Segundo a [documentação](https://docs.oracle.com/javase/10/docs/api/java/text/SimpleDateFormat.html), a letra "h" minúscula corresponde a "*hour in am/pm*", com valores entre 1 e 12 (ou seja, é um campo ambíguo, que faz mais sentido se você também usar o *pattern* "a", que indica se o horário é AM ou PM).

Para ter as horas com valores entre zero e 23, use "H" maiúsculo:

    SimpleDateFormat format = new SimpleDateFormat("HH:mm:ss");

> Mesmo assim, "hh" deveria retornar "09", qual foi a data usada na formatação?

---

Outro detalhe é que você misturou a API antiga (`TimeZone`) com a API nova (`ZoneId`), mas não há necessidade disso. Ou use uma, ou outra. No caso, como está usando a API antiga, não use `ZoneId`:

```
format.setTimeZone(TimeZone.getTimeZone("America/Sao_Paulo"));
```