Financement de la cybersécurité des hôpitaux

• Quoi : les moyens fédéraux pour la cybersécurité des hôpitaux comprennent 20 millions d'euros en 2022, une tranche unique en 2024 et, structurellement, 15 millions d'euros par an^[1][2] ; le communiqué de presse fédéral de janvier 2026 compte au total 105 millions d'euros depuis 2022^[3][4].

• Base juridique : depuis le 1er janvier 2025, l'art. 61bis de l'AR BMF règle un budget de cybersécurité dans la sous-partie B4^[5], dans sa forme actuelle fixée par l'AR du 30 mai 2026^[5].

• Répartition : la circulaire du SPF du 27 mai 2025 cite 15.606.000 euros, répartis en 80 % de financement individuel, 15 % de financement collectif et 5 % pour des « contributeurs »^[6].

• Collectif : la partie collective finance l'affiliation à « une organisation tierce (Shield vzw ou autre) » et des marchés publics sectoriels via un hôpital sélectionné avec un contrat B4^[6].

• Conditions : la circulaire annonce le paiement ; les modalités, les critères d'admission et les sanctions suivraient plus tard par AR^[6].

• Incertitude : selon la circulaire, le pilier individuel démarre le 1er juillet 2025^[6], selon l'art. 61bis § 1 le 1er janvier 2025^[5].

• Flandre : la Flandre ne prévoit pas de financement structurel supplémentaire de la cybersécurité pour les structures de bien-être et de soins^[7].

Cette page rassemble la manière dont la cybersécurité des hôpitaux belges est financée : les budgets fédéraux par année issus des réponses parlementaires et des communiqués de presse, l'ancrage légal à l'art. 61bis de l'AR BMF et la circulaire du SPF relative au budget cyber du 27 mai 2025. Le cadre légal lui-même figure sur NIS2 et cybersécurité dans les soins de santé ; l'organisation citée nommément dans la circulaire, sur SHIELD asbl.

Budgets fédéraux par année.

Art. 61bis de l'AR BMF. L'art. 61bis actuel a été remplacé par l'AR du 30 mai 2026, avec effet au 1er janvier 2025^[5]. Le paragraphe 1 prévoit un financement individuel : 10.674.505 euros pour les hôpitaux généraux et 1.810.296,17 euros pour les hôpitaux psychiatriques^[5]. L'art. 61bis § 2 (sous-partie B4 du BMF, à côté des lignes BMUC pour le DPI décrites sur BMUC : financement du DPI intégré) finance à partir du 1er janvier 2025, avec 1.381.013,96 euros (hôpitaux généraux) et 234.207,05 euros (hôpitaux psychiatriques), répartis de manière égale, les coûts collectifs de l'affiliation à une tierce partie^[5]. L'AR ne nomme pas cette tierce partie. Les réponses parlementaires et le communiqué de presse fédéral de janvier 2026 parlent de 15 millions d'euros par an sans citer l'art. 61bis^[1][3] ; de même, le ministre ne cite pas l'art. 61bis lorsqu'il situe la collaboration avec SHIELD asbl parmi les interventions via le BMF^[8].

Circulaire du SPF relative au budget cybersécurité du 27 mai 2025. Selon la circulaire, le budget fédéral de cybersécurité s'élève, à partir de 2025, à 15.606.000 euros, conditionné à la démonstration de résultats concrets et réparti entre 80 % de financement individuel, 15 % de financement collectif et 5 % pour les « contributeurs »^[6]. La circulaire établit elle-même le lien avec les 15 millions d'euros : ce budget a été attribué en 2023, et 2025 poursuit les efforts avec le budget total indexé^[6]. Pour le pilier individuel, 12.484.800 euros sont alloués dans le budget des moyens financiers au 1er juillet 2025^[6]. La circulaire annonce que les modalités précises, les critères d'éligibilité et les sanctions éventuelles seront définis ultérieurement par arrêté royal^[6] ; les hôpitaux devaient introduire avant le 30 juin 2025 un formulaire déclaratif et, avant le 31 octobre 2025, leurs preuves^[6].

Le volet collectif se compose de 1.615.221 euros pour les frais d'adhésion à un organisme tiers et de 725.679 euros pour deux appels d'offres sectoriels annuels via un hôpital sélectionné agissant en tant que centrale d'achat sous la responsabilité de l'État, par un contrat B4^[6] ; la ligne des frais d'adhésion est nouvelle à partir de 2025 et représente 69 % du budget collectif^[6]. La circulaire motive cette nouvelle ligne par le fait que la centrale d'achat de l'État est limitée par les thématiques et les responsabilités du premier volet du budget collectif (les appels d'offres sectoriels)^[6] ; cette gestion est confiée depuis 2024 à l'hôpital sélectionné^[6]. La circulaire annonce qu'une quote-part « sera versée » à chaque hôpital souhaitant adhérer à « tout organisme tiers (Shield vzw ou autre) » proposant des services cyber ; la version néerlandaise parle de « een derde organisatie (Shield vzw of andere) »^[6][9]. Selon la clé de répartition, 1.381.013,96 euros vont aux hôpitaux généraux et 234.207,05 euros aux hôpitaux psychiatriques, chaque enveloppe étant répartie de manière égale entre les hôpitaux^[6]. Pour cela, un hôpital doit fournir un contrat avec l'organisme tiers sélectionné et un plan d'action détaillant les tâches de cet organisme tiers^[6]. L'argent va donc aux hôpitaux et non directement à SHIELD, et le dispositif est aussi ouvert à d'autres organismes^[6]. Le pilier « contributeur » (780.300 euros) finance notamment des peer reviews^[6].

