NIS2 en cyberbeveiliging in de zorg

Deze pagina beschrijft welke cyberbeveiligingsplichten de NIS2-regelgeving aan Belgische zorginstellingen oplegt, hoe toezicht en melding georganiseerd zijn, en wat parlementaire antwoorden zeggen over de stand van zaken in de zorg. De NIS2-hoofdregel geldt voor publieke of private entiteiten uit bijlage I of II die minstens middelgroot zijn volgens Aanbeveling 2003/361/EG, binnen de grenzen van de artikelen 4 en 6^[1]. De wet geldt voor bedoelde entiteiten die in België gevestigd zijn en diensten of activiteiten in de EU uitvoeren^[1]. Het uitvoeringsbesluit wijst het Centrum voor Cybersecurity België (CCB) aan als nationale cyberbeveiligingsautoriteit^[4], en het CCB treedt op als nationaal CSIRT^[11]. Voor gezondheidszorgentiteiten buiten de specifiek opgesomde farmaceutische en hulpmiddelenactiviteiten is de federale minister van Volksgezondheid of diens gedelegeerde de sectorale overheid^[4].

Essentiële versus belangrijke entiteiten.

Welke zorgvoorzieningen? Volgens het CCB, geciteerd door de Vlaamse minister, vallen onder meer algemene en psychiatrische ziekenhuizen, woonzorgcentra en diensten voor thuisverpleging onder NIS2 als ze minstens 50 werknemers of meer dan 10 miljoen euro omzet of balanstotaal hebben^[6]. Dat is een vereenvoudigde weergave; juridisch geldt de KMO-definitie van Aanbeveling 2003/361/EG waarnaar de wet verwijst^[1] (interpretatie: daarin telt de combinatie van personeel en omzet of balanstotaal, en ook verbonden ondernemingen, zodat de eenvoudige 'of'-regel tot een verkeerde inschatting kan leiden). Vlaamse welzijns- en zorgvoorzieningen vallen niet onder het hoogste zekerheidsniveau, in tegenstelling tot de ziekenhuizen^[6]. Het Departement Zorg werd als essentiële entiteit ingeschat^[12] en na een ontwerpbeslissing van 12 november 2025 op 9 april 2026 definitief zo geïdentificeerd^[13]; intussen kreeg elke entiteit van het beleidsdomein WVG een definitieve beslissing van het CCB^[14]. VASGAZ valt niet onder de NIS2-richtlijn^[12]. Ook voor het eHealth-platform en de KSZ is de NIS2-regelgeving sinds oktober 2024 van kracht, volgens een op frankrobben.be gepubliceerde stafpresentatie^[15]; hun conformiteitstraject voorzag een eerste meetpunt op 18 april 2026^[15].

Verplichte risicobeheersmaatregelen (wettelijke verplichting). Essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen voor hun netwerk- en informatiesystemen^[1], op basis van een informatiebeveiligingsbeleid gesteund op een risicoanalyse voor alle gevaren^[1]. Het pakket omvat onder meer:

De entiteit blijft zelf verantwoordelijk voor de risicoanalyse en de keuze en uitvoering van maatregelen^[1].

Incidentmelding (wettelijke verplichting).

Een incident is significant bij significante gevolgen voor een dienst uit bijlage I of II^[1], onder meer wanneer het een ernstige operationele verstoring of financiële verliezen voor de entiteit veroorzaakt of kan veroorzaken^[1], of aanzienlijke materiële of immateriële schade aan anderen^[1].

Uitvoering en toezicht in de praktijk. Essentiële entiteiten die voor certificering kiezen, hebben 18 maanden voor de eerste verplichtingen^[4] en 30 maanden voor de certificeringsfase^[4], via CyFun of ISO 27001; los van NIS2 bestaan voor ziekenhuizen de eHealth-MNM informatieveiligheid met een maturiteitstool^[16]. Bij de sectorale overheid voor de gezondheidszorg waren op 23 september 2025 vijftien meldingen geregistreerd^[3], en het SHIELD/FOD-rapport van januari 2026 vond dat slechts 23,8% van de CyFun Basic-controles het vereiste maturiteitsniveau haalde^[17]. Conformiteitskaders, meldingen in de praktijk, maturiteit, CCB-ondersteuning en sectorinitiatieven zoals SHIELD staan op NIS2 in ziekenhuizen: uitvoering en toezicht.

