NIS2 est la règle européenne de cybersécurité que la Belgique a transposée par la loi du 26 avril 2024 et qui s'applique depuis le 18 octobre 2024 aux prestataires de soins, dont les hôpitaux. Qui y est soumis doit maîtriser les risques cyber au moyen de mesures fixes et notifier tout incident grave dans les 24 et 72 heures ; l'organe de direction en est juridiquement responsable. Les hôpitaux de plus grande taille sont des entités essentielles soumises à certification ou à inspection, ceux de taille moyenne des entités importantes soumises à un contrôle a posteriori. Le Centre pour la Cybersécurité Belgique exerce le contrôle et le ministre fédéral de la Santé publique est l'autorité sectorielle.
", "last_verified": "2026-10-08", "verification_outdated": false, "sections": [ { "id": "en-bref", "title": "En bref", "kind": "tekst", "html": "NIS2 est la directive européenne relative à la sécurité des réseaux et des systèmes d'information, transposée en Belgique par la loi du 26 avril 2024, qui est entrée en vigueur le 18 octobre 2024[1] et qui abroge la loi NIS1 du 7 avril 2019[1]. La loi impose des obligations de cybersécurité aux organisations des secteurs critiques ; les soins de santé y figurent comme secteur à l'annexe I[1]. La règle principale s'applique aux entités publiques ou privées de l'annexe I ou II qui sont au moins de taille moyenne selon la définition européenne des PME (recommandation 2003/361/CE), dans les limites des articles 4 et 6[1], et qui sont établies en Belgique et fournissent des services ou exercent des activités dans l'UE[1].
\nLa loi distingue deux catégories. Une entité essentielle est une entité de l'annexe I qui dépasse les plafonds fixés pour les moyennes entreprises ; une entité importante est toute autre entité de l'annexe I ou II relevant du champ d'application[1]. Pour les hôpitaux, cela signifie : les hôpitaux au-dessus de ces plafonds sont essentiels, les hôpitaux de taille moyenne sont importants[2]. Une identification indépendamment de la taille reste possible dans les cas prévus par la loi[1]. Indépendamment de la taille, la loi s'applique également aux entités qui ont été identifiées comme entité critique en vertu de la loi du 19 décembre 2025[1].
\nLe contrôle est organisé au niveau fédéral. L'arrêté d'exécution du 9 juin 2024 désigne le Centre pour la Cybersécurité Belgique (CCB) comme autorité nationale de cybersécurité[4] ; le CCB est également le CSIRT national, le point de notification des incidents[10]. Pour les entités de soins dont les activités ne relèvent pas du domaine pharmaceutique ni des dispositifs médicaux, l'autorité sectorielle est le ministre fédéral de la Santé publique ou son délégué[4].
" }, { "id": "ce-qui-est-obligatoire-pour-qui-a-quelles-conditions", "title": "Ce qui est obligatoire, pour qui, à quelles conditions ?", "kind": "tekst", "html": "Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour leurs réseaux et systèmes d'information[1], sur la base d'une politique de sécurité de l'information fondée sur une analyse des risques fondée sur une approche \"tous risques\"[1]. L'entité reste elle-même responsable de cette analyse de risques ainsi que du choix et de la mise en œuvre des mesures[1].
\n| Mesure | \nFondement | \n
|---|---|
| Continuité des activités, gestion des sauvegardes, plans d'urgence et gestion de crise | \n[1] | \n
| Sécurité des relations avec les fournisseurs et prestataires de services directs | \n[1] | \n
| Sécurité lors de l'acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités | \n[1] | \n
| Cyberhygiène et formation | \n[1] | \n
| Authentification multifacteur ou continue et communications sécurisées, le cas échéant | \n[1] | \n
L'organe de direction approuve les mesures, exerce la surveillance et est responsable des violations[1] ; ses membres suivent une formation[1]. La ministre flamande parle de responsabilité finale et de responsabilité juridique personnelle de l'organe de direction de l'institution de soins[3].
\nLa notification NIS2 coexiste avec l'obligation de notification du RGPD : la loi ne porte pas atteinte au RGPD[1], et la notification RGPD à l'autorité de contrôle suit un délai propre de 72 heures après la prise de connaissance, sauf si un risque n'est pas probable[11]. En cas de violation de données à caractère personnel, les services d'inspection collaborent avec les autorités de protection des données[1] et informent celles-ci en cas de violation possible soumise à l'obligation de notification du RGPD[1] ; avec l'autorisation du CCB, la communication aux personnes concernées peut être omise lorsqu'elle compromet le contrôle[1].
\nUn incident est significatif lorsqu'il a des conséquences significatives pour un service de l'annexe I ou II[1], notamment lorsqu'il cause ou peut causer une perturbation opérationnelle grave ou des pertes financières[1], ou lorsqu'il cause ou peut causer un dommage considérable à d'autres personnes[1].
