En bref : Comparer HDS vs TGV donne un chiffre net : HDS v2, la certification française d’hébergement des données de santé, ne recoupe que 12 des 382 critères de la grille TGV, et ISO 22301, la norme de continuité d’activité, n’en recoupe que 7. Deux certifications sérieuses, mais bâties pour un périmètre étroit, pas pour une grille généraliste qui couvre aussi la vie privée, l’intelligence artificielle et l’interopérabilité.
Dans cet article
HDS vs TGV : pourquoi si peu de correspondances ?
HDS v2 et ISO 22301 ne sont pas des certifications faibles : ce sont des référentiels spécialisés, chacun bâti pour répondre à une seule question précise, alors que la TGV est une grille généraliste construite pour en couvrir sept à la fois. Un référentiel qui répond parfaitement à une seule de ces sept familles ne peut, mathématiquement, recouper qu’une fraction de la grille. C’est le prix de la spécialisation.
Cet article clôt une série de treize comparaisons entre la TGV (Trousse globale de vérification, le processus de certification du réseau de la santé québécois) et les référentiels de sécurité et de conformité les plus cités par nos clients. Le dossier pilier des 1302 correspondances entre la TGV et treize référentiels regroupe l’ensemble de l’exercice. HDS v2 et ISO 22301 ferment la marche, et de loin.
Le contraste est net. SOC 2, le cadre d’audit de l’AICPA (l’institut américain des comptables professionnels agréés) le plus répandu chez les éditeurs de logiciels, aligne 220 correspondances avec la TGV. NIST 800-66, le guide américain de sécurité de l’information en santé publié par le National Institute of Standards and Technology, en aligne 149. HDS v2 n’en aligne que 12, ISO 22301 que 7.
Depuis la mise à jour du 24 avril 2026, la grille TGV compte 382 critères répartis en sept familles :
- Sécurité : 112 critères
- Protection des renseignements personnels : 108 critères
- Intelligence artificielle : 69 critères
- Interopérabilité : 58 critères
- Technique : 26 critères
- Performance : 7 critères
- Gouvernance : 2 critères
Que couvre la certification HDS v2 pour l’hébergement des données de santé ?
HDS, pour hébergeurs de données de santé, est une certification administrée par l’Agence du Numérique en Santé (ANS) en France. Elle s’adresse aux entreprises qui hébergent, pour le compte de tiers, des données de santé à caractère personnel : centres de données, plateformes infonuagiques, éditeurs qui hébergent eux-mêmes leur solution.
Son objet est étroit et clair :
- sécurité physique et logique de l’infrastructure d’hébergement
- disponibilité des systèmes
- encadrement contractuel de la sous-traitance
Un organisme certificateur accrédité audite cette conformité contre un référentiel publié par l’ANS.
Les 12 correspondances avec la TGV se trouvent presque toutes dans la famille sécurité de la grille québécoise et, dans une moindre mesure, dans la famille technique. HDS v2 ne touche à peu près pas à la protection des renseignements personnels telle que la TGV la définit, ni à l’intelligence artificielle, ni à l’interopérabilité avec les systèmes du réseau de la santé québécois.
Concrètement, si votre produit est hébergé chez un fournisseur certifié HDS v2, vous disposez d’une preuve solide pour une douzaine de critères de sécurité et d’infrastructure. Vous n’avez rien démontré pour les 370 autres.
Que couvre ISO 22301, la norme de continuité pour le secteur de la santé ?
ISO 22301 est la norme internationale de gestion de la continuité d’activité, publiée par l’Organisation internationale de normalisation. Une organisation certifiée démontre qu’elle a mis en place un système de gestion pour se préparer aux incidents, y répondre et reprendre ses activités, avec des objectifs de reprise définis et des exercices périodiques.
C’est une norme de processus, pas une norme technique. Elle ne prescrit pas de contrôles de sécurité précis. Elle exige que l’organisation ait un plan, qu’elle le teste et qu’elle l’améliore.