Financiering. De federale overheid financierde ziekenhuizen met 20 miljoen euro in 2022, een eenmalige schijf in 2024 en structureel 15 miljoen euro per jaar^[8][9]; volgens het federale persbericht van januari 2026 is zo sinds 2022 in totaal 105 miljoen euro in de cybersecurity van ziekenhuizen geïnvesteerd^[18]. Sinds 1 januari 2025 regelt art. 61bis van het BFM-KB een cyberveiligheidsbudget in onderdeel B4^[10], en de FOD-omzendbrief van 27 mei 2025 verdeelt 15.606.000 euro over 80% individuele financiering, 15% collectieve financiering en 5% voor 'contribuanten'^[19]. Vlaanderen voorziet geen bijkomende structurele cyberfinanciering voor welzijns- en zorgvoorzieningen^[6]. Bedragen per jaar, art. 61bis § 1 en § 2, de omzendbrief en de tegenstrijdigheden staan op Cyberfinanciering van ziekenhuizen.

Bevindingen: ziekenhuizen boven de KMO-drempels zijn essentiële entiteiten^[2] met een bestuur dat maatregelen moet goedkeuren en aansprakelijk is^[1], een meldingsplicht in 24/72 uur^[1] en, als essentiële entiteit, termijnen van 18 en 30 maanden (april 2026 en april 2027) voor certificering of inspectietoezicht^[4]; de minister noemde april 2027 de deadline om volledige conformiteit aan te tonen^[9]. Middelgrote ziekenhuizen zijn belangrijke entiteiten met ex-post-toezicht^[2][1]. In september 2025 vond de minister het voorbarig te concluderen dat alle ziekenhuizen een NIS2-conform cyberplan hebben; een nauwkeuriger diagnose was pas verwacht vanaf mei-juni 2026^[9]. De FOD Volksgezondheid kondigde een jaarlijkse cyber-peerreview met de ziekenhuizen aan (planning)^[7].

Aanbeveling: behandel NIS2, de eHealth-MNM en ISO 27001 als afzonderlijke kaders met eigen bewijslast, en houd een bewijs- en verantwoordelijkhedenregister bij per verplichting (bestuur, leveranciers, melding).

• Wettelijke verplichting (bestuur): bestuursorganen keuren de cyberrisicobeheersmaatregelen goed, houden toezicht en zijn aansprakelijk voor inbreuken^[1]; hun leden volgen opleiding^[1]. De Vlaamse minister formuleert het als eindverantwoordelijkheid en persoonlijke aansprakelijkheid van het bestuursorgaan van de zorginstelling^[6].
• Wettelijke verplichting (leveranciers): ziekenhuizen nemen de beveiliging van relaties met rechtstreekse leveranciers mee in hun risicobeheer^[1] en houden bij leveranciersbeoordeling rekening met kwetsbaarheden, productkwaliteit, beveiligingspraktijken en veilige ontwikkelingsprocedures^[1].
• Gevolg voor leveranciers (CCB-guidance): een organisatie kan via de toeleveringsketen van een NIS2-entiteit met de verplichting tot cyberrisicobeheersmaatregelen geconfronteerd worden^[20]. Dat een leveranciersincident ziekenhuizen raakt, bleek toen ziekenhuizen hun patiëntenportalen afkoppelden na een aanval op een EPD-leverancier^[7].
• Wettelijke verplichting (melding): 24 uur voor de vroegtijdige waarschuwing, 72 uur voor de melding, één maand voor het eindverslag^[1].
• Termijn (regelgevend, enkel essentiële entiteiten): binnen 18 maanden (18 april 2026) de eerste stap van certificering of inspectie, binnen 30 maanden (18 april 2027) certificering of een voortgangsrapport^[4]. Voor belangrijke entiteiten (middelgrote ziekenhuizen) geldt ex-post-toezicht^[2][1]; een vrijwillige conformiteitsbeoordeling is mogelijk^[1]. De minister vatte de tijdlijn algemeen samen als april 2026 basisniveau en april 2027 volledige conformiteit^[9].
• Financiering: federale middelen voor cybermaturiteit en het cyberveiligheidsbudget van art. 61bis BFM-KB (vanaf 1/1/2025)^[8][10]; zie Cyberfinanciering van ziekenhuizen.
• Uitvoering, ondersteuning en sectorinitiatieven: meer dan 90% van de algemene ziekenhuizen werkt volgens het federale persbericht aan NIS2-conformiteit^[21]; het CCB biedt operationele ondersteuning^[22]. Details over CCB, FOD-oefeningen, peerreview en SHIELD vzw: NIS2 in ziekenhuizen: uitvoering en toezicht.
• Aanbeveling: leg in contracten met EPD- en andere kritieke leveranciers vast hoe snel zij incidenten escaleren, zodat de 24-uurstermijn haalbaar blijft; controleer daarnaast apart of een incident ook een AVG-datalekmelding vereist (niet uitgewerkt in deze pagina).

