SaaS de santé en Allemagne : votre logiciel a-t-il besoin d'une attestation C5 ?

L'essentiel en bref

• Depuis le 1er juillet 2024, le § 393 du Code social allemand, livre V (SGB V) n'autorise les prestataires de soins conventionnés par l'assurance maladie obligatoire allemande (GKV) ainsi que les caisses d'assurance maladie et d'assurance dépendance à traiter des données de santé dans le cloud que s'ils disposent d'une attestation C5 en cours de validité. L'obligation s'étend à leurs sous-traitants, ce qui inclut la plupart des éditeurs SaaS de santé.
• L'attestation C5 de votre hébergeur ne suffit pas. L'attestation doit porter sur le service qui traite les données, c'est-à-dire votre produit SaaS.
• Depuis le 1er juillet 2025, l'attestation de type 2 est obligatoire. Les services mis sur le marché pour la première fois après le 30 juin 2025 peuvent se contenter d'une attestation de type 1 pendant leurs 18 premiers mois.
• Pour les périodes d'audit de type 2 qui commencent à partir du 1er juin 2027, seul le nouveau catalogue C5:2026 s'applique, avec 168 critères de base au lieu de 121 auparavant.
• En vertu du règlement allemand sur l'équivalence C5 (C5GleichwV), une certification ISO/IEC 27001 peut servir de solution transitoire pendant 24 mois au maximum, à condition qu'un plan contraignant prévoie de combler les écarts avec le C5.

Mon SaaS de santé a-t-il besoin d'une attestation C5 ?

Si vous traitez des données de santé dans le cloud pour le compte d'un cabinet médical, d'une clinique, d'un service de soins ou d'une caisse, la réponse est en règle générale « oui », même si vous n'hébergez rien vous-même et même si votre entreprise est établie hors d'Allemagne. Le critère décisif est avant tout l'identité de vos clients.

Le C5 (Cloud Computing Compliance Criteria Catalogue) est le catalogue de critères publié par l'Office fédéral allemand de la sécurité des technologies de l'information (BSI). À première vue, le § 393 SGB V vise les médecins conventionnés, les hôpitaux, les pharmacies et les professions paramédicales. Mais il concerne non seulement les prestataires de soins visés au chapitre 4 du SGB V et les caisses d'assurance maladie et d'assurance dépendance, mais aussi leurs sous-traitants. Si vous fournissez le logiciel avec lequel ces professionnels traitent des données de patients, vous portez une part importante de la responsabilité en matière de sécurité de l'information. Ce qu'est une attestation C5 et comment se déroule l'audit, nous l'expliquons dans notre guide de l'attestation C5.

Beaucoup d'éditeurs ne découvrent qu'ils sont concernés qu'au moment de la négociation commerciale : le service achats du prospect exige soudain l'attestation C5. Juste avant la signature, cela devient vite rédhibitoire si vous ne disposez ni d'une certification reconnue à titre transitoire ni d'une date précise pour l'attestation de type 2.

Dans les éditeurs en forte croissance, une nouvelle exigence légale se retrouve en concurrence avec de longues listes de tâches et ne reçoit pas toujours tout de suite l'attention nécessaire. Les start-up et scale-up qui développent des logiciels pour les cabinets médicaux, les soignants ou les pharmacies sont elles aussi soumises à l'obligation. Un catalogue de critères de plus de 200 pages ressemble alors vite à un obstacle insurmontable.

Ce tableau vous donne une première orientation :

L'attestation C5 de mon hébergeur suffit-elle ?

Non. Le § 393 exige l'attestation de l'entité qui traite les données (§ 393 Abs. 3 Nr. 2 SGB V), et en tant qu'éditeur SaaS, c'est vous. Vos clients doivent en outre mettre en œuvre les critères complémentaires côté client énumérés dans votre rapport d'audit (§ 393 Abs. 3 Nr. 3 SGB V).

Je rencontre ce malentendu sans cesse dans mes échanges avec des éditeurs SaaS de santé. J'aime l'expliquer par une image : un bâtiment sécurisé ne remplace pas un bureau fermé à clé. De la même manière, l'attestation de l'hébergeur ne remplace pas celle de l'éditeur qui traite les données.