Ses 7 correspondances avec la TGV touchent la famille sécurité, sur les aspects de continuité et de reprise après sinistre, et un peu la famille gouvernance. Le reste de la grille, soit la vie privée, l’intelligence artificielle, l’interopérabilité et la performance, échappe entièrement au périmètre d’ISO 22301.
Une entreprise certifiée ISO 22301 a démontré qu’elle sait revenir en ligne après un incident. Elle n’a rien démontré sur la façon dont les données de ses patients sont protégées au quotidien.
Comment ces chiffres se comparent-ils aux autres référentiels analysés ?
Le tableau suivant situe HDS v2 et ISO 22301 (HDS vs TGV et ISO 22301 vs TGV) parmi les référentiels les plus et les moins alignés de la série.
| Référentiel | Correspondances avec la TGV | Nature du référentiel |
|---|---|---|
| SOC 2 (AICPA) | 220 | Cadre d’audit généraliste : sécurité et disponibilité |
| NIST 800-66 (NIST) | 149 | Guide sectoriel santé : sécurité de l’information |
| HDS v2 (ANS) | 12 | Certification spécialisée : hébergement de données de santé |
| ISO 22301 | 7 | Norme spécialisée : continuité d’activité |
Aucun des treize référentiels analysés dans cette série, pris individuellement, ne couvre à lui seul les sept familles de la grille TGV. Même SOC 2, le mieux aligné avec 220 correspondances sur 382 critères, laisse tout de même 162 critères sans équivalent direct.
Ce n’est pas une faiblesse des référentiels. C’est une confirmation que la TGV a été construite comme une grille propre au Québec, avec ses propres exigences de protection des renseignements personnels sous la Loi 25 et ses propres critères d’interopérabilité avec les systèmes du réseau de la santé, qu’aucun référentiel étranger n’a été conçu pour anticiper.
Une certification HDS ou ISO 22301 est-elle inutile pour la TGV ?
Non, mais il faut être honnête sur ce qu’elle vaut (HDS vs TGV et ISO 22301 vs TGV se jouent sur un périmètre étroit). Une certification HDS v2 ou ISO 22301 en cours de validité est une preuve utilisable pour les critères précis qu’elle recoupe. Elle raccourcit votre dossier là où elle s’applique. Elle ne le remplace jamais.
Le risque, pour un dirigeant pressé, est de surestimer ce que le certificat couvre. Nous voyons régulièrement des équipes présenter leur certification ISO 22301 comme une réponse à la famille protection des renseignements personnels de la TGV, 108 critères à elle seule, alors qu’elle ne l’aborde à peu près pas. Ce n’est pas de la mauvaise foi. C’est une confusion entre avoir un plan de continuité et protéger des renseignements personnels conformément à la Loi 25, deux choses qui n’ont presque rien en commun.
Un exemple concret aide à voir la limite. La famille sécurité de la TGV compte 112 critères, sur la gestion des accès, le chiffrement, la journalisation, la gestion des incidents. HDS v2 en couvre une partie, celle qui touche le chiffrement et la journalisation de l’infrastructure d’hébergement. Il ne dit rien sur la gestion des accès à l’intérieur de votre application : ce contrôle reste votre responsabilité, pas celle de votre hébergeur, et il fait partie des critères que votre dossier TGV devra démontrer par ses propres moyens.
Que faire si vous détenez déjà l’un de ces certificats ?
Trois gestes, dans l’ordre.
- Sortez le rapport d’audit ou le certificat et identifiez précisément quelles exigences il couvre, pas seulement son titre. Le champ d’application du certificat, ce que les auditeurs appellent le « scope », en dit plus que son nom.
- Faites correspondre ce champ d’application aux critères de la grille TGV en vigueur, famille par famille. C’est un exercice de cartographie, pas une conformité automatique : une preuve qui couvre 80 % d’un critère n’est pas une preuve qui le couvre.
