Réponse courte : ISO/IEC 27001 spécifie un système de management de la sécurité de l'information (SMSI) : comment une organisation identifie ses risques d'information, choisit des contrôles, les met en œuvre et les améliore, avec un auditeur certifiant le résultat. Son complément, ISO/IEC 27002, décrit les contrôles eux-mêmes. ISO 27799 (informatique de santé : management de la sécurité de l'information dans le domaine de la santé utilisant ISO/IEC 27002) reprend ces contrôles et explique comment les appliquer aux informations de santé personnelles : exigences minimales, risques spécifiques à la santé et contrôles qu'un hôpital ou un fournisseur de logiciels de santé devrait considérer comme obligatoires plutôt qu'optionnels. Vous vous certifiez selon la norme 27001 ; vous utilisez la norme 27799 pour décider de ce que le certificat doit couvrir lorsque les données sont des données de santé. Les hôpitaux et les programmes nationaux demandent de plus en plus le certificat, ainsi qu'une preuve que les spécificités de la santé ont été prises en compte, ou un schéma national qui les intègre.
ISO/IEC 27001:2022 en un paragraphe
ISO/IEC 27001:2022 est la norme internationale certifiable pour un système de management de la sécurité de l'information. Les clauses 4 à 10 définissent les exigences relatives au contexte, au leadership, à la planification basée sur les risques, au support, à l'exploitation, à l'évaluation des performances et à l'amélioration ; l'Annexe A liste 93 contrôles répartis en quatre thèmes, sélectionnés et justifiés dans une Déclaration d'Applicabilité. La certification implique un audit en deux étapes, une surveillance annuelle et une recertification tous les trois ans.
La norme comporte dix clauses ; les clauses 4 à 10 constituent les exigences : contexte et domaine d'application, leadership, planification (évaluation et traitement des risques, objectifs), support (ressources, compétence, documentation), exploitation, évaluation des performances (surveillance, audit interne, revue de direction) et amélioration. L'Annexe A liste 93 contrôles répartis en quatre thèmes (organisationnels, humains, physiques, technologiques), réorganisés en 2022 par rapport aux 114 contrôles de l'édition 2013, avec de nouveaux contrôles pour le renseignement sur les menaces, les services cloud, la préparation des TIC à la continuité des activités, le masquage des données, la prévention des fuites de données, la surveillance, le filtrage web et le codage sécurisé. Vous n'êtes pas obligé de mettre en œuvre tous les contrôles ; vous devez justifier, dans une Déclaration d'applicabilité, ceux que vous appliquez et pourquoi les autres ne sont pas pertinents. La certification comprend un audit de phase 1 et de phase 2, suivi d'une surveillance annuelle et d'une recertification tous les trois ans.
Ce qu'ajoute ISO 27799
ISO 27799 ajoute des directives spécifiques à la santé aux contrôles ISO/IEC 27002 : pour les informations personnelles de santé, elle rend plusieurs contrôles obligatoires, notamment l'identification unique des utilisateurs, le contrôle d'accès basé sur les rôles et les relations de soins, l'enregistrement de chaque accès aux dossiers de santé, le chiffrement sur les appareils mobiles et en transit, l'élimination sécurisée, la gestion des incidents et la continuité des activités, et elle décrit les menaces spécifiques aux organisations de santé.
La norme 27799 (édition actuelle 2016) passe en revue les contrôles de la norme 27002 et, pour chacun, indique ce que les organisations de santé devraient faire. Elle élève plusieurs contrôles de "devrait considérer" à "doit" : une politique de sécurité de l'information documentée spécifique aux informations de santé ; une identification unique des utilisateurs (pas de comptes partagés dans les systèmes cliniques) ; un contrôle d'accès basé sur le rôle et la relation de soins ; l'enregistrement d'audit de chaque accès aux informations de santé personnelles, conservé et consultable ; le chiffrement des informations de santé sur les appareils mobiles et en transit ; l'élimination sécurisée ; la gestion des incidents incluant les violations de la vie privée ; et la continuité des activités car un dossier indisponible peut nuire à un patient. Elle explique également les menaces spécifiques à la santé : la consultation interne des dossiers de personnes connues, le classement erroné entre patients, le point faible des extraits de recherche, et les longs délais de conservation qui exposent les anciennes données.
