--- id: nis2-cyberbeveiliging type: LegalAct type_label: Acte législatif title: NIS2 et cybersécurité dans les soins de santé aliases: - nis2-zorg - NIS2 - NIS2-wet - wet van 26 april 2024 - cyberbeveiliging ziekenhuizen - CyFun names: nl: NIS2 en cyberbeveiliging in de zorg fr: NIS2 et cybersécurité dans les soins de santé en: NIS2 and healthcare cybersecurity jurisdiction: - belgie - vlaanderen - eu themes: - identiteit-en-toegang - regelgeving lifecycle: in-werking lifecycle_note: 'En vigueur depuis le 18 octobre 2024 (loi du 26 avril 2024, AR du 9 juin 2024). Entités essentielles: premier délai le 18 avril 2026, certification ou rapport d''avancement pour le 18 avril 2027; situation au 2026-10-08.' version: Loi du 26 avril 2024 ; AR du 9 juin 2024 summary: NIS2 est la règle européenne de cybersécurité que la Belgique a transposée par la loi du 26 avril 2024 et qui s'applique depuis le 18 octobre 2024 aux prestataires de soins, dont les hôpitaux. Qui y est soumis doit maîtriser les risques cyber au moyen de mesures fixes et notifier tout incident grave dans les 24 et 72 heures; l'organe de direction en est juridiquement responsable. Les hôpitaux de plus grande taille sont des entités essentielles soumises à certification ou à inspection, ceux de taille moyenne des entités importantes soumises à un contrôle a posteriori. Le Centre pour la Cybersécurité Belgique exerce le contrôle et le ministre fédéral de la Santé publique est l'autorité sectorielle. links: - soort: documentatie url: https://www.ejustice.just.fgov.be/eli/wet/2024/04/26/2024202344/justel label: Wet van 26 april 2024 (Justel) taal: nl - soort: documentatie url: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/nld label: Richtlijn (EU) 2022/2555 (EUR-Lex) taal: nl - soort: website url: https://digital-strategy.ec.europa.eu/nl/policies/nis2-directive label: NIS2-richtlijn (Europese Commissie) taal: nl last_verified: '2026-10-08' relations: - type: about direction: uit target: fod-volksgezondheid target_url: https://ehealth-atlas.be/fr/spf-sante-publique-securite-de-la-chaine-alimentaire-et-environnement/ status: established - type: about direction: uit target: ehealth-platform target_url: https://ehealth-atlas.be/fr/plate-forme-ehealth/ status: established - type: about direction: uit target: departement-zorg target_url: https://ehealth-atlas.be/fr/departement-zorg/ status: established - type: seeAlso direction: in target: chipsoft-hix target_url: https://ehealth-atlas.be/fr/hix/ status: established - type: about direction: in target: nis2-ziekenhuizen-uitvoering target_url: https://ehealth-atlas.be/fr/nis2-dans-les-hopitaux-mise-en-uvre-et-controle/ status: established release: 2026.11.12-3 url: https://ehealth-atlas.be/fr/nis2-et-cybersecurite-dans-les-soins-de-sante/ license: CC BY 4.0 --- # NIS2 et cybersécurité dans les soins de santé NIS2 est la règle européenne de cybersécurité que la Belgique a transposée par la loi du 26 avril 2024 et qui s'applique depuis le 18 octobre 2024 aux prestataires de soins, dont les hôpitaux. Qui y est soumis doit maîtriser les risques cyber au moyen de mesures fixes et notifier tout incident grave dans les 24 et 72 heures ; l'organe de direction en est juridiquement responsable. Les hôpitaux de plus grande taille sont des entités essentielles soumises à certification ou à inspection, ceux de taille moyenne des entités importantes soumises à un contrôle a posteriori. Le Centre pour la Cybersécurité Belgique exerce le contrôle et le ministre fédéral de la Santé publique est l'autorité sectorielle. ## En bref - **Quoi** : la loi belge NIS2 est entrée en vigueur le 18 octobre 2024[^1], abroge la loi NIS1 de 2019[^1] et inscrit les prestataires de soins comme secteur des soins de santé à l'annexe I[^1]. - **Pour qui** : les hôpitaux de taille moyenne sont des entités importantes, les hôpitaux de plus grande taille des entités essentielles[^2] ; l'organe