\n| Étape | \nDélai | \nFondement | \n
|---|---|---|
| Notification au CSIRT national | \nSans délai, pour tout incident significatif | \n[1] | \n
| Alerte précoce | \nAu plus tard 24 heures après la prise de connaissance | \n[1] | \n
| Notification d'incident | \nAu plus tard 72 heures après la prise de connaissance | \n[1] | \n
| Rapport final | \nAu plus tard un mois après la notification d'incident | \n[1] | \n
| Incident en cours | \nRapport d'avancement ; rapport final dans un délai d'un mois après le traitement | \n[1] | \n
| Destinataires des services | \nInformer sans délai, le cas échéant | \n[1] | \n
| Dimension | \nEntité essentielle | \nEntité importante | \nFondement | \n
|---|---|---|---|
| Enregistrement | \nDans les cinq mois suivant l'entrée en vigueur ou l'identification | \nIdem | \n[1] | \n
| Évaluation de la conformité | \nObligatoire à intervalles réguliers | \nPossible sur base volontaire | \n[1] | \n
| Contrôle | \nCertification (art. 22 AR) ou service d'inspection (art. 23 AR, avec rapport d'avancement dans les 30 mois) | \nA posteriori, en cas d'indices de non-respect | \n[4][1] | \n
| Amélioration continue | \nÀ démontrer | \nÀ démontrer | \n[4] | \n
Le Roi peut imposer des mesures de gestion des risques supplémentaires après consultation du CCB, de l'autorité sectorielle et des entités fédérées ; aucun arrêté en ce sens dans les soins de santé n'a été trouvé[1]. Les entités essentielles qui optent pour la certification disposent de 18 mois pour les premières obligations[4] et de 30 mois pour la phase de certification[4], via le cadre CyFun du CCB ou ISO 27001. Indépendamment de NIS2, il existe pour les hôpitaux les normes de sécurité de l'information (MNM) de la Plate-forme eHealth avec un outil de maturité[12] ; la Plate-forme eHealth et la Banque Carrefour de la Sécurité Sociale relèvent elles-mêmes aussi de NIS2[13], avec un premier point de mesure le 18 avril 2026[13].
\nSelon le CCB, cité par la ministre flamande, les hôpitaux généraux et psychiatriques, les woonzorgcentra et les services de soins infirmiers à domicile relèvent de NIS2 s'ils comptent au moins 50 travailleurs ou plus de 10 millions d'euros de chiffre d'affaires ou de total du bilan[3]. Il s'agit d'une simplification : juridiquement, c'est la définition des PME de la recommandation 2003/361/CE qui s'applique[1], dans laquelle l'effectif et le chiffre d'affaires ou le total du bilan comptent ensemble, y compris au niveau des entreprises liées, de sorte que la règle simple du « ou » peut conduire à une mauvaise évaluation (interprétation). Cette recommandation fixe le plafond d'effectif à moins de 250 personnes, avec un chiffre d'affaires jusqu'à 50 millions d'euros ou un total du bilan jusqu'à 43 millions d'euros[14] ; une entreprise partenaire commence à 25 % ou plus du capital ou des droits de vote[14], les entreprises liées notamment en cas de majorité des droits de vote[14]. La loi NIS2 exclut l'art. 3, par. 4, de l'annexe[1] et prévoit que le CCB tient compte, pour la taille, de l'indépendance par rapport aux entreprises partenaires et liées[1]. Les structures flamandes de l'aide sociale et des soins ne relèvent pas du niveau d'assurance le plus élevé, contrairement aux hôpitaux[3]. Le Departement Zorg a été évalué comme entité essentielle[15] et a été identifié définitivement comme tel le 9 avril 2026[16] ; chaque entité du domaine politique WVG a entre-temps reçu une décision définitive du CCB[17]. VASGAZ ne relève pas de la directive[15].
