NIS2 dans les hôpitaux : mise en œuvre et contrôle

Cette sous-page décrit comment le cadre NIS2 est mis en œuvre dans les hôpitaux et les institutions de soins belges : quels cadres de conformité sont utilisés, ce qui est connu à propos des notifications et de la maturité, quel soutien le CCB et le SPF offrent et quel rôle jouent les initiatives sectorielles. Le cadre légal (champ d'application, mesures, délais de notification, responsabilité des organes de direction) figure sur NIS2 et cybersécurité dans les soins de santé ; le financement sur Financement de la cybersécurité des hôpitaux.

Cadres de conformité : CyFun, ISO 27001 et eHealth-MNM. L'arrêté d'exécution accorde aux entités essentielles qui optent pour la certification 18 mois après l'entrée en vigueur ou l'identification pour les premières obligations^[1] ; dans le trajet ISO/IEC 27001, cette première phase comprend la transmission du champ d'application et de la déclaration d'applicabilité^[1]. La phase de certification a un délai de 30 mois^[1]. Une entité essentielle peut, de manière motivée, faire vérifier un niveau d'assurance inférieur si son analyse de risques le justifie^[1], sous sa propre responsabilité^[1]. Pour les institutions de soins psychiatriques publiques flamandes, une estimation des risques a été réalisée avec le CyFun Selection Tool du CCB, conjointement avec d'autres hôpitaux psychiatriques, des représentants de la plate-forme eHealth et Zorgnet-Icuro^[2]. Indépendamment de NIS2, il existe pour les hôpitaux les normes minimales (MNM) en matière de sécurité de l'information de la Plate-forme eHealth, inspirées de l'ISO 27000, avec un outil de maturité^[3] ; la page de service relie les MNM à la mise en œuvre de la politique de sécurité de l'information par le délégué à la protection des données^[4]. Au sein du domaine politique flamand WVG, des composants de sécurité de Digitaal Vlaanderen et de la plate-forme eHealth sont utilisés^[5].

Notifications dans la pratique (réponses parlementaires).

État des lieux et maturité.

Constatations : le ministre a cité avril 2027 comme échéance pour démontrer la conformité complète^[10]. En septembre 2025, le ministre jugeait prématuré de conclure que tous les hôpitaux disposent d'un plan cyber conforme à NIS2 ; un diagnostic plus précis n'était attendu qu'à partir de mai-juin 2026^[10]. Le SPF Santé publique a annoncé une revue annuelle par les pairs en matière de cybersécurité avec les hôpitaux (planification)^[9]. La mesure de maturité de SHIELD et du SPF indique une grande distance par rapport au niveau requis^[12].

Recommandation : utilisez la mesure de maturité CyFun et l'outil de maturité eHealth-MNM comme des instruments distincts et documentez, pour chaque contrôle, quelle preuve relève de quel cadre.

• État des lieux (communiqué de presse fédéral, janvier 2026) : plus de 90 % des hôpitaux généraux travaillent à la conformité NIS2, mais il reste encore beaucoup de travail^[11] ; chaque mois, des exercices sur la gestion des cyberincidents sont organisés avec les hôpitaux^[11]. Les priorités du programme cyber fédéral, fixées avec le secteur, sont un CSIRT, la cybersecurity awareness et des tests d'intrusion des systèmes d'information^[13] ; les montants figurent sur Financement de la cybersécurité des hôpitaux.

• Soutien du CCB (presse spécialisée) : le CCB, et plus précisément son CERT, offre aux hôpitaux un soutien opérationnel pour anticiper et détecter les cyberincidents et pour y réagir^[14] ; en cas d'incident, il fournit un avis technique et coordonne la réponse^[14]. Il encourage les hôpitaux à enregistrer leurs adresses IP, noms de domaine et technologies dans l'Early Warning System en vue de notifications ciblées de vulnérabilités^[14].

• Soutien (planification) : selon le ministre de la Santé publique (Chambre, 3 juin 2026), le SPF collabore via le BMF avec l'asbl SHIELD pour l'échange de processus, de procédures et de lignes directrices en matière de cybersécurité^[9], et le SPF organisera chaque année une revue par les pairs avec les hôpitaux^[9].

• Initiative sectorielle (bonne pratique, pas d'obligation) : SHIELD asbl est une association de membres et une centrale d'achat pour la cybersécurité dans les soins^[15][16], dans laquelle le SPF Santé publique a également investi selon le communiqué de presse fédéral^[17]. Le rapport « State of cybersecurity in Belgian Hospitals » (janvier 2026) de SHIELD et du SPF a constaté que seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau de maturité requis^[12]. Selon le CEO de SHIELD (interview dans la presse spécialisée, 2026), l'échéance d'avril 2027 dans la feuille de route sectorielle est une proposition au CCB et au SPF, pas un remplacement des obligations légales^[18]. La circulaire du SPF du 27 mai 2025 annonce pour les hôpitaux une part identique pour l'affiliation à « une organisation tierce (Shield vzw ou autre) », avec les mêmes montants que l'art. 61bis § 2 de l'arrêté royal BMF^[19][20] ; les modalités suivraient ultérieurement par arrêté royal^[19]. Interprétation : le lien entre ce « tiers » et SHIELD est ainsi solidement étayé mais pas exclusif ; l'arrêté royal lui-même ne mentionne aucun nom.

Conditions de mise en œuvre et limites

Aucun audit cyber général, aucune auto-évaluation et aucune analyse de risques ne sont demandés aux structures flamandes de l'aide sociale et des soins ; lors du raccordement à des sources authentiques contenant des données médicales, des informations ciblées sur la politique de sécurité de l'information sont bien demandées^[8]. Le Departement Zorg s'attend à atteindre le niveau d'assurance requis, y compris l'attestation ISO 27001/2, dans le délai du 18 avril 2027 (planification)^[2].

• ISO 27001 comme preuve : contradictoire : une certification suffit « moyennant confirmation »^[6], alors que le ministre a dit « automatiquement » le 3 juin 2026^[9] ; voir aussi NIS2 et cybersécurité dans les soins de santé.

• Niveau d'assurance des hôpitaux (flamand vs. fédéral). La ministre flamande affirme que les hôpitaux, contrairement aux structures flamandes de l'aide sociale et des soins, relèvent du niveau d'assurance le plus élevé^[8] ; le ministre fédéral affirme que les hôpitaux de taille moyenne sont reconnus comme entité importante^[6]. Le niveau requis dépend de la classification et de l'analyse de risques CyFun^[1] ; la formulation flamande généralise à tous les hôpitaux. Repris dans le registre des contradictions.

• Maturité des hôpitaux (résultat de recherche SHIELD/SPF). Selon le rapport de janvier 2026 (mesures dans plus de cinquante hôpitaux), trois hôpitaux belges sur quatre doivent d'urgence franchir des étapes supplémentaires pour atteindre le niveau de maturité requis^[12] ; seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau requis^[12]. Selon le communiqué de presse fédéral (republication Belgiumcloud), un hôpital sur quatre atteint le niveau ou s'en approche^[17]. Un député a cité le chiffre au parlement^[21]. Il s'agit d'une auto-mesure au sein d'une initiative sectorielle, pas d'un constat de contrôle.

• Chiffres des incidents. Après septembre 2025, aucun chiffre de notification actuel pour les soins de santé n'a été trouvé^[7] ; la Flandre n'a pas de vue sur les incidents dans les structures de l'aide sociale et des soins^[8]. Non trouvé ne signifie pas qu'il n'y a pas eu de notifications.

• Évaluations. Les résultats des premières évaluations (attendus en mai-juin 2026) n'ont pas été trouvés^[10].