de direction porte la responsabilité finale et en est juridiquement responsable[^3][^1]. - **Ce qui est exigé** : des mesures techniques, opérationnelles et organisationnelles appropriées sur la base d'une analyse de risques[^1], et la notification de tout incident significatif au CSIRT national, avec une alerte précoce dans les 24 heures et une notification dans les 72 heures[^1]. - **État** : pour les entités essentielles, le 18 avril 2026 constituait le premier délai, et une certification ou un rapport d'avancement suit pour le 18 avril 2027[^4] ; une source secondaire y mentionne un plan de remédiation courant jusqu'au 18 avril 2028, sans texte primaire du CCB[^5]. - **Hôpital** : le rapport SHIELD/SPF de janvier 2026 affirme que trois hôpitaux sur quatre doivent d'urgence franchir des étapes supplémentaires pour atteindre le niveau de maturité requis[^6] et que seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau requis[^6]. - **Argent** : selon une republication du communiqué de presse fédéral, il s'agissait de 20 millions d'euros en 2022, de 40 millions d'euros en 2024 et structurellement de 15 millions d'euros par an[^7] ; depuis le 1er janvier 2025, il existe un budget de cybersécurité dans la sous-partie B4 du BMF[^8]. - **Plus grande incertitude** : si l'ISO 27001 suffit uniquement « moyennant confirmation » par une instance agréée[^2] ou « automatiquement »[^9]. ## Qu'est-ce que c'est ? NIS2 est la directive européenne relative à la sécurité des réseaux et des systèmes d'information, transposée en Belgique par la loi du 26 avril 2024, qui est entrée en vigueur le 18 octobre 2024[^1] et qui abroge la loi NIS1 du 7 avril 2019[^1]. La loi impose des obligations de cybersécurité aux organisations des secteurs critiques ; les soins de santé y figurent comme secteur à l'annexe I[^1]. La règle principale s'applique aux entités publiques ou privées de l'annexe I ou II qui sont au moins de taille moyenne selon la définition européenne des PME (recommandation 2003/361/CE), dans les limites des articles 4 et 6[^1], et qui sont établies en Belgique et fournissent des services ou exercent des activités dans l'UE[^1]. La loi distingue deux catégories. Une **entité essentielle** est une entité de l'annexe I qui dépasse les plafonds fixés pour les moyennes entreprises ; une **entité importante** est toute autre entité de l'annexe I ou II relevant du champ d'application[^1]. Pour les hôpitaux, cela signifie : les hôpitaux au-dessus de ces plafonds sont essentiels, les hôpitaux de taille moyenne sont importants[^2]. Une identification indépendamment de la taille reste possible dans les cas prévus par la loi[^1]. Indépendamment de la taille, la loi s'applique également aux entités qui ont été identifiées comme entité critique en vertu de la loi du 19 décembre 2025[^1]. Le contrôle est organisé au niveau fédéral. L'arrêté d'exécution du 9 juin 2024 désigne le Centre pour la Cybersécurité Belgique (CCB) comme autorité nationale de cybersécurité[^4] ; le CCB est également le **CSIRT** national, le point de notification des incidents[^10]. Pour les entités de soins dont les activités ne relèvent pas du domaine pharmaceutique ni des dispositifs médicaux, l'autorité sectorielle est le ministre fédéral de la Santé publique ou son délégué[^4]. ## Ce qui est obligatoire, pour qui, à quelles conditions ? ### Mesures de gestion des risques Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour leurs réseaux et systèmes d'information[^1], sur la base d'une politique de sécurité de l'information fondée sur une analyse des risques fondée sur une approche "tous risques"[^1]. L'entité reste elle-même responsable de cette analyse de risques ainsi que du choix et de la mise en œuvre des mesures[^1]. | Mesure | Fondement | |---|---| | Continuité des activités, gestion des sauvegardes, plans d'urgence et gestion de crise |[^1] | | Sécurité des relations avec les