Les données de santé, financières et stratégiques migrent vers le cloud plus vite que les cadres qui les encadrent. Le référentiel HDS couvre 6 activités d'hébergement distinctes et impose, depuis sa révision de 2024, la localisation du stockage et du traitement dans l'Union européenne ; le référentiel SecNumCloud 3.2 de l'ANSSI y ajoute des critères capitalistiques et juridiques ; le schéma européen EUCS, qui prévoit 3 niveaux d'assurance, n'est toujours pas adopté.
La pression ne vient plus seulement des autorités de contrôle mais des contrats. DORA s'applique au secteur financier depuis janvier 2025 et impose un registre des prestataires TIC critiques et des clauses de sortie ; NIS2 étend des obligations équivalentes à des milliers d'entités ; et depuis l'arrêt Schrems II, tout transfert hors UE exige une analyse d'impact documentée, y compris sous le Data Privacy Framework. Les clients grands comptes et les appels d'offres publics reprennent désormais ces exigences en annexe technique, bien avant qu'un régulateur ne se manifeste.
La bonne nouvelle est que la conformité se joue moins sur le drapeau du fournisseur que sur la maîtrise des clés et le découpage des traitements. BYOK, HYOK, HSM externalisé, confidential computing et chiffrement applicatif permettent de conserver des charges de travail sur un hyperscaler tout en rendant les données inexploitables sans une clé restée sous contrôle européen. Ce document fournit les critères pour décider quelle donnée relève de quel modèle, et comment documenter ce choix.
Un paysage réglementaire sous tension
Entre un référentiel HDS révisé, un schéma EUCS encore inachevé et une extraterritorialité américaine intacte, les équipes doivent décider aujourd'hui d'architectures qui seront auditées demain. Trois dynamiques expliquent pourquoi le sujet ne peut plus être traité en fin de projet.
Les sections suivantes détaillent ce que couvre réellement chaque référentiel, comment mesurer l'exposition juridique d'une charge de travail et quelles architectures de chiffrement résistent à un contrôle.
Certification HDS : périmètre réel
La certification HDS, issue de l'article L.1111-8 du code de la santé publique, a remplacé l'ancien agrément en 2018 : elle repose sur un socle ISO 27001, complété par des exigences inspirées d'ISO 20000-1 et ISO 27018 et par des obligations propres au secteur de la santé.
Exigez systématiquement le certificat HDS lui-même, pas le logo : vérifiez l'organisme certificateur accrédité, les numéros d'activités couvertes et l'annexe listant les services certifiés. Si votre éditeur SaaS exploite la plateforme, il doit détenir sa propre certification sur les activités 4 à 6 — celle de son IaaS ne le couvre pas.
HDS, SecNumCloud, EUCS : comparatif
HDS, SecNumCloud et EUCS ne répondent pas à la même question : le premier encadre un secteur, le deuxième qualifie un niveau de confiance incluant des critères juridiques, le troisième vise à harmoniser l'évaluation de la cybersécurité des services cloud à l'échelle européenne.
Confondre « cloud de confiance » et qualification effective : une offre opérée en France sous licence d'une technologie américaine n'est pas qualifiée tant que l'ANSSI n'a pas délivré l'attestation, et aucune certification, HDS comprise, ne dispense de réaliser l'analyse de transfert exigée par le chapitre V du RGPD.
Cloud Act et transferts RGPD
Le CLOUD Act de 2018 oblige tout fournisseur relevant de la juridiction américaine à remettre aux autorités les données en sa « possession, garde ou contrôle », quel que soit le pays où ces données sont physiquement stockées.
Architecture de chiffrement BYOK et HYOK
Entre le chiffrement au repos activé par défaut et la maîtrise exclusive des clés, il existe trois modèles distincts dont les garanties juridiques sont très inégales.
Documentez pour chaque flux une seule réponse : qui peut déchiffrer, avec quelle clé et sous quelle juridiction. C'est ce tableau, et non le niveau de certification du fournisseur, qui tiendra devant un auditeur ou une autorité de contrôle.
Ce qu'il faut retenir
- Disposez-vous d'une classification à jour des données hébergées, distinguant les données de santé à caractère personnel, les données financières et les données stratégiques ?
- Avez-vous obtenu et lu le certificat HDS de chacun de vos fournisseurs, avec l'organisme certificateur, les activités couvertes et l'annexe des services certifiés ?
- Avez-vous formalisé une analyse de transfert (TIA) documentant l'exposition de chaque fournisseur et de ses sous-traitants à une juridiction extraterritoriale ?
- Connaissez-vous, pour chaque charge sensible, qui détient matériellement les clés de chiffrement et où s'exécutent les opérations cryptographiques ?
- Avez-vous testé, en conditions réelles, la révocation d'une clé puis la restauration du service associé ?
- Tenez-vous à jour la liste des sous-traitants ultérieurs de vos fournisseurs, avec un plan de réversibilité chiffré en charge et en délai ?