Vous avez tout de même besoin de l'attestation de votre hébergeur. Vis-à-vis de lui, c'est vous qui êtes le client, et vous devez mettre en œuvre ses critères complémentaires côté client pour que votre propre attestation C5 tienne. Votre auditeur exclut l'infrastructure de l'hébergeur de votre audit et s'appuie à la place sur son attestation et son rapport d'audit (méthode dite du carve-out). L'attestation de l'hébergeur est donc une brique de la vôtre, pas un substitut. Une attestation C5 ne couvre jamais que les services audités, jamais le fournisseur dans son ensemble.

Il en va de même pour les sous-traitants ultérieurs. Si vous ne vendez pas directement aux cabinets mais à des éditeurs qui les équipent, le C5 vous concerne tout autant. Un exemple concret : vous proposez une API de transcription basée sur l'IA qu'un éditeur de logiciel de gestion de cabinet médical (PVS) intègre à son produit. Votre cocontractant est l'éditeur du PVS, pas le cabinet. Comme des données de patients transitent malgré tout par votre API, vous êtes sous-traitant ultérieur dans la chaîne. Votre client doit vous répercuter contractuellement les exigences et vous demandera l'attestation C5.

J'entends souvent deux autres idées reçues. L'obligation ne disparaît pas parce que vos clients ne vous l'ont pas encore demandée. Et la pseudonymisation ne vous exonère pas : les données de santé pseudonymisées restent des données à caractère personnel au sens du RGPD. Seules les données entièrement anonymisées sont exclues.

Qu'exige le § 393 SGB V pour les logiciels cloud dans la santé ?

Le § 393 SGB V n'autorise le traitement de données de santé et de données sociales dans le cloud qu'à quatre conditions. L'attestation C5 en fait partie, mais ce n'est pas la seule.

1. Lieu de traitement : le traitement doit avoir lieu en Allemagne, dans l'UE, dans un État assimilé ou dans un pays bénéficiant d'une décision d'adéquation (§ 393 Abs. 2 SGB V). Cela vaut aussi pour les accès : un support client depuis un pays tiers sans décision d'adéquation n'est pas autorisé. Les clauses contractuelles types (CCT) n'y changent rien.
2. Mesures techniques et organisationnelles : l'entreprise qui traite les données doit définir et mettre en œuvre des mesures techniques et organisationnelles de sécurité de l'information appropriées et conformes à l'état de l'art. Le niveau requis dépend du client : cabinets, cliniques et caisses sont soumis à des exigences différentes au titre des §§ 390 et 391 SGB V.
3. Attestation C5 en cours de validité : elle doit couvrir les critères de base du catalogue.
4. Critères côté client : les critères complémentaires destinés aux clients, énumérés dans le rapport d'audit, doivent être mis en œuvre.

Les exigences du livre X du Code social (SGB X) et de la loi fédérale allemande sur la protection des données (BDSG) continuent par ailleurs de s'appliquer. Une attestation C5 ne remplace pas un contrat de sous-traitance en bonne et due forme. Les obligations supplémentaires qu'impose le RGPD sont résumées dans notre aperçu des exigences du RGPD.

L'attestation C5 vous sert aussi sur le plan commercial. Sur demande, vous pouvez faire publier vos systèmes attestés sur la plateforme du Centre de compétences pour l'interopérabilité dans le secteur de la santé (KIG, § 393 Abs. 7 SGB V). Cabinets, cliniques, caisses d'assurance maladie et d'assurance dépendance y trouvent directement votre produit lorsqu'ils cherchent un fournisseur cloud conforme au § 393 SGB V.

C5 type 1 ou type 2 : quelle attestation faut-il au titre du § 393 ?

En principe, le type 2. Sur le fond, les deux types ne diffèrent pas : le type 1 évalue la pertinence des mesures à une date donnée, le type 2 leur efficacité sur une période. Nous détaillons les différences dans notre guide des attestations C5 de type 1 et de type 2.