fournisseurs et prestataires de services directs |[^1] | | Sécurité lors de l'acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités |[^1] | | Cyberhygiène et formation |[^1] | | Authentification multifacteur ou continue et communications sécurisées, le cas échéant |[^1] | L'organe de direction approuve les mesures, exerce la surveillance et est responsable des violations[^1] ; ses membres suivent une formation[^1]. La ministre flamande parle de responsabilité finale et de responsabilité juridique personnelle de l'organe de direction de l'institution de soins[^3]. ### Notification des incidents La notification NIS2 coexiste avec l'obligation de notification du RGPD : la loi ne porte pas atteinte au RGPD[^1], et la notification RGPD à l'autorité de contrôle suit un délai propre de 72 heures après la prise de connaissance, sauf si un risque n'est pas probable[^11]. En cas de violation de données à caractère personnel, les services d'inspection collaborent avec les autorités de protection des données[^1] et informent celles-ci en cas de violation possible soumise à l'obligation de notification du RGPD[^1] ; avec l'autorisation du CCB, la communication aux personnes concernées peut être omise lorsqu'elle compromet le contrôle[^1]. Un incident est significatif lorsqu'il a des conséquences significatives pour un service de l'annexe I ou II[^1], notamment lorsqu'il cause ou peut causer une perturbation opérationnelle grave ou des pertes financières[^1], ou lorsqu'il cause ou peut causer un dommage considérable à d'autres personnes[^1]. | Étape | Délai | Fondement | |---|---|---| | Notification au CSIRT national | Sans délai, pour tout incident significatif |[^1] | | Alerte précoce | Au plus tard 24 heures après la prise de connaissance |[^1] | | Notification d'incident | Au plus tard 72 heures après la prise de connaissance |[^1] | | Rapport final | Au plus tard un mois après la notification d'incident |[^1] | | Incident en cours | Rapport d'avancement ; rapport final dans un délai d'un mois après le traitement |[^1] | | Destinataires des services | Informer sans délai, le cas échéant |[^1] | ### Contrôle par catégorie | Dimension | Entité essentielle | Entité importante | Fondement | |---|---|---|---| | Enregistrement | Dans les cinq mois suivant l'entrée en vigueur ou l'identification | Idem |[^1] | | Évaluation de la conformité | Obligatoire à intervalles réguliers | Possible sur base volontaire |[^1] | | Contrôle | Certification (art. 22 AR) ou service d'inspection (art. 23 AR, avec rapport d'avancement dans les 30 mois) | A posteriori, en cas d'indices de non-respect |[^4][^1] | | Amélioration continue | À démontrer | À démontrer |[^4] | Le Roi peut imposer des mesures de gestion des risques supplémentaires après consultation du CCB, de l'autorité sectorielle et des entités fédérées ; aucun arrêté en ce sens dans les soins de santé n'a été trouvé[^1]. Les entités essentielles qui optent pour la certification disposent de 18 mois pour les premières obligations[^4] et de 30 mois pour la phase de certification[^4], via le cadre CyFun du CCB ou ISO 27001. Indépendamment de NIS2, il existe pour les hôpitaux les normes de sécurité de l'information (MNM) de la [Plate-forme eHealth](https://ehealth-atlas.be/fr/plate-forme-ehealth/) avec un outil de maturité[^12] ; la Plate-forme eHealth et la Banque Carrefour de la Sécurité Sociale relèvent elles-mêmes aussi de NIS2[^13], avec un premier point de mesure le 18 avril 2026[^13]. ### Quelles structures de soins ? Selon le CCB, cité par la ministre flamande, les hôpitaux généraux et psychiatriques, les woonzorgcentra et les services de soins infirmiers à domicile relèvent de NIS2 s'ils comptent au moins 50 travailleurs ou plus de 10 millions d'euros de chiffre d'affaires ou de total du bilan[^3]. Il s'agit d'une simplification : juridiquement, c'est la définition des PME de la recommandation 2003/361/CE qui