Ce « le cas échéant » renvoie à la règle de base. L'article L. 1111-8 du code de la santé publique vise l'hébergement de données de santé pour le compte d'un tiers. Un éditeur SaaS qui stocke les dossiers patients de cabinets, de centres ou d'établissements héberge pour le compte de ses clients. S'il administre lui-même sa production, il exerce l'activité 5.

Deux pièces contractuelles à ouvrir

La FAQ s'appuie sur deux documents que vous devez déjà avoir, et que peu d'éditeurs ont lus de près.

La clause de description des prestations. L'exigence n° 18 du référentiel HDS impose que le contrat d'hébergement comporte une clause décrivant les prestations réalisées. Elle doit préciser ce qui est réellement fourni au client, pas le catalogue de l'hébergeur.

Le tableau des garanties. L'hébergeur doit le remettre à ses clients pour leur donner plus de transparence sur le périmètre couvert par la certification. Il indique, offre par offre, ce que l'hébergeur assure et ce qu'il vous laisse.

Si ni l'une ni l'autre ne mentionne l'administration et l'exploitation de votre système, l'activité 5 n'est pas couverte par votre hébergeur. Il reste à savoir qui l'exerce.

Trois montages possibles

Montage	Qui exerce l'activité 5	Ce qu'il faut pour être en règle
Cloud public en libre-service, votre équipe administre	Vous	Une certification HDS activité 5 à votre nom
Infogérant certifié activité 5 entre vous et l'hébergeur	L'infogérant	Un contrat qui inclut l'activité 5, et des accès de vos équipes qui passent par sa procédure
Hébergeur dont le contrat inclut l'activité 5 (offre managée)	L'hébergeur	Une clause de prestations qui la mentionne, et des interventions validées par lui

Le premier montage est celui de la plupart des startups au démarrage : un compte cloud en région française, une équipe technique qui déploie et dépanne elle-même. C'est aussi celui où l'écart est le plus fréquent, parce que la certification de l'hébergeur donne l'impression que tout est couvert.

Dans les deux autres montages, vos développeurs n'arrêtent pas pour autant de toucher à la production. La FAQ prévoit le cas : les interventions que le client mène en autonomie doivent être validées a priori par l'acteur certifié. Un accès direct à la base, hors de la procédure de l'infogérant ou de l'hébergeur, vous ramène au premier montage.

Ce qui n'est pas encore tranché

La FAQ du 22 septembre ne règle pas tous les cas. L'ANS l'annonce elle-même : des cas d'usage sont en cours d'élaboration et seront publiés dans la FAQ, pour aider les acteurs à déterminer plus vite leurs obligations sur l'activité 5. L'agence y travaille avec les fédérations professionnelles du numérique en santé, à partir de situations rapportées par leurs adhérents.

Trois situations attendent une réponse claire :

L'administration fonctionnelle par le client final. Quand l'administrateur d'une clinique crée les comptes de ses soignants dans votre application, il ne s'agit pas d'une intervention sur l'infrastructure. La distinction entre définir le processus et l'appliquer va dans le sens d'une tâche non réservée, mais la FAQ ne le dit pas.
Les plateformes managées (PaaS). Selon l'offre, l'hébergeur prend en charge une partie de l'exploitation (mises à jour du système, sauvegardes, supervision) et vous laisse le reste. La frontière dépend du contrat, offre par offre.
L'agence ou le freelance qui maintient l'application. S'il se connecte à la production, il intervient sur le système. Reste à savoir dans quelles conditions cette intervention peut être couverte par la procédure d'un acteur certifié plutôt que par sa propre certification.

À surveiller aussi : la version 2.1 du référentiel HDS, que l'ANS annonçait pour octobre 2026. Elle porte surtout sur la transparence des transferts hors Union européenne et précise qu'un accès distant compte comme un transfert. Au 13 novembre 2026, l'arrêté qui doit l'approuver n'a pas été publié au Journal officiel. Les nouvelles exigences s'appliqueront trois mois après sa publication.

Comment vérifier votre situation

Cinq questions suffisent pour savoir où vous en êtes. Si vous ne pouvez pas répondre à l'une d'elles, c'est elle qu'il faut traiter en premier.

Qui se connecte à la production aujourd'hui ? Listez les personnes et les prestataires qui ont un accès à la console cloud, aux serveurs ou à la base de données, nommément.
Votre contrat d'hébergement mentionne-t-il l'activité 5 ? Lisez la clause de description des prestations, pas la page commerciale.
Avez-vous reçu le tableau des garanties ? S'il manque, demandez-le : l'hébergeur doit vous le remettre.
Qui a écrit la procédure d'attribution des droits, et qui la revoit chaque année ? Si la réponse est « personne », la tâche n° 1 de l'activité 5 n'est pas faite, quel que soit le certificat.
Où sont les journaux d'accès, et combien de temps sont-ils conservés ? Les traces doivent inclure le motif de l'accès, pas seulement l'heure et l'identifiant.