Articulation de la circulaire et de l'art. 61bis. Interprétation : 80 % de 15.606.000 euros (12.484.800 euros) coïncide, à l'arrondi près, avec la somme des montants individuels de l'art. 61bis § 1, et la part des frais d'adhésion avec l'art. 61bis § 2 ; le budget d'environ 15 millions d'euros est donc en grande partie ancré dans le BMF^[6][5]. Pour l'adhésion, la circulaire retient exactement les mêmes montants et la même répartition que l'art. 61bis § 2^[6], mais ne renvoie elle-même pas à l'art. 61bis ; elle mentionne en revanche que les modalités suivront plus tard par AR^[6]. Interprétation : le lien entre l'art. 61bis § 2 et SHIELD est ainsi solidement étayé mais non exclusif : l'AR lui-même ne cite aucun nom, et la circulaire autorise expressément aussi d'autres organismes tiers^[5][6]. Il n'a pas été trouvé quelles autres organisations les hôpitaux ont choisies dans le cadre de ce dispositif (lacune).

Répartition des moyens

Pas encore de diagramme. Candidat : répartition de 15.606.000 euros (80/15/5) avec le lien vers l'art. 61bis § 1 et § 2 et le contrat B4.

Constats : les moyens cyber fédéraux pour les hôpitaux consistent en des tranches uniques (2022, 2024) et un budget annuel structurel d'environ 15 millions d'euros^[1][3], qui est depuis le 1er janvier 2025 en grande partie ancré dans l'art. 61bis de l'AR BMF^[5]. Dans son avis sur les besoins 2027, le CFEH cite NIS-2 comme l'un des moteurs de la transformation numérique dont les coûts croissants doivent être correctement financés^[10].

• Condition de financement : à partir de 2025, la circulaire prévoit une part égale par hôpital pour l'affiliation à une organisation tierce pour des projets cyber partagés, moyennant un contrat et un plan d'action^[6] ; SHIELD y est citée, mais n'est pas la seule organisation possible^[6].
• Financement (réglementaire) : des moyens fédéraux pour la cybermaturité issus de réponses parlementaires^[1] et, comme régime BMF légal, le budget de cybersécurité de l'art. 61bis (à partir du 1/1/2025)^[5].
• Recommandation : conservez ensemble, par année, le formulaire de déclaration, le contrat avec l'organisation tierce, le plan d'action et les pièces justificatives, afin qu'ils puissent être rattachés aux modalités ultérieures de l'AR.

Conditions de mise en œuvre et limites

Selon la circulaire, le budget dépend de résultats démontrables^[6]. Pour le financement BMF de l'affiliation, un contrat avec un plan d'action est nécessaire^[6].

• Montants parlementaires vs. BMF. Les « 15 millions d'euros de manière structurelle »^[1] et le budget de l'art. 61bis^[5] ne sont pas reliés entre eux dans les sources parlementaires ; la circulaire de 2025 qualifie les 15.606.000 euros de prolongement indexé des 15 millions d'euros de 2023 et rend l'articulation avec l'art. 61bis largement visible par des montants identiques^[6]. Pour la partie marchés publics, la circulaire cite un contrat B4 avec l'hôpital sélectionné, et non l'art. 61bis^[6] ; pour le pilier « contributeurs », aucun fondement BMF n'a été trouvé (lacune).
• Date d'entrée en vigueur du pilier individuel. La circulaire cite le budget des moyens financiers à partir du 1er juillet 2025^[6], l'art. 61bis § 1 un budget à partir du 1er janvier 2025 (valeur au 1/1/2025), fixé par l'AR du 30 mai 2026, donc après la circulaire^[5].
• Montant 2024. 40 millions d'euros (octobre 2024)^[1] contre 39,5 millions d'euros une seule fois, octroyés le 1er janvier 2025 (septembre 2025)^[2]. Le communiqué de presse fédéral de janvier 2026 cite 40 millions d'euros pour 2024^[3][4].
• Art. 61bis et SHIELD. Solidement étayé mais pas exclusif (voir ci-dessus)^[5][6] ; le ministre ne cite pas l'art. 61bis^[8].
• Circulaire : une annonce, pas une preuve de paiement. La circulaire annonce le paiement et renvoie pour les modalités à un AR ultérieur^[6] ; les paiements effectifs aux hôpitaux et le nombre d'hôpitaux ayant choisi SHIELD n'ont pas été trouvés (lacune).
• Moyens flamands. La Flandre ne prévoit pas de financement cyber structurel supplémentaire pour les structures de bien-être et de soins^[7] ; des moyens cyber flamands spécifiques pour les hôpitaux n'ont pas été trouvés (lacune, pas une preuve d'absence).
• Lacunes. Non trouvé : une circulaire budget cyber 2026, les paiements effectifs par hôpital, les organisations tierces choisies.