s'applique[^1], dans laquelle l'effectif et le chiffre d'affaires ou le total du bilan comptent ensemble, y compris au niveau des entreprises liées, de sorte que la règle simple du « ou » peut conduire à une mauvaise évaluation (interprétation). Cette recommandation fixe le plafond d'effectif à moins de 250 personnes, avec un chiffre d'affaires jusqu'à 50 millions d'euros ou un total du bilan jusqu'à 43 millions d'euros[^14] ; une entreprise partenaire commence à 25 % ou plus du capital ou des droits de vote[^14], les entreprises liées notamment en cas de majorité des droits de vote[^14]. La loi NIS2 exclut l'art. 3, par. 4, de l'annexe[^1] et prévoit que le CCB tient compte, pour la taille, de l'indépendance par rapport aux entreprises partenaires et liées[^1]. Les structures flamandes de l'aide sociale et des soins ne relèvent pas du niveau d'assurance le plus élevé, contrairement aux hôpitaux[^3]. Le [Departement Zorg](https://ehealth-atlas.be/fr/departement-zorg/) a été évalué comme entité essentielle[^15] et a été identifié définitivement comme tel le 9 avril 2026[^16] ; chaque entité du domaine politique WVG a entre-temps reçu une décision définitive du CCB[^17]. [VASGAZ](https://ehealth-atlas.be/fr/vasgaz/) ne relève pas de la directive[^15]. ## En vigueur depuis quand, et qu'est-ce qui suit ? | Quand | Quoi | Nature | |---|---|---| | 18 octobre 2024 | entrée en vigueur de la loi du 26 avril 2024[^1] ; enregistrement dans les cinq mois[^1] | en vigueur | | 18 avril 2026 | premières obligations de la voie de certification ou d'inspection pour les entités essentielles, échéance que le CCB qualifie de date limite contraignante[^4][^18] | délai | | 18 avril 2027 | certification ou rapport d'avancement pour les entités essentielles[^4] ; le ministre a qualifié cette date de date limite pour la conformité complète[^19] ; selon un message secondaire du 18 août 2026, le CCB a communiqué cette date limite pour l'évaluation de conformité[^5] | délai | | 18 avril 2028 | selon ce même message secondaire (texte primaire du CCB non consulté), date ultime à laquelle un plan de remédiation doit atteindre le niveau Essential, pour ceux qui ne peuvent pas démontrer le niveau CyFun Essential[^5] | délai, source secondaire | La mise en œuvre pratique, avec les cadres de conformité, les notifications, les chiffres de maturité, le soutien du CCB et les initiatives sectorielles comme [SHIELD](https://ehealth-atlas.be/fr/shield-asbl/), figure sur [NIS2 dans les hôpitaux : mise en œuvre et contrôle](https://ehealth-atlas.be/fr/nis2-dans-les-hopitaux-mise-en-uvre-et-controle/). Auprès de l'autorité sectorielle pour les soins de santé, quinze notifications étaient enregistrées au 23 septembre 2025[^20]. Selon ce même message, cette approche vaut quelle que soit la voie suivie (CyFun, ISO/IEC 27001 ou service d'inspection) et la communication ne modifie pas les délais de la loi et de l'arrêté d'exécution[^5]. Le 20 janvier 2026, la Commission européenne a proposé des modifications ciblées de NIS2 (non mentionnées comme adoptées sur la page de la Commission consultée)[^21]. Le ministre fédéral a déclaré en juin 2026 que le SPF collabore avec SHIELD via le BMF pour l'échange de processus, de procédures et de directives en matière de cybersécurité[^9] et a annoncé en outre une peer review annuelle avec les hôpitaux[^9]. Pour les produits DME, une voie européenne distincte est en cours : la conformité au Cyber Resilience Act est démontrée via la procédure de conformité EHDS[^22] ; voir [Exigences EHDS pour les systèmes de DME (chapitre III)](https://ehealth-atlas.be/fr/exigences-ehds-pour-les-systemes-de-dse/). ## Qu'est-ce que cela signifie pour un hôpital ? - **Gouvernance** : l'organe de direction approuve les mesures, exerce la surveillance et est responsable[^1]. - **Fournisseurs** : la sécurité des relations avec les fournisseurs directs fait partie de la gestion des risques[^1], avec