Les deux ensemble, et les voisins
ISO/IEC 27001 et ISO 27799 fonctionnent ensemble : 27001 est le système de management certifiable et 27799 les directives du secteur de la santé sur les contrôles à inclure. Les normes et programmes voisins couvrent les besoins : ISO 27701 pour la confidentialité, ISO 27017 et 27018 pour le cloud, SOC 2 et HITRUST pour les clients américains, HDS (France), C5 (Allemagne), le NHS DSPT (Angleterre) et ENS (Espagne) pour les marchés publics nationaux.
| Norme ou schéma | Type | Utilisation |
|---|---|---|
| ISO/IEC 27001:2022 | Exigences de SMSI certifiables | Le certificat demandé par les hôpitaux et les appels d'offres |
| ISO/IEC 27002:2022 | Guide de contrôle | Mise en œuvre des contrôles de l'Annexe A |
| ISO 27799:2016 | Guide du secteur de la santé | Définition du périmètre et justification des contrôles pour les données de santé ; preuve dans la diligence raisonnable |
| ISO/IEC 27701:2019 | Extension de la confidentialité à 27001/27002 | Démontrer la gestion de la confidentialité conforme au RGPD en tant que responsable du traitement et sous-traitant |
| ISO/IEC 27017 et 27018 | Guide de sécurité et de confidentialité dans le cloud | Fournisseurs de cloud et SaaS traitant des données personnelles |
| SOC 2 (AICPA) | Rapport d'attestation américain (Type I ou II) sur les critères de confiance | Clients et investisseurs américains ; pas un certificat |
| HITRUST CSF | Cadre et certification américains pour la santé | Systèmes de santé et payeurs américains qui l'exigent |
| HDS (France) | Certification obligatoire pour l'hébergement de données de santé en France | Tout fournisseur hébergeant des données de santé françaises ; basé sur la norme 27001 |
| C5 (Allemagne) | Attestation cloud du BSI | Secteur public allemand et marchés hospitaliers |
| NHS DSPT (Angleterre) | Boîte à outils d'auto-évaluation annuelle | Tout fournisseur du NHS |
| ENS (Espagne) | Cadre national de sécurité | Systèmes du secteur public espagnol |
| IEC 81001-5-1 | Cycle de vie sécurisé des produits pour les logiciels de santé | Cybersécurité des logiciels de dispositifs médicaux, en complément de la norme IEC 62304 |
La plupart de ces normes se recoupent largement avec l'ensemble des contrôles de la norme 27001 ; les organisations cartographient une fois et réutilisent les preuves. Plusieurs schémas nationaux (HDS, C5, ENS) sont basés sur la norme 27001 et ajoutent des exigences sectorielles ou nationales, c'est pourquoi la norme 27001 est le premier certificat judicieux pour une entreprise de technologie de la santé vendant en Europe.
Quoi certifier, et quand
Pour une entreprise de santé numérique vendant en Europe, l'ordre habituel est de certifier d'abord ISO/IEC 27001, en l'appliquant à la plateforme et aux équipes qui l'exploitent, après avoir mis en œuvre les contrôles de santé d'ISO 27799 (journaux d'accès par dossier, accès basé sur la relation, chiffrement, pas de comptes partagés, restaurations testées), puis d'ajouter ISO 27701, HDS, C5 ou SOC 2 lorsqu'un marché les exige.
- Définissez un périmètre étroit et honnête : la plateforme et les équipes qui l'exploitent, pas les ordinateurs portables de toute l'entreprise, sauf s'ils touchent aux données. Les hôpitaux lisent la déclaration de périmètre.
- Mettez en œuvre les spécificités de la santé avant même la certification : journaux d'accès par dossier patient, accès basé sur le rôle et la relation, chiffrement partout, pas de comptes partagés, restaurations testées. Le questionnaire de sécurité d'un hôpital demande ces éléments ; la norme 27799 en est la liste de contrôle.
- Certifiez d'abord la norme 27001, ajoutez la norme 27701 si vous traitez en tant que responsable du traitement et sous-traitant pour de nombreux clients, ajoutez HDS ou C5 lorsqu'un marché l'exige, SOC 2 lorsque les clients américains le font.