Jusqu'au 30 juin 2025, une attestation de type 1 suffisait pour le § 393. Depuis le 1er juillet 2025, l'attestation de type 2 est obligatoire. Seule exception : les services mis sur le marché pour la première fois après le 30 juin 2025. Pour eux, une attestation de type 1 suffit pendant les 18 premiers mois, puis le type 2 est exigé à partir du 19e mois.

Pour la planification, c'est la période d'audit qui compte. Selon le BSI, une attestation de type 2 couvre une période d'observation de 6 à 12 mois, comme l'explique l'introduction du BSI au C5. Les mesures doivent produire des preuves dès le premier jour de cette période, par exemple des tickets, des logs ou des revues documentées. L'auditeur prélève des échantillons sur toute la période, et les lacunes ne peuvent pas être comblées a posteriori.

Je recommande donc d'enchaîner la période d'audit de type 2 directement après l'attestation de type 1. Vous évitez ainsi les mauvaises surprises au 19e mois.

Les nouveaux audits se font-ils selon C5:2020 ou C5:2026 ?

Si vous démarrez aujourd'hui, faites-vous attester directement selon C5:2026. Pour les périodes d'audit de type 2 qui commencent à partir du 1er juin 2027, seul le nouveau catalogue s'applique.

Les audits qui se terminent avant le 28 février 2027 peuvent se dérouler entièrement selon C5:2020. Si une période d'audit C5:2020 se termine entre le 28 février et le 31 mai 2027, la description du système doit documenter les changements prévus pour passer au C5:2026.

Le C5:2026 compte 168 critères de base au lieu de 121, plus 89 critères supplémentaires. Pour le § 393 SGB V, seuls les critères de base sont obligatoires. Parmi les nouveautés figurent des exigences relatives au confidential computing, à la cryptographie post-quantique et à la gestion des conteneurs. Certaines exigences existantes, par exemple sur la surveillance de la chaîne d'approvisionnement et le cloisonnement entre clients, ont été renforcées (BSI, historique des modifications C5:2026). Les critères restent répartis en 17 domaines, qui structurent le chapitre 5 du catalogue de critères C5:2026.

Combien de temps prend une attestation C5 et combien coûte-t-elle ?

Avec un SMSI existant selon l'ISO/IEC 27001, il faut compter environ 7 à 14 mois jusqu'à l'attestation de type 2, car la période d'observation dure à elle seule au moins 6 mois. Sans SMSI opérationnel, prévoyez plus prudemment 12 à 20 mois. Comment mettre en place un SMSI de A à Z, nous le décrivons dans un article dédié.

En pratique, la mise en œuvre initiale des critères pose rarement problème. Ce sur quoi j'insiste surtout auprès de mes clients : les preuves doivent être produites sans interruption sur toute la période d'audit. Une revue oubliée au troisième mois ne se rattrape pas.

Les coûts varient eux aussi fortement. Il faut prendre en compte les licences logicielles, le conseil, les honoraires du cabinet d'audit qui délivre l'attestation et la charge interne. Les audits de type 1 simples commencent à quelques dizaines de milliers d'euros, tandis que les audits de type 2 complexes sur des périodes plus longues peuvent atteindre des montants à six chiffres. Les cabinets d'audit fixent librement leurs honoraires. Les audits de suivi annuels coûtent en général moins cher que l'audit initial.

Une certification ISO 27001 peut-elle remplacer l'attestation C5 ?

Seulement à titre transitoire. L'ISO/IEC 27001 est une base solide : le critère OIS-01 du C5:2026 exige même un SMSI construit selon l'ISO/IEC 27001, sans qu'il doive nécessairement être certifié (C5:2026, chapitre 5.1, critère OIS-01). Grâce au règlement sur l'équivalence C5, la certification peut servir de solution transitoire pendant 24 mois au maximum.

Ce règlement exige, en plus de la certification ISO/IEC 27001, que quatre conditions soient remplies (§ 1 Abs. 2 C5GleichwV) :

• Une documentation des écarts recense les critères de base C5 non satisfaits.
• Des mesures techniques et organisationnelles couvrent les écarts identifiés.
• Un plan par jalons prévoit de combler ces écarts dans un délai de 12 mois.
• Des mesures sont prévues pour obtenir l'attestation de type 1 dans les 18 mois et l'attestation de type 2 dans les 24 mois suivant l'établissement du plan par jalons.