une attention aux vulnérabilités, à la qualité des produits, aux pratiques de sécurité et au développement sécurisé[^1]. Les fournisseurs d'informatique en nuage, de centres de données, de services gérés et de services de sécurité relèvent de la loi lorsque leur établissement principal se situe en Belgique[^1] ; cela vaut pour ces catégories, et aucune information n'a été trouvée sur le point de savoir si un fournisseur de DPI en relève. Un fournisseur peut lui-même être confronté aux obligations via la chaîne d'approvisionnement[^23] ; qu'un incident chez un fournisseur touche les hôpitaux est apparu lorsque des hôpitaux ont déconnecté leurs portails patients après une attaque contre un fournisseur de DPI[^9]. - **Notification** : 24 heures pour l'alerte précoce, 72 heures pour la notification, un mois pour le rapport final[^1]. - **Délais** : pour les entités essentielles, avril 2026 et avril 2027[^4] ; pour les entités importantes, un contrôle a posteriori, avec une évaluation de conformité volontaire comme option[^1]. - **État du secteur** : selon le communiqué de presse fédéral, plus de 90 % des hôpitaux généraux travaillent à la conformité NIS2[^24], tandis que le rapport SHIELD/SPF de janvier 2026 affirme que trois hôpitaux sur quatre doivent d'urgence franchir des étapes supplémentaires pour atteindre le niveau de maturité requis[^6] et que seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau requis[^6]. Le CCB offre un soutien opérationnel[^25]. - **Financement** : selon une republication du communiqué de presse fédéral, il s'agissait de 20 millions d'euros en 2022, de 40 millions d'euros en 2024 et structurellement de 15 millions d'euros par an, soit ensemble 105 millions d'euros depuis 2022[^7] ; depuis le 1er janvier 2025, l'art. 61bis de l'arrêté royal BMF règle un budget de cybersécurité dans la sous-partie B4[^8], réparti selon la circulaire du 27 mai 2025 entre 80 % de financement individuel et 15 % de financement collectif et 5 % pour les « contributeurs »[^26]. La Flandre ne prévoit pas de moyens structurels supplémentaires pour les structures d'aide sociale et de soins[^3]. Détails sur [Financement de la cybersécurité des hôpitaux](https://ehealth-atlas.be/fr/financement-de-la-cybersecurite-des-hopitaux/). - **Recommandation** (propre) : traitez NIS2, les MNM eHealth et ISO 27001 comme des cadres distincts, avec leur propre charge de preuve, et tenez par obligation un registre des preuves et des responsabilités (administration, fournisseurs, notification). Fixez dans les contrats avec les fournisseurs de DPI et les autres fournisseurs critiques la rapidité avec laquelle ils escaladent les incidents, afin que le délai de 24 heures reste réalisable, et vérifiez séparément si un incident requiert aussi une notification de fuite de données au titre du RGPD. ## Incertitudes et informations contradictoires - **ISO 27001 : « moyennant confirmation » ou « automatiquement » ?** Au 1er avril 2025, l'ISO 27001 pouvait servir à démontrer la conformité, moyennant confirmation par une instance agréée par le CCB[^2], en ligne avec le trajet ISO/IEC 27001 de l'arrêté d'exécution[^4] ; le 3 juin 2026, le ministre a déclaré que l'ISO 27001 suffit automatiquement[^9]. Les sources n'établissent pas d'équivalence générique entre les MNM eHealth, l'ISO 27001 et NIS2. - **Woonzorgcentra** : en janvier 2026, selon la ministre flamande, il n'était pas encore convenu au niveau européen qu'ils relèvent de NIS2[^27] ; en mars 2026, ils figurent sur la liste du CCB, pour autant qu'ils remplissent les critères de taille[^3]. - **Niveau d'assurance des hôpitaux** : la ministre flamande place les hôpitaux au niveau d'assurance le plus élevé[^3] ; le ministre fédéral distingue les hôpitaux de taille moyenne (importants) et de plus grande taille (essentiels)[^2]. La formulation flamande n'est donc pas une répartition uniforme de tous les hôpitaux. - **Maturité