- Concentrez ensuite votre effort sur les familles que votre certificat ne touche pas du tout. Pour HDS v2 et ISO 22301, ce sont presque toujours la protection des renseignements personnels, l’intelligence artificielle et l’interopérabilité, les trois familles qui pèsent le plus lourd après la sécurité dans la grille de 382 critères.
Cette logique de conversion, transformer un programme existant en dossier TGV plutôt que repartir de zéro, est la même que nous décrivons dans notre comparatif RGPD, ISO 27701 et TGV : le travail déjà fait ne se jette pas, il se réoriente.
Par où commencer votre cartographie ?
Le point de départ reste le même peu importe le certificat que vous détenez déjà : un premier passage honnête de la grille TGV, critère par critère, pour voir ce qui est couvert, ce qui est partiellement couvert et ce qui manque entièrement.
Pour un hébergeur certifié HDS v2 ou un éditeur certifié ISO 22301, cet exercice va vite sur les critères de sécurité et de continuité, et ralentit sur tout le reste. C’est normal. C’est aussi exactement l’information dont vous avez besoin pour budgéter et planifier votre démarche.
Nous accompagnons des fournisseurs de santé numérique dans cette cartographie, y compris pour HDS vs TGV et ISO 22301 vs TGV, en tenant compte des certifications qu’ils détiennent déjà plutôt qu’en ignorant le travail accompli. Si vous détenez un certificat spécialisé et que vous vous demandez ce qu’il couvre réellement dans une démarche TGV, vous pouvez planifier un appel exploratoire sur votre certification TGV avec Factero : trente minutes suffisent pour situer votre écart réel.
Pour aller plus loin avec Factero :
Foire aux questions
La certification TGV est-elle obligatoire pour tous les fournisseurs de santé numérique au Québec ?
Non, seulement pour les produits et services qui collectent ou gèrent des données de santé, s’intègrent aux actifs numériques partagés du réseau, ou se déploient dans plusieurs établissements avec accès web, selon le Bureau de certification. Un produit hors de ce périmètre n’a pas à l’obtenir. Les tests d’intrusion, eux, sont un prérequis pour tout produit ou service qui utilise des données personnelles, de santé et de services sociaux.
Combien de temps restent valides une certification HDS et une certification TGV ?
Trois ans pour HDS v2, avec des audits de surveillance annuels, selon l’Agence du Numérique en Santé. Cinq ans pour la TGV, avec une reconduction tacite d’un an à chaque autodéclaration acceptée par le Bureau de certification. Les deux calendriers ne s’alignent pas : un renouvellement HDS ne dispense jamais de l’autodéclaration annuelle exigée pour garder la certification TGV active.
Combien coûte l’obtention de la certification TGV ?
Le Bureau de certification ne publie aucun tarif fixe. Les frais sont entièrement à la charge du fournisseur, non remboursables, et varient selon la complexité du produit et l’ampleur des objectifs d’interopérabilité visés. Des frais additionnels s’ajoutent si des correctifs sont nécessaires pour répondre aux exigences. Prévoyez un budget variable plutôt qu’un chiffre unique, et validez-le tôt avec le Bureau.
Faut-il obtenir HDS v2 ou ISO 22301 avant de viser la certification TGV ?
Pas nécessairement. Que ce soit pour HDS vs TGV ou pour ISO 22301 vs TGV, aucun des deux n’est un prérequis, et chacun ne couvre qu’une fraction étroite des 382 critères : 12 pour HDS v2, 7 pour ISO 22301. Si vous détenez déjà l’un ou l’autre, gardez-le : il raccourcit une partie du dossier. Si vous partez de zéro, rien n’empêche de viser la TGV directement plutôt que de passer par un certificat spécialisé d’abord.
Sources citées
- Certification des hébergeurs de données de santé, HDS (Agence du Numérique en Santé)
- À propos de la certification des produits et services technologiques (MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- Trust Services Criteria — SOC 2 (AICPA & CIMA)
- ISO 22301:2019, systèmes de management de la continuité d’activité