Woonzorgcentra, thuisverpleging en andere zorgvoorzieningen vallen er enkel onder boven de groottecriteria^[6]. De Vlaamse uitvoering (geen algemene cyberaudits voor welzijns- en zorgvoorzieningen, planning van het Departement Zorg) staat op NIS2 in ziekenhuizen: uitvoering en toezicht. Voor EPD-producten loopt een apart Europees spoor: conformiteit met de cybersecurityeisen van de Cyber Resilience Act wordt aangetoond via de EHDS-conformiteitsprocedure^[23] (zie EHDS-eisen voor EPD-systemen (hoofdstuk III)).

• ISO 27001: 'mits bevestiging' of 'automatisch'? Op 1 april 2025 kon een ISO 27001-certificering conformiteit aantonen mits bevestiging door een door het CCB erkende conformiteitsbeoordelingsinstantie^[2]; dat sluit aan bij het ISO/IEC 27001-traject in het uitvoeringsbesluit^[4]. Op 3 juni 2026 stelde de minister dat instellingen die aan ISO 27001 voldoen automatisch ook aan de NIS2-normen voldoen^[7]. De verzamelde bronnen stellen geen generieke gelijkwaardigheid van eHealth-MNM, ISO 27001 en volledige NIS2-naleving vast; niet als uitwisselbare labels gebruiken.
• Woonzorgcentra. In januari 2026 stelde minister Gennez dat Europees nog niet afgesproken was dat woonzorgcentra onder NIS2 vallen^[24]; in het schriftelijk antwoord van maart 2026 staan ze wel op de CCB-lijst, boven de groottecriteria^[6].
• Zekerheidsniveau ziekenhuizen. De Vlaamse minister stelde dat ziekenhuizen, anders dan Vlaamse welzijns- en zorgvoorzieningen, onder het hoogste zekerheidsniveau vallen^[6]; de federale minister onderscheidde middelgrote ziekenhuizen als belangrijke entiteiten van grotere ziekenhuizen als essentiële entiteiten^[2]. Interpretatie: de Vlaamse formulering mag daarom niet als een uniforme indeling van alle ziekenhuizen worden gelezen; de concrete uitwerking hangt af van de entiteitsindeling en risicoanalyse.
• Uitvoering. Tegenstrijdigheden over het zekerheidsniveau van ziekenhuizen (Vlaams vs. federaal) en over de maturiteitscijfers, en de ontbrekende incidentcijfers en evaluatieresultaten, staan op NIS2 in ziekenhuizen: uitvoering en toezicht.
• Gaps. Exacte sectorale incidentdrempels, de numerieke KMO-drempels voor verbonden ondernemingen en de opvolging van de historische veiligheidsconsulent door de DPO zijn niet uitgewerkt.