et incidents** : les chiffres de maturité contradictoires et les résultats d'incidents et d'évaluation manquants figurent sur [NIS2 dans les hôpitaux : mise en œuvre et contrôle](https://ehealth-atlas.be/fr/nis2-dans-les-hopitaux-mise-en-uvre-et-controle/). - **Délais du CCB 2027/2028** : seul un message secondaire du 18 août 2026 signale la communication du CCB et le plan de remédiation qui court jusqu'en 2028[^5] ; le texte primaire du CCB n'était pas accessible. - **Non développé** : les seuils sectoriels d'incident, une source officielle sur le chevauchement pratique avec la notification de fuite de données du RGPD et le suivi du conseiller en sécurité par le DPO. Le fait de ne pas avoir trouvé n'est pas une preuve d'absence. ## Relaties - porte sur: [SPF Santé publique](https://ehealth-atlas.be/fr/spf-sante-publique-securite-de-la-chaine-alimentaire-et-environnement/) (établi)[^4][^20][^9]. De federale minister van Volksgezondheid (of een leidend personeelslid van zijn administratie, bij delegatie) is sectorale overheid voor de gezondheidszorg; het Centrum voor Cybersecurity België (CCB) is nationale cyberbeveiligingsautoriteit en CSIRT (geen eigen conceptpagina). - porte sur: [Plate-forme eHealth](https://ehealth-atlas.be/fr/plate-forme-ehealth/) (établi)[^13][^28][^15]. Het eHealth-platform valt zelf onder NIS2 en levert veiligheidsbouwstenen; de MNM informatieveiligheid zijn een apart kader. - porte sur: [Departement Zorg](https://ehealth-atlas.be/fr/departement-zorg/) (établi)[^15][^16]. Departement Zorg is definitief als essentiële entiteit geïdentificeerd (9 april 2026). - voir aussi (entrant): [ChipSoft HiX](https://ehealth-atlas.be/fr/hix/) (établi)[^9] - porte sur (entrant): [NIS2 dans les hôpitaux : mise en œuvre et contrôle](https://ehealth-atlas.be/fr/nis2-dans-les-hopitaux-mise-en-uvre-et-controle/) (établi)[^4][^20][^19] ## Open vragen - Vereist ISO 27001 voor NIS2 een bevestiging door een door het CCB erkende conformiteitsbeoordelingsinstantie (antwoord april 2025, KB art. 22) of volstaat ISO 27001 'automatisch' (antwoord juni 2026)? - Vallen woonzorgcentra definitief onder NIS2 (commissie januari 2026 vs. CCB-lijst in schriftelijk antwoord maart 2026)? - Welke aanvullende sectorspecifieke meldingsdrempels of maatregelen gelden actueel voor ziekenhuizen? - Welke regelgeving vervangt per deelgebied de historische veiligheidsconsulent door de DPO? - Is er een officiële Belgische bron (GBA of CCB) over de praktische samenloop van de NIS2-melding en de AVG-datalekmelding? - Valt een EPD- of andere softwareleverancier rechtstreeks onder de wet, buiten de categorieën cloud, datacentrum en beheerde diensten? - Wordt het Europese wijzigingsvoorstel van januari 2026 aangenomen, en wat verandert het voor zorgentiteiten? ## Bronnen [^1]: [Wet van 26 april 2024 — NIS2 (NUMAC 2024202344)](https://www.ejustice.just.fgov.be/eli/wet/2024/04/26/2024202344/justel). Belgisch Staatsblad / Justel, 2024-05-17. Opgehaald 2026-09-26, sha256 a70005e47d93d734… (SRC-78aa64cfd8) [^2]: [Integraal verslag commissie Gezondheid en Gelijke Kansen, 1 april 2025 (CRIV 56 COM 112) - o.a. samengevoegde vragen 56003324C (een Kamerlid) en 56003594C (een Kamerlid) over cyberveiligheid en cyberaanvallen op ziekenhuizen](https://www.dekamer.be/doc/CCRI/html/56/ic112x.html). Kamer van volksvertegenwoordigers, 2025-04-01. Opgehaald 2026-09-26, sha256 fa094626a0f154e1… (SRC-4d66840db0) [^3]: [Schriftelijke vraag nr. 497 (2025-2026) van een Vlaams volksvertegenwoordiger aan de Vlaamse minister van Welzijn: Zorg- en welzijnsvoorzieningen - Cyberveiligheid, met antwoord](https://docs.vlaamsparlement.be/files/pfile?id=2291509). Vlaams Parlement, 2026-03-27. Opgehaald 2026-09-26, sha256 ca78972775716128… (SRC-f021c4c24b) [^4]: [Koninklijk besluit van 9 juni 2024 tot uitvoering van de NIS2-wet](https://www.ejustice.just.fgov.be/eli/besluit/2024/06/09/2024005260/justel). Belgisch