NIS2 et cybersécurité dans les soins de santé

• Quoi : la loi belge NIS2 est entrée en vigueur le 18 octobre 2024^[1], abroge la loi NIS1 de 2019^[1] et inscrit les prestataires de soins comme secteur des soins de santé à l'annexe I^[1].
• Pour qui : les hôpitaux de taille moyenne sont des entités importantes, les hôpitaux de plus grande taille des entités essentielles^[2] ; l'organe de direction porte la responsabilité finale et en est juridiquement responsable^[3][1].
• Ce qui est exigé : des mesures techniques, opérationnelles et organisationnelles appropriées sur la base d'une analyse de risques^[1], et la notification de tout incident significatif au CSIRT national, avec une alerte précoce dans les 24 heures et une notification dans les 72 heures^[1].
• État : pour les entités essentielles, le 18 avril 2026 constituait le premier délai, et une certification ou un rapport d'avancement suit pour le 18 avril 2027^[4] ; une source secondaire y mentionne un plan de remédiation courant jusqu'au 18 avril 2028, sans texte primaire du CCB^[5].
• Hôpital : le rapport SHIELD/SPF de janvier 2026 affirme que trois hôpitaux sur quatre doivent d'urgence franchir des étapes supplémentaires pour atteindre le niveau de maturité requis^[6] et que seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau requis^[6].
• Argent : selon une republication du communiqué de presse fédéral, il s'agissait de 20 millions d'euros en 2022, de 40 millions d'euros en 2024 et structurellement de 15 millions d'euros par an^[7] ; depuis le 1er janvier 2025, il existe un budget de cybersécurité dans la sous-partie B4 du BMF^[8].
• Plus grande incertitude : si l'ISO 27001 suffit uniquement « moyennant confirmation » par une instance agréée^[2] ou « automatiquement »^[9].

NIS2 est la directive européenne relative à la sécurité des réseaux et des systèmes d'information, transposée en Belgique par la loi du 26 avril 2024, qui est entrée en vigueur le 18 octobre 2024^[1] et qui abroge la loi NIS1 du 7 avril 2019^[1]. La loi impose des obligations de cybersécurité aux organisations des secteurs critiques ; les soins de santé y figurent comme secteur à l'annexe I^[1]. La règle principale s'applique aux entités publiques ou privées de l'annexe I ou II qui sont au moins de taille moyenne selon la définition européenne des PME (recommandation 2003/361/CE), dans les limites des articles 4 et 6^[1], et qui sont établies en Belgique et fournissent des services ou exercent des activités dans l'UE^[1].

La loi distingue deux catégories. Une entité essentielle est une entité de l'annexe I qui dépasse les plafonds fixés pour les moyennes entreprises ; une entité importante est toute autre entité de l'annexe I ou II relevant du champ d'application^[1]. Pour les hôpitaux, cela signifie : les hôpitaux au-dessus de ces plafonds sont essentiels, les hôpitaux de taille moyenne sont importants^[2]. Une identification indépendamment de la taille reste possible dans les cas prévus par la loi^[1]. Indépendamment de la taille, la loi s'applique également aux entités qui ont été identifiées comme entité critique en vertu de la loi du 19 décembre 2025^[1].

Le contrôle est organisé au niveau fédéral. L'arrêté d'exécution du 9 juin 2024 désigne le Centre pour la Cybersécurité Belgique (CCB) comme autorité nationale de cybersécurité^[4] ; le CCB est également le CSIRT national, le point de notification des incidents^[10]. Pour les entités de soins dont les activités ne relèvent pas du domaine pharmaceutique ni des dispositifs médicaux, l'autorité sectorielle est le ministre fédéral de la Santé publique ou son délégué^[4].

Mesures de gestion des risques

Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour leurs réseaux et systèmes d'information^[1], sur la base d'une politique de sécurité de l'information fondée sur une analyse des risques fondée sur une approche "tous risques"^[1]. L'entité reste elle-même responsable de cette analyse de risques ainsi que du choix et de la mise en œuvre des mesures^[1].

L'organe de direction approuve les mesures, exerce la surveillance et est responsable des violations^[1] ; ses membres suivent une formation^[1]. La ministre flamande parle de responsabilité finale et de responsabilité juridique personnelle de l'organe de direction de l'institution de soins^[3].

Notification des incidents

La notification NIS2 coexiste avec l'obligation de notification du RGPD : la loi ne porte pas atteinte au RGPD^[1], et la notification RGPD à l'autorité de contrôle suit un délai propre de 72 heures après la prise de connaissance, sauf si un risque n'est pas probable^[11]. En cas de violation de données à caractère personnel, les services d'inspection collaborent avec les autorités de protection des données^[1] et informent celles-ci en cas de violation possible soumise à l'obligation de notification du RGPD^[1] ; avec l'autorisation du CCB, la communication aux personnes concernées peut être omise lorsqu'elle compromet le contrôle^[1].

