NIS2 is de Europese cyberbeveiligingsregel die België met de wet van 26 april 2024 omzette en die sinds 18 oktober 2024 geldt voor zorgaanbieders, waaronder ziekenhuizen. Wie eronder valt, moet cyberrisico's beheersen met vaste maatregelen, elk ernstig incident binnen 24 en 72 uur melden, en het bestuur draagt daarvoor de aansprakelijkheid. Grotere ziekenhuizen zijn essentiële entiteiten met certificering of inspectie en termijnen in april 2026 en 2027; middelgrote ziekenhuizen zijn belangrijke entiteiten met toezicht achteraf. Het Centrum voor Cybersecurity België houdt toezicht, de federale minister van Volksgezondheid is sectorale overheid, en de federale overheid financiert de cyberinspanning van ziekenhuizen.
", "last_verified": "2026-10-05", "verification_outdated": false, "sections": [ { "id": "in-het-kort", "title": "In het kort", "kind": "in-het-kort", "html": "NIS2 is de Europese richtlijn over de beveiliging van netwerk- en informatiesystemen, in België omgezet door de wet van 26 april 2024, die op 18 oktober 2024 in werking trad[1] en de NIS1-wet van 7 april 2019 opheft[1]. De wet legt organisaties in kritieke sectoren cyberbeveiligingsplichten op; de gezondheidszorg staat als sector in bijlage I[1]. De hoofdregel geldt voor publieke of private entiteiten uit bijlage I of II die minstens middelgroot zijn volgens de Europese KMO-definitie (Aanbeveling 2003/361/EG), binnen de grenzen van de artikelen 4 en 6[1], en die in België gevestigd zijn en diensten of activiteiten in de EU uitvoeren[1].
\nDe wet onderscheidt twee categorieën. Een essentiële entiteit is een bijlage-I-entiteit boven de plafonds voor middelgrote ondernemingen; een belangrijke entiteit is elke andere entiteit uit bijlage I of II binnen het toepassingsgebied[1]. Voor ziekenhuizen betekent dat: ziekenhuizen boven die plafonds zijn essentieel, middelgrote ziekenhuizen belangrijk[2]. Identificatie ongeacht omvang blijft in de wettelijke gevallen mogelijk[1].
\nHet toezicht is federaal georganiseerd. Het uitvoeringsbesluit van 9 juni 2024 wijst het Centrum voor Cybersecurity België (CCB) aan als nationale cyberbeveiligingsautoriteit[4]; het CCB is ook het nationale CSIRT, het meldpunt voor incidenten[10]. Voor zorgentiteiten buiten de farmaceutische en hulpmiddelenactiviteiten is de federale minister van Volksgezondheid of diens gedelegeerde de sectorale overheid[4].
" }, { "id": "wat-moet-voor-wie-onder-welke-voorwaarden", "title": "Wat moet, voor wie, onder welke voorwaarden?", "kind": "tekst", "html": "Essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen voor hun netwerk- en informatiesystemen[1], op basis van een informatiebeveiligingsbeleid gesteund op een risicoanalyse voor alle gevaren[1]. De entiteit blijft zelf verantwoordelijk voor die risicoanalyse en de keuze en uitvoering van maatregelen[1].
\n| Maatregel | \nOnderbouwing | \n
|---|---|
| Bedrijfscontinuïteit, back-upbeheer, noodplannen en crisisbeheer | \n[1] | \n
| Beveiliging van relaties met rechtstreekse leveranciers en dienstverleners | \n[1] | \n
| Beveiliging bij verwerving, ontwikkeling en onderhoud, inclusief kwetsbaarheidsrespons en -bekendmaking | \n[1] | \n
| Cyberhygiëne en opleiding | \n[1] | \n
| Multifactor- of continue authenticatie en beveiligde communicatie, waar gepast | \n[1] | \n
Het bestuursorgaan keurt de maatregelen goed, houdt toezicht en is aansprakelijk voor inbreuken[1]; zijn leden volgen opleiding[1]. De Vlaamse minister spreekt van eindverantwoordelijkheid en persoonlijke aansprakelijkheid van het bestuursorgaan van de zorginstelling[3].
\nEen incident is significant bij significante gevolgen voor een dienst uit bijlage I of II[1], onder meer wanneer het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken[1], of aanzienlijke schade aan anderen[1].