Si vos réponses montrent que votre équipe administre la production sans contrat qui couvre l'activité 5, vous avez deux options : viser vous-même la certification sur cette activité, ou confier l'exploitation à un acteur certifié et faire passer tous vos accès par sa procédure. Le choix dépend de votre taille, de vos clients et de la fréquence de vos interventions. Un établissement de santé qui vous audite posera la question.

Les erreurs qu'on voit le plus souvent

Confondre le certificat et le contrat. « Notre hébergeur est certifié sur les six activités » ne dit rien de ce qu'il fait pour vous. Seul le contrat le dit.

Partager un compte administrateur. Un compte commun empêche de tracer qui a fait quoi, et donc de collecter des traces d'accès avec leur motif. C'est le premier point qu'un auditeur relève.

Oublier les accès d'urgence. L'astreinte, le support d'un prestataire, la clé SSH d'un ancien développeur : ce sont des accès à la production au même titre que les autres, et ils doivent passer par la même procédure.

Croire que l'activité 5 ne concerne que les hébergeurs. La FAQ de l'ANS vise explicitement le client qui administre lui-même son système. Pour un éditeur SaaS en santé, c'est souvent la seule activité du référentiel qu'il exerce, et la plus facile à oublier.

Pour le reste du cadre HDS, notre article sur le référentiel v2 et le décret du 24 mars 2026 détaille la localisation des données dans l'EEE et les huit pièces à réunir, et notre comparatif des hébergeurs HDS donne les activités couvertes et les prix de chaque fournisseur.

Faire le point avec nous

Chez Bob le développeur, nous ne sommes ni hébergeur ni organisme certificateur. Nous construisons des applications de santé sur des hébergeurs certifiés et nous savons où se logent les écarts. Notre audit HDS établit qui exerce l'activité 5 dans votre montage, relit votre contrat et votre tableau des garanties, contrôle la configuration réelle de votre production (accès, journaux, régions, sauvegardes) et vous remet un plan de remédiation chiffré. Pour un accompagnement plus large, voyez notre page accompagnement HDS.

FAQ

Qu'est-ce que l'activité 5 de la certification HDS ?

C'est l'administration et l'exploitation du système d'information qui contient les données de santé, cinquième des six activités définies à l'article R. 1111-9 du code de la santé publique. Selon la FAQ de l'ANS, elle comprend la définition du processus d'attribution et de revue des droits d'accès, la sécurisation de la procédure d'accès, la collecte et la conservation des traces d'accès avec leurs motifs, et la validation des interventions.

Mon hébergeur est certifié HDS sur les six activités : suis-je couvert ?

Pas forcément. La prestation qu'un hébergeur vous fournit peut ne couvrir qu'une partie des activités de son certificat. Chez les fournisseurs de cloud public, le modèle de responsabilité partagée laisse généralement l'administration et l'exploitation au client. Seuls votre contrat (clause de description des prestations) et le tableau des garanties disent si l'activité 5 est assurée pour vous.

Un éditeur SaaS doit-il être certifié HDS activité 5 ?

S'il héberge des données de santé pour le compte de ses clients et qu'il administre lui-même sa production, il exerce l'activité 5. La FAQ de l'ANS lui demande alors soit de s'assurer que son hébergeur fournit cette activité au contrat, soit d'être lui-même certifié sur l'activité 5. Confier l'exploitation à un infogérant certifié est la troisième voie.

Mes développeurs peuvent-ils encore accéder à la production si l'activité 5 est confiée à un tiers certifié ?

Oui, à condition que leurs interventions passent par la procédure de l'acteur certifié. La FAQ prévoit que les interventions menées par le client en autonomie soient validées a priori par celui qui exerce l'activité 5. Un accès direct hors de cette procédure revient à exercer l'activité sans certification.

Quand l'ANS publiera-t-elle les cas d'usage sur l'activité 5 ?

L'ANS indique dans sa FAQ, mise à jour le 22 septembre 2026, que des cas d'usage sont en cours d'élaboration et seront publiés prochainement, sans date. Ils sont construits avec les fédérations professionnelles du numérique en santé, à partir de situations rapportées par les entreprises.

Le référentiel HDS v2.1 change-t-il l'activité 5 ?

La version 2.1 porte surtout sur la transparence des transferts de données hors Union européenne, la soumission à des législations de pays tiers et la certification des tiers archiveurs. Elle considère un accès distant comme un transfert, ce qui concerne directement les accès d'administration depuis l'étranger. Au 13 novembre 2026, son arrêté d'approbation n'était pas paru au Journal officiel.

Sources

Agence du numérique en santé, Hébergement de données de santé (HDS), FAQ, mise à jour du 22 septembre 2026
Agence du numérique en santé, Référentiel HDS v2.1 : les évolutions à anticiper dès maintenant, 13 juillet 2026
Code de la santé publique, articles L. 1111-8 et R. 1111-9