Un incident est significatif lorsqu'il a des conséquences significatives pour un service de l'annexe I ou II^[1], notamment lorsqu'il cause ou peut causer une perturbation opérationnelle grave ou des pertes financières^[1], ou lorsqu'il cause ou peut causer un dommage considérable à d'autres personnes^[1].

Contrôle par catégorie

Le Roi peut imposer des mesures de gestion des risques supplémentaires après consultation du CCB, de l'autorité sectorielle et des entités fédérées ; aucun arrêté en ce sens dans les soins de santé n'a été trouvé^[1]. Les entités essentielles qui optent pour la certification disposent de 18 mois pour les premières obligations^[4] et de 30 mois pour la phase de certification^[4], via le cadre CyFun du CCB ou ISO 27001. Indépendamment de NIS2, il existe pour les hôpitaux les normes de sécurité de l'information (MNM) de la Plate-forme eHealth avec un outil de maturité^[12] ; la Plate-forme eHealth et la Banque Carrefour de la Sécurité Sociale relèvent elles-mêmes aussi de NIS2^[13], avec un premier point de mesure le 18 avril 2026^[13].

Quelles structures de soins ?

Selon le CCB, cité par la ministre flamande, les hôpitaux généraux et psychiatriques, les woonzorgcentra et les services de soins infirmiers à domicile relèvent de NIS2 s'ils comptent au moins 50 travailleurs ou plus de 10 millions d'euros de chiffre d'affaires ou de total du bilan^[3]. Il s'agit d'une simplification : juridiquement, c'est la définition des PME de la recommandation 2003/361/CE qui s'applique^[1], dans laquelle l'effectif et le chiffre d'affaires ou le total du bilan comptent ensemble, y compris au niveau des entreprises liées, de sorte que la règle simple du « ou » peut conduire à une mauvaise évaluation (interprétation). Cette recommandation fixe le plafond d'effectif à moins de 250 personnes, avec un chiffre d'affaires jusqu'à 50 millions d'euros ou un total du bilan jusqu'à 43 millions d'euros^[14] ; une entreprise partenaire commence à 25 % ou plus du capital ou des droits de vote^[14], les entreprises liées notamment en cas de majorité des droits de vote^[14]. La loi NIS2 exclut l'art. 3, par. 4, de l'annexe^[1] et prévoit que le CCB tient compte, pour la taille, de l'indépendance par rapport aux entreprises partenaires et liées^[1]. Les structures flamandes de l'aide sociale et des soins ne relèvent pas du niveau d'assurance le plus élevé, contrairement aux hôpitaux^[3]. Le Departement Zorg a été évalué comme entité essentielle^[15] et a été identifié définitivement comme tel le 9 avril 2026^[16] ; chaque entité du domaine politique WVG a entre-temps reçu une décision définitive du CCB^[17]. VASGAZ ne relève pas de la directive^[15].

La mise en œuvre pratique, avec les cadres de conformité, les notifications, les chiffres de maturité, le soutien du CCB et les initiatives sectorielles comme SHIELD, figure sur NIS2 dans les hôpitaux : mise en œuvre et contrôle. Auprès de l'autorité sectorielle pour les soins de santé, quinze notifications étaient enregistrées au 23 septembre 2025^[20]. Selon ce même message, cette approche vaut quelle que soit la voie suivie (CyFun, ISO/IEC 27001 ou service d'inspection) et la communication ne modifie pas les délais de la loi et de l'arrêté d'exécution^[5]. Le 20 janvier 2026, la Commission européenne a proposé des modifications ciblées de NIS2 (non mentionnées comme adoptées sur la page de la Commission consultée)^[21]. Le ministre fédéral a déclaré en juin 2026 que le SPF collabore avec SHIELD via le BMF pour l'échange de processus, de procédures et de directives en matière de cybersécurité^[9] et a annoncé en outre une peer review annuelle avec les hôpitaux^[9]. Pour les produits DME, une voie européenne distincte est en cours : la conformité au Cyber Resilience Act est démontrée via la procédure de conformité EHDS^[22] ; voir Exigences EHDS pour les systèmes de DME (chapitre III).

• Gouvernance : l'organe de direction approuve les mesures, exerce la surveillance et est responsable^[1].