\n| Stap | \nTermijn | \nOnderbouwing | \n
|---|---|---|
| Melding aan het nationale CSIRT | \nOnverwijld, voor elk significant incident | \n[1] | \n
| Vroegtijdige waarschuwing | \nUiterlijk 24 uur na kennisname | \n[1] | \n
| Incidentmelding | \nUiterlijk 72 uur na kennisname | \n[1] | \n
| Eindverslag | \nUiterlijk één maand na de incidentmelding | \n[1] | \n
| Lopend incident | \nVoortgangsverslag; eindverslag binnen één maand na afhandeling | \n[1] | \n
| Ontvangers van diensten | \nWaar toepasselijk onverwijld informeren | \n[1] | \n
| Dimensie | \nEssentiële entiteit | \nBelangrijke entiteit | \nOnderbouwing | \n
|---|---|---|---|
| Registratie | \nBinnen vijf maanden na inwerkingtreding of identificatie | \nIdem | \n[1] | \n
| Conformiteitsbeoordeling | \nRegelmatig verplicht | \nVrijwillig mogelijk | \n[1] | \n
| Toezicht | \nCertificering (art. 22 KB) of inspectiedienst (art. 23 KB, met voortgangsrapport binnen 30 maanden) | \nAchteraf, bij aanwijzingen van niet-naleving | \n[4][1] | \n
| Continue verbetering | \nAan te tonen | \nAan te tonen | \n[4] | \n
Essentiële entiteiten die voor certificering kiezen, hebben 18 maanden voor de eerste verplichtingen[4] en 30 maanden voor de certificeringsfase[4], via het CCB-kader CyFun of ISO 27001. Los van NIS2 bestaan voor ziekenhuizen de informatieveiligheidsnormen van het eHealth-platform (MNM) met een maturiteitstool[11]; het eHealth-platform en de KSZ vallen zelf ook onder NIS2[12], met een eerste meetpunt op 18 april 2026[12].
\nVolgens het CCB, geciteerd door de Vlaamse minister, vallen algemene en psychiatrische ziekenhuizen, woonzorgcentra en diensten voor thuisverpleging onder NIS2 als ze minstens 50 werknemers of meer dan 10 miljoen euro omzet of balanstotaal hebben[3]. Dat is een vereenvoudiging: juridisch geldt de KMO-definitie van Aanbeveling 2003/361/EG[1], waarin personeel én omzet of balanstotaal samen tellen, ook over verbonden ondernemingen, zodat de eenvoudige 'of'-regel tot een verkeerde inschatting kan leiden (interpretatie). Vlaamse welzijns- en zorgvoorzieningen vallen niet onder het hoogste zekerheidsniveau, in tegenstelling tot de ziekenhuizen[3]. Het Departement Zorg werd als essentiële entiteit ingeschat[13] en op 9 april 2026 definitief zo geïdentificeerd[14]; elke entiteit van het beleidsdomein WVG kreeg intussen een definitieve beslissing van het CCB[15]. VASGAZ valt niet onder de richtlijn[13].
" }, { "id": "in-werking-sinds-wanneer-en-wat-volgt", "title": "In werking sinds wanneer, en wat volgt?", "kind": "tekst", "html": "| Wanneer | \nWat | \nAard | \n
|---|---|---|
| 18 oktober 2024 | \nwet van 26 april 2024 in werking[1]; registratie binnen vijf maanden[1] | \nin werking | \n
| 18 april 2026 | \neerste verplichtingen van de certificerings- of inspectieroute voor essentiële entiteiten, door het CCB een bindende deadline genoemd[4][16] | \ntermijn | \n
| 18 april 2027 | \ncertificering of voortgangsrapport voor essentiële entiteiten[4]; de minister noemde dit de deadline voor volledige conformiteit[5] | \ntermijn | \n
De uitvoering in de praktijk, met conformiteitskaders, meldingen, maturiteitscijfers, CCB-ondersteuning en sectorinitiatieven zoals SHIELD, staat op NIS2 in ziekenhuizen: uitvoering en toezicht. Bij de sectorale overheid voor de gezondheidszorg waren op 23 september 2025 vijftien meldingen geregistreerd[17]. De FOD Volksgezondheid kondigde een jaarlijkse cyber-peerreview met de ziekenhuizen aan[9]. Voor EPD-producten loopt een apart Europees spoor: conformiteit met de Cyber Resilience Act wordt aangetoond via de EHDS-conformiteitsprocedure[18]; zie EHDS-eisen voor EPD-systemen (hoofdstuk III).
" }, { "id": "wat-betekent-het-voor-een-ziekenhuis", "title": "Wat betekent het voor een ziekenhuis?", "kind": "tekst", "html": "