Passage de l’agrément à la certification : ce qui change pour les hébergeurs de données de santé

Le coup d’envoi du passage de l’agrément à la certification pour l’hébergement des données de santé a été donné au printemps 2018 par un arrêté. Après le décret 2018-137 du 26 février 2018, cet arrêté du 11 juin, publié au Journal officiel le 29 juin, approuve ainsi les référentiels d’accréditation des organismes certificateurs et de certification pour l’hébergement de données de santé à caractère personnel. Les premiers organismes certificateurs ont ainsi pu se rapprocher du Cofrac pour obtenir l’accréditation et attribuer les premières certifications. Au 30 novembre 2018, ils étaient sept organismes recensés sur le site de l’Agence nationale de la santé numérique (Asip Santé) : Afnor Certification, Bureau Veritas Certification France, BSI Group France, Ernst & Young CertifyPoint, International Certification Trust Services (ICTS), LNE et LSTI (voir tableau). Et trois certifications avaient été attribuées (liste sur le site de l’Asip Santé). Le premier à accéder à ce document a été le GIP Mipih (Midi Picardie informatique hospitalière). Ont suivi Microsoft et Cheops Technology France. Les représentants de la majorité de ces entreprises étaient présents à la journée nationale des industriels organisée le 21 novembre 2018 par l’Asip Santé. L’occasion de revenir sur les différences entre agrément et certification et les étapes pour obtenir ce nouveau certificat.

Des changements en terme d’exigences

“Nous sommes passé d’un dispositif purement franco-français quasiment administratif à un nouveau dispositif complètement aux normes internationales. L’agrément comportait un certain nombre d’exigences, qui se retrouvent dans la certification mais nous les avons fait correspondre avec les normes ISO”, indique Frédéric Law-Dune, chargé de mission expert Architecture et référentiels du pôle urbanisation et services de confiance de l’Asip Santé. La norme prépondérante étant l’ISO 27 001. « Pour l’agrément nous répondions à 76 exigences de sécurité. Le référentiel est aujourd’hui constitué sur l’ISO 27 001 avec 224 points de contrôles », détaille Christian Espiasse, responsable sécurité des systèmes d’information (RSSI) et délégué à la protection des données (DPO) du GIP Mipih.