- Gardez le lien avec le RGPD visible : l'article 32 demande une sécurité appropriée au risque, et un certificat 27001 avec un périmètre informé par la norme 27799 est le moyen le plus reconnu de le démontrer. La section mesures de l'analyse d'impact relative à la protection des données (AIPD) et le plan de traitement des risques du SMSI devraient être la même liste. Voir AIPD pour une application de santé.
- La directive NIS2 (pour les entités concernées) et la mise à jour proposée de la règle de sécurité HIPAA ressemblent toutes deux à l'Annexe A de la norme 27001 avec une authentification multifacteur obligatoire et un rapport d'incidents ; un seul SMSI répond aux trois. Voir NIS2 pour les hôpitaux et les fournisseurs.
Chez Anpheros
Anpheros gère son programme de sécurité selon la structure de la norme ISO 27001 avec les contrôles de santé que la norme 27799 considère comme obligatoires : journaux d'accès par dossier que la personne peut lire, accès limité par consentement et par temps, chiffrement au repos et en transit, hébergement dans l'UE, pas de comptes partagés, sauvegardes testées, et un processus d'incident respectant l'horloge de 72 heures du RGPD. Le site développeur documente la sécurité de la plateforme et l'audit a été réalisé lors de la revue de sécurité d'octobre 2026.
Cette page explique la réglementation pour les équipes produit et ingénierie. Il ne s'agit pas d'un avis juridique ; les textes liés dans les Sources font autorité, et votre délégué à la protection des données, organisme notifié ou conseiller décide pour votre cas. Dernière révision : octobre 2026.
Pages associées
- NIS2 pour les hôpitaux et les fournisseurs de technologies de la santé
- AIPD pour une application de santé
- HIPAA vs RGPD
- Qui a consulté mon dossier médical ?
- Carte de la réglementation des données de santé
- Sécurité de la plateforme (site développeur)
Sources
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Informatique de santé : management de la sécurité de l'information dans le domaine de la santé utilisant ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (France) : Certification HDS
- BSI (Allemagne) : Catalogue de critères C5
- NHS England : Data Security and Protection Toolkit
Questions fréquentes
Puis-je obtenir une certification ISO 27799 ?
Non. La norme 27799 est un guide ; les organismes de certification certifient la norme ISO/IEC 27001. Vous pouvez faire référence à la norme 27799 dans le périmètre et la déclaration d'applicabilité de la norme 27001 afin que le certificat couvre de manière démontrable les contrôles spécifiques à la santé.
SOC 2 est-il équivalent à ISO 27001 ?
Ils se recoupent mais diffèrent par leur nature : SOC 2 est un rapport d'auditeur sur les contrôles sur une période donnée par rapport à des critères de confiance, courant aux États-Unis ; 27001 est un système de management certifié, courant en Europe et à l'international. De nombreuses entreprises de technologie de la santé détiennent les deux.
Ai-je besoin de la certification HDS pour servir les cliniques françaises ?
Si vous hébergez des données de santé pour des prestataires de soins français, oui : la certification HDS est une exigence légale en vertu du code de la santé publique français, et la plupart des clients français ne signeront pas sans elle. Elle s'appuie sur la norme 27001, commencez donc par celle-ci.
Combien de temps prend la certification ISO 27001 ?
Pour un périmètre ciblé avec une équipe engagée, six à douze mois du début à l'obtention du certificat, la majeure partie du temps étant consacrée à la mise en œuvre concrète des contrôles et à la collecte de preuves. L'audit lui-même dure quelques jours.
Essayez gratuitement dans le sandbox
Votre premier appel FHIR en 5 minutes. Une API HL7 FHIR R4 avec le consentement du patient intégré : essayez-la dans le bac à sable, puis connectez votre propre application ou système de clinique.
Gratuit · 30 patients synthétiques · sans carte
Anpheros développe un dossier médical que le patient contrôle et peut partager avec n'importe quelle clinique, sur une plateforme HL7 FHIR R4, basée en UE. Ces guides vous aident à comprendre et organiser votre santé ; ils ne remplacent pas votre médecin.
À propos d'Anpheros →