Staatsblad / Justel, 2024-06-24. Opgehaald 2026-09-26, sha256 fec6258249df1e1f… (SRC-e12e10b2d1) [^5]: [Belgian cybersecurity authority outlines NIS2 assessment requirements for essential entities](https://cadeproject.org/updates/belgian-cybersecurity-authority-outlines-nis2-assessment-requirements-for-essential-entities/). CADE (Civil Society Alliances for Digital Empowerment), 2026-08-18. Opgehaald 2026-10-08, sha256 409e58ee58bc7d55… (SRC-82c18771a8) [^6]: [The State of Cybersecurity in Belgian Hospitals](https://www.shield-vzw.be/news/12972920). SHIELD vzw, 2026-01-13. Opgehaald 2026-09-27, sha256 635b68cac4603e95… (SRC-02936bfa73) [^7]: [Belgische ziekenhuizen versterken cyberbeveiliging via sectorbrede samenwerking (herpublicatie federaal persbericht)](https://belgiumcloud.com/2026/01/14/belgische-ziekenhuizen-versterken-cyberbeveiliging-via-sectorbrede-samenwerking/). Belgiumcloud (herpublicatie persbericht FOD Volksgezondheid / news.belgium.be), 2026-01-14. Opgehaald 2026-09-27, sha256 4ebf9ec0a39dd2b4… (SRC-db5ebaf392) [^8]: [Koninklijk besluit van 30 mei 2026 tot wijziging van het koninklijk besluit van 25 april 2002 betreffende de vaststelling en de vereffening van het budget van financiële middelen van de ziekenhuizen (Justel)](https://www.ejustice.just.fgov.be/eli/besluit/2026/05/30/2026004141/justel). FOD Justitie – Belgisch Staatsblad, 2026-06-11. Opgehaald 2026-09-26, sha256 98eeb2fcd208cfa1… (SRC-67e3197f3f) [^9]: [Integraal verslag commissie Gezondheid en Gelijke Kansen, 3 juni 2026 (CRIV 56 COM 378) - o.a. vraag 56014967C (een Kamerlid) over de cyberaanval op ChipSoft](https://www.dekamer.be/doc/CCRI/html/56/ic378x.html). Kamer van volksvertegenwoordigers, 2026-06-03. Opgehaald 2026-09-26, sha256 74a562165e477fc0… (SRC-7e23ee66f5) [^10]: [Cyber Emergency Response Team — wettelijke basis](https://ccb.belgium.be/nl/cert). Centrum voor Cybersecurity België. Opgehaald 2026-09-26, sha256 87343cb8b2bf8c7c… (SRC-7ed1bfa60b) [^11]: [Verordening (EU) 2016/679 (algemene verordening gegevensbescherming)](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32016R0679). Europees Parlement en Raad, 2016-04-27. Opgehaald 2026-10-08, sha256 88f7a6a6317bb84b… (SRC-121601cefa) [^12]: [Welcome Pack (eHealth-platform)](https://www.ehealth.fgov.be/ehealthplatform/nl/ehealth-welcome-pack.pdf). eHealth-platform. Opgehaald 2026-09-25, sha256 9870190cbce8511b… (SRC-6fdf93f016) [^13]: [Réalisations 2025 – Perspectives 2026 (Plate-forme eHealth)](https://www.frankrobben.be/wp-content/uploads/2026/01/20260130a.pptx). eHealth-platform (publieke presentatie op de persoonlijke website van de administrateur-generaal), 2026-01-30. Opgehaald 2026-09-26, sha256 b58fc6b2201308cb… (SRC-88e226b672) [^14]: [Aanbeveling 2003/361/EG van de Commissie betreffende de definitie van kleine, middelgrote en micro-ondernemingen](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32003H0361). Europese Commissie, 2003-05-06. Opgehaald 2026-10-08, sha256 2225ed48465a56da… (SRC-f95cab1f19) [^15]: [Schriftelijke vraag nr. 748 (2025-2026) van een Vlaams volksvertegenwoordiger aan de Vlaamse minister van Welzijn: Basiscertificering NIS2 - Deadline april 2026, met antwoord](https://docs.vlaamsparlement.be/files/pfile?id=2324378). Vlaams Parlement, 2026-06-01. Opgehaald 2026-09-26, sha256 3b4a4ed774a75a1c… (SRC-885ca602c7) [^16]: [Schriftelijke vraag nr. 776 (2025-2026) van een Vlaams volksvertegenwoordiger aan de Vlaamse minister van Welzijn: Beleidsdomein WVG - Entiteiten onder de Europese NIS2-richtlijn, met antwoord](https://docs.vlaamsparlement.be/files/pfile?id=2325015). Vlaams Parlement, 2026-06-01. Opgehaald 2026-09-26, sha256 3b3f0a1ff9d75414… (SRC-d86a055b30) [^17]: [Schriftelijke vraag nr. 914 (2025-2026) van een Vlaams volksvertegenwoordiger aan de Vlaamse minister van Welzijn: Basiscertificering NIS2 - Cyberweerbaarheid overgangsperiode, met