• Fournisseurs : la sécurité des relations avec les fournisseurs directs fait partie de la gestion des risques^[1], avec une attention aux vulnérabilités, à la qualité des produits, aux pratiques de sécurité et au développement sécurisé^[1]. Les fournisseurs d'informatique en nuage, de centres de données, de services gérés et de services de sécurité relèvent de la loi lorsque leur établissement principal se situe en Belgique^[1] ; cela vaut pour ces catégories, et aucune information n'a été trouvée sur le point de savoir si un fournisseur de DPI en relève. Un fournisseur peut lui-même être confronté aux obligations via la chaîne d'approvisionnement^[23] ; qu'un incident chez un fournisseur touche les hôpitaux est apparu lorsque des hôpitaux ont déconnecté leurs portails patients après une attaque contre un fournisseur de DPI^[9].

• Notification : 24 heures pour l'alerte précoce, 72 heures pour la notification, un mois pour le rapport final^[1].

• Délais : pour les entités essentielles, avril 2026 et avril 2027^[4] ; pour les entités importantes, un contrôle a posteriori, avec une évaluation de conformité volontaire comme option^[1].

• État du secteur : selon le communiqué de presse fédéral, plus de 90 % des hôpitaux généraux travaillent à la conformité NIS2^[24], tandis que le rapport SHIELD/SPF de janvier 2026 affirme que trois hôpitaux sur quatre doivent d'urgence franchir des étapes supplémentaires pour atteindre le niveau de maturité requis^[6] et que seuls 23,8 % des contrôles CyFun Basic atteignaient le niveau requis^[6]. Le CCB offre un soutien opérationnel^[25].

• Financement : selon une republication du communiqué de presse fédéral, il s'agissait de 20 millions d'euros en 2022, de 40 millions d'euros en 2024 et structurellement de 15 millions d'euros par an, soit ensemble 105 millions d'euros depuis 2022^[7] ; depuis le 1er janvier 2025, l'art. 61bis de l'arrêté royal BMF règle un budget de cybersécurité dans la sous-partie B4^[8], réparti selon la circulaire du 27 mai 2025 entre 80 % de financement individuel et 15 % de financement collectif et 5 % pour les « contributeurs »^[26]. La Flandre ne prévoit pas de moyens structurels supplémentaires pour les structures d'aide sociale et de soins^[3]. Détails sur Financement de la cybersécurité des hôpitaux.

• Recommandation (propre) : traitez NIS2, les MNM eHealth et ISO 27001 comme des cadres distincts, avec leur propre charge de preuve, et tenez par obligation un registre des preuves et des responsabilités (administration, fournisseurs, notification). Fixez dans les contrats avec les fournisseurs de DPI et les autres fournisseurs critiques la rapidité avec laquelle ils escaladent les incidents, afin que le délai de 24 heures reste réalisable, et vérifiez séparément si un incident requiert aussi une notification de fuite de données au titre du RGPD.

• ISO 27001 : « moyennant confirmation » ou « automatiquement » ? Au 1er avril 2025, l'ISO 27001 pouvait servir à démontrer la conformité, moyennant confirmation par une instance agréée par le CCB^[2], en ligne avec le trajet ISO/IEC 27001 de l'arrêté d'exécution^[4] ; le 3 juin 2026, le ministre a déclaré que l'ISO 27001 suffit automatiquement^[9]. Les sources n'établissent pas d'équivalence générique entre les MNM eHealth, l'ISO 27001 et NIS2.
• Woonzorgcentra : en janvier 2026, selon la ministre flamande, il n'était pas encore convenu au niveau européen qu'ils relèvent de NIS2^[27] ; en mars 2026, ils figurent sur la liste du CCB, pour autant qu'ils remplissent les critères de taille^[3].
• Niveau d'assurance des hôpitaux : la ministre flamande place les hôpitaux au niveau d'assurance le plus élevé^[3] ; le ministre fédéral distingue les hôpitaux de taille moyenne (importants) et de plus grande taille (essentiels)^[2]. La formulation flamande n'est donc pas une répartition uniforme de tous les hôpitaux.
• Maturité et incidents : les chiffres de maturité contradictoires et les résultats d'incidents et d'évaluation manquants figurent sur NIS2 dans les hôpitaux : mise en œuvre et contrôle.
• Délais du CCB 2027/2028 : seul un message secondaire du 18 août 2026 signale la communication du CCB et le plan de remédiation qui court jusqu'en 2028^[5] ; le texte primaire du CCB n'était pas accessible.
• Non développé : les seuils sectoriels d'incident, une source officielle sur le chevauchement pratique avec la notification de fuite de données du RGPD et le suivi du conseiller en sécurité par le DPO. Le fait de ne pas avoir trouvé n'est pas une preuve d'absence.