Vous devez présenter sans délai le plan de mise en œuvre et le certificat aux clients et aux autorités de contrôle qui en font la demande (§ 1 Abs. 3 C5GleichwV).

C'est pourquoi, dans mes projets, nous commençons toujours par l'ISO/IEC 27001. Ses exigences couvrent de nombreux critères de base importants du catalogue C5 et posent les fondations de votre sécurité de l'information. Après une analyse d'écart, nous construisons sur cette base le système de contrôle propre à votre attestation C5. Le déroulement de l'audit de certification lui-même est présenté dans notre article sur la certification d'un SMSI selon l'ISO 27001.

Comment Kertos accompagne-t-il les éditeurs SaaS de santé vers l'attestation C5 ?

Kertos associe une plateforme de conformité pour les contrôles et les preuves à l'accompagnement d'experts expérimentés, qui suivent votre projet de l'analyse d'écart jusqu'à l'attestation. Que vous soyez une jeune entreprise qui vend son premier produit à des cabinets médicaux ou que vous équipiez de grandes cliniques depuis des années, nous vous aidons à planifier l'attestation C5 de façon à ce qu'elle ne bloque pas vos ventes.

Sur la plateforme, les critères sont structurés de sorte que vous reliez directement les preuves à chaque période d'observation. Des modules de gestion des actifs, des fournisseurs et des risques ainsi que de continuité d'activité et de gestion des incidents couvrent d'autres parties du catalogue. Dans le Trust Center, vous partagez avec vos clients exactement les contenus qu'ils demandent, du rapport d'audit C5 à la liste de vos sous-traitants ultérieurs.

Si vous souhaitez voir comment planifier concrètement votre parcours vers l'attestation C5, réservez une démo Kertos et discutez de votre cas avec nos experts.

Questions fréquentes

Combien coûte une attestation C5 ?

Cela dépend surtout du périmètre de l'audit et du type d'attestation. Les audits de type 1 simples commencent à quelques dizaines de milliers d'euros, les audits de type 2 complexes peuvent atteindre des montants à six chiffres. S'y ajoutent les logiciels, le conseil et la charge interne. Les audits de suivi coûtent en général moins cher que l'audit initial.

Faut-il une attestation C5 de type 1 ou de type 2 ?

En principe, de type 2. Pour un système mis sur le marché pour la première fois après le 30 juin 2025, une attestation de type 1 suffit pendant les 18 premiers mois. À partir du 19e mois, le type 2 est obligatoire (§ 393 Abs. 4 SGB V).

Une certification ISO 27001 suffit-elle pour le § 393 SGB V ?

Seulement à titre transitoire. L'ISO/IEC 27001 est considérée comme équivalente si un plan d'action pour combler les écarts avec le C5 existe en complément. À compter de l'établissement de ce plan, une attestation de type 1 doit suivre dans les 18 mois et une attestation de type 2 dans les 24 mois.

Combien de temps faut-il pour obtenir une attestation C5 de type 2 ?

Avec un SMSI existant selon l'ISO/IEC 27001, environ 7 à 14 mois, sans SMSI plutôt 12 à 20 mois. La plus grande partie correspond à la période d'observation de 6 à 12 mois, à laquelle s'ajoutent la préparation et la rédaction du rapport.

Notre support peut-il accéder aux données de santé depuis un pays hors de l'UE ?

Uniquement depuis l'Allemagne, l'UE, des États assimilés ou des pays tiers bénéficiant d'une décision d'adéquation. Un accès à distance est lui aussi un traitement. Les clauses contractuelles types ne suffisent pas, car le § 393 SGB V ne les prévoit pas comme base juridique.

Que se passe-t-il si nous n'avons pas d'attestation C5 ?

Le § 393 SGB V ne prévoit lui-même aucune amende. Une infraction peut toutefois constituer en même temps une violation du RGPD, et les clients peuvent faire valoir des droits au titre de la garantie. Les prestataires de soins n'ont pas le droit d'utiliser le service sans attestation, c'est pourquoi l'absence d'attestation pose généralement le plus gros problème sur le plan commercial.