" }, { "id": "en-vigueur-depuis-quand-et-qu-est-ce-qui-suit", "title": "En vigueur depuis quand, et qu'est-ce qui suit ?", "kind": "tekst", "html": "| Quand | \nQuoi | \nNature | \n
|---|---|---|
| 18 octobre 2024 | \nentrée en vigueur de la loi du 26 avril 2024[1] ; enregistrement dans les cinq mois[1] | \nen vigueur | \n
| 18 avril 2026 | \npremières obligations de la voie de certification ou d'inspection pour les entités essentielles, échéance que le CCB qualifie de date limite contraignante[4][18] | \ndélai | \n
| 18 avril 2027 | \ncertification ou rapport d'avancement pour les entités essentielles[4] ; le ministre a qualifié cette date de date limite pour la conformité complète[19] ; selon un message secondaire du 18 août 2026, le CCB a communiqué cette date limite pour l'évaluation de conformité[5] | \ndélai | \n
| 18 avril 2028 | \nselon ce même message secondaire (texte primaire du CCB non consulté), date ultime à laquelle un plan de remédiation doit atteindre le niveau Essential, pour ceux qui ne peuvent pas démontrer le niveau CyFun Essential[5] | \ndélai, source secondaire | \n
La mise en œuvre pratique, avec les cadres de conformité, les notifications, les chiffres de maturité, le soutien du CCB et les initiatives sectorielles comme SHIELD, figure sur NIS2 dans les hôpitaux : mise en œuvre et contrôle. Auprès de l'autorité sectorielle pour les soins de santé, quinze notifications étaient enregistrées au 23 septembre 2025[20]. Selon ce même message, cette approche vaut quelle que soit la voie suivie (CyFun, ISO/IEC 27001 ou service d'inspection) et la communication ne modifie pas les délais de la loi et de l'arrêté d'exécution[5]. Le 20 janvier 2026, la Commission européenne a proposé des modifications ciblées de NIS2 (non mentionnées comme adoptées sur la page de la Commission consultée)[21]. Le ministre fédéral a déclaré en juin 2026 que le SPF collabore avec SHIELD via le BMF pour l'échange de processus, de procédures et de directives en matière de cybersécurité[9] et a annoncé en outre une peer review annuelle avec les hôpitaux[9]. Pour les produits DME, une voie européenne distincte est en cours : la conformité au Cyber Resilience Act est démontrée via la procédure de conformité EHDS[22] ; voir Exigences EHDS pour les systèmes de DME (chapitre III).
" }, { "id": "qu-est-ce-que-cela-signifie-pour-un-hopital", "title": "Qu'est-ce que cela signifie pour un hôpital ?", "kind": "tekst", "html": "Gouvernance : l'organe de direction approuve les mesures, exerce la surveillance et est responsable[1].
\nFournisseurs : la sécurité des relations avec les fournisseurs directs fait partie de la gestion des risques[1], avec une attention aux vulnérabilités, à la qualité des produits, aux pratiques de sécurité et au développement sécurisé[1]. Les fournisseurs d'informatique en nuage, de centres de données, de services gérés et de services de sécurité relèvent de la loi lorsque leur établissement principal se situe en Belgique[1] ; cela vaut pour ces catégories, et aucune information n'a été trouvée sur le point de savoir si un fournisseur de DPI en relève. Un fournisseur peut lui-même être confronté aux obligations via la chaîne d'approvisionnement[23] ; qu'un incident chez un fournisseur touche les hôpitaux est apparu lorsque des hôpitaux ont déconnecté leurs portails patients après une attaque contre un fournisseur de DPI[9].
\nNotification : 24 heures pour l'alerte précoce, 72 heures pour la notification, un mois pour le rapport final[1].
\nDélais : pour les entités essentielles, avril 2026 et avril 2027[4] ; pour les entités importantes, un contrôle a posteriori, avec une évaluation de conformité volontaire comme option[1].
\nÉtat du secteur : selon le communiqué de presse fédéral, plus de 90 % des hôpitaux généraux travaillent à la conformité NIS2[24], tandis que le rapport SHIELD/SPF de janvier 2026 affirme que trois hôpitaux sur quatre doivent d'urgence franchir des étapes supplémentaires pour atteindre le niveau de maturité requis[6] et que seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau requis[6]. Le CCB offre un soutien opérationnel[25].
\nFinancement : selon une republication du communiqué de presse fédéral, il s'agissait de 20 millions d'euros en 2022, de 40 millions d'euros en 2024 et structurellement de 15 millions d'euros par an, soit ensemble 105 millions d'euros depuis 2022[7] ; depuis le 1er janvier 2025, l'art. 61bis de l'arrêté royal BMF règle un budget de cybersécurité dans la sous-partie B4[8], réparti selon la circulaire du 27 mai 2025 entre 80 % de financement individuel et 15 % de financement collectif et 5 % pour les « contributeurs »[26]. La Flandre ne prévoit pas de moyens structurels supplémentaires pour les structures d'aide sociale et de soins[3]. Détails sur Financement de la cybersécurité des hôpitaux.
\nRecommandation (propre) : traitez NIS2, les MNM eHealth et ISO 27001 comme des cadres distincts, avec leur propre charge de preuve, et tenez par obligation un registre des preuves et des responsabilités (administration, fournisseurs, notification). Fixez dans les contrats avec les fournisseurs de DPI et les autres fournisseurs critiques la rapidité avec laquelle ils escaladent les incidents, afin que le délai de 24 heures reste réalisable, et vérifiez séparément si un incident requiert aussi une notification de fuite de données au titre du RGPD.
\n