antwoord](https://docs.vlaamsparlement.be/files/pfile?id=2342631). Vlaams Parlement, 2026-07-10. Opgehaald 2026-09-26, sha256 6fabf40cb01f017e… (SRC-b3c63771aa) [^18]: [NIS2: wat essentiële entiteiten tegen 18 april 2026 moeten hebben geregeld](https://ccb.belgium.be/nl/news/nis2-wat-essentiele-entiteiten-tegen-18-april-2026-moeten-hebben-geregeld). Centrum voor Cybersecurity België, 2026-04-16. Opgehaald 2026-09-26, sha256 933a2ea51a02ae1a… (SRC-956fa286a7) [^19]: [QRVA 56 025 (26-09-2025): o.a. vraag nr. 304 (een Kamerlid) Belgian Integrated Health Record - Cyberveiligheid in de zorg, en vraag nr. 374 (een Kamerlid) Mijngezondheid.be, met antwoorden van 26 september 2025](https://www.dekamer.be/QRVA/pdf/56/56K0025.pdf). Kamer van volksvertegenwoordigers, 2025-09-26. Opgehaald 2026-09-26, sha256 ba3a8f7c423e9f9b… (SRC-68b0d63e1e) [^20]: [Integraal verslag commissie Gezondheid en Gelijke Kansen, 23 september 2025 (CRIV 56 COM 194) - o.a. vragen over digitale inclusie/mijngezondheid.be, slaapapneu/telemonitoring en 56007293C (een Kamerlid) over cyberaanvallen op de zorgsector](https://www.dekamer.be/doc/CCRI/html/56/ic194x.html). Kamer van volksvertegenwoordigers, 2025-09-23. Opgehaald 2026-09-26, sha256 aaa69d85141219c6… (SRC-8d15c401af) [^21]: [NIS2 Directive: securing network and information systems](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive). Europese Commissie, DG CONNECT. Opgehaald 2026-10-08, sha256 0106c51d920ba0df… (SRC-dfd3201ab3) [^22]: [Regulation (EU) 2025/327 of the European Parliament and of the Council of 11 February 2025 on the European Health Data Space and amending Directive 2011/24/EU and Regulation (EU) 2024/2847](https://eur-lex.europa.eu/eli/reg/2025/327/oj/eng). Europees Parlement en Raad van de EU (EUR-Lex), 2025-03-05. Opgehaald 2026-09-25, sha256 87d9f6722e7949ce… (SRC-af26b6d770) [^23]: [The NIS2 Law](https://atwork.safeonweb.be/nis2). CCB Safeonweb@Work. Opgehaald 2026-09-26, sha256 d3409880ea677b97… (SRC-c04487c4b6) [^24]: [Belgische ziekenhuizen versterken cyberbeveiliging via sectorbrede samenwerking (federaal persbericht, Wayback-snapshot 21/05/2026)](https://web.archive.org/web/20260521113250/https://news.belgium.be/nl/belgische-ziekenhuizen-versterken-cyberbeveiliging-sectorbrede-samenwerking). FOD Volksgezondheid via news.belgium.be (archiefkopie Internet Archive), 2026-01-13. Opgehaald 2026-09-27, sha256 445ecfe2f39beecd… (SRC-1c3aa947f7) [^25]: [Hôpitaux et cyberattaques : le Centre pour la Cybersécurité Belgique (CCB) en première ligne](https://www.lespecialiste.be/fr/actualites/e-health/hopitaux-et-cyberattaques-le-centre-pour-la-cybersecurite-belgique-ccb-en-premiere-ligne.html). Le Spécialiste (RMNet). Opgehaald 2026-09-27, sha256 e6bb435370ea2da0… (SRC-ccf401f762) [^26]: [Omzendbrief aan de ziekenhuismanagers: Toewijzing van het budget voor cyberbeveiliging vanaf 2025 (ref. CP_Circ25)](https://www.health.belgium.be/sites/default/files/media/files/2025-11/circulaire_budget_cyber_2025_nl.pdf). FOD Volksgezondheid, DG Gezondheidszorg, Afdeling Acute en Chronische Zorg, 2025-05-27. Opgehaald 2026-09-27, sha256 38bdb7aa03ab9d06… (SRC-7819c6ab5f) [^27]: [Verslag commissie Welzijn, Volksgezondheid, Gezin, Armoedebestrijding en Gelijke Kansen, 20 januari 2026: vraag om uitleg 1698 (2025-2026) van een Vlaams volksvertegenwoordiger over de cyberveiligheid van Vlaamse zorg- en welzijnsvoorzieningen](https://www.vlaamsparlement.be/nl/parlementair-werk/commissies/commissievergaderingen/1984076/verslag/1986128). Vlaams Parlement, 2026-01-20. Opgehaald 2026-09-26, sha256 a428ddf866dba356… (SRC-f4404735df) [^28]: [Schriftelijke vraag nr. 749 (2025-2026) van een Vlaams volksvertegenwoordiger aan de Vlaamse minister van Welzijn: Beleidsdomein WVG - Geregistreerde cyberaanvallen, met antwoord](https://docs.vlaamsparlement.be/files/pfile?id=2324379). Vlaams Parlement, 2026-06-01. Opgehaald 2026-09-26, sha256 db00639e6a6f7193… (SRC-d11f73809e)