NIS2 in ziekenhuizen: uitvoering en toezicht

Deze deelpagina beschrijft hoe het NIS2-kader in Belgische ziekenhuizen en zorginstellingen wordt uitgevoerd: welke conformiteitskaders gebruikt worden, wat bekend is over meldingen en maturiteit, welke ondersteuning het CCB en de FOD bieden en welke rol sectorinitiatieven spelen. Het wettelijke kader (toepassingsgebied, maatregelen, meldingstermijnen, bestuursaansprakelijkheid) staat op NIS2 en cyberbeveiliging in de zorg; de financiering op Cyberfinanciering van ziekenhuizen.

Conformiteitskaders: CyFun, ISO 27001 en eHealth-MNM. Het uitvoeringsbesluit geeft essentiële entiteiten die voor certificering kiezen 18 maanden na inwerkingtreding of identificatie voor de eerste verplichtingen^[1]; in het ISO/IEC 27001-traject omvat die eerste fase het bezorgen van toepassingsgebied en toepasselijkheidsverklaring^[1]. De certificeringsfase heeft een termijn van 30 maanden^[1]. Een essentiële entiteit kan gemotiveerd een lager zekerheidsniveau laten verifiëren als haar risicoanalyse dat rechtvaardigt^[1], op eigen verantwoordelijkheid^[1]. Voor Vlaamse openbare psychiatrische zorginstellingen werd, samen met andere psychiatrische ziekenhuizen, vertegenwoordigers van het eHealth-platform en Zorgnet-Icuro, een risico-inschatting gemaakt met de CyFun Selection Tool van het CCB^[8]. Los van NIS2 bestaan voor ziekenhuizen de Minimale Normen (MNM) informatieveiligheid van het eHealth-platform, geïnspireerd op ISO 27000, met een maturiteitstool^[9]; de dienstpagina verbindt de MNM met de uitvoering van het informatieveiligheidsbeleid door de functionaris voor gegevensbescherming^[10]. Binnen het Vlaamse beleidsdomein WVG worden veiligheidsbouwstenen van Digitaal Vlaanderen en het eHealth-platform gebruikt^[11].

Meldingen in de praktijk (parlementaire antwoorden).

Stand van zaken en maturiteit.

Bevindingen: de minister noemde april 2027 de deadline om volledige conformiteit aan te tonen^[13]. In september 2025 vond de minister het voorbarig te concluderen dat alle ziekenhuizen een NIS2-conform cyberplan hebben; een nauwkeuriger diagnose was pas verwacht vanaf mei-juni 2026^[13]. De FOD Volksgezondheid kondigde een jaarlijkse cyber-peerreview met de ziekenhuizen aan (planning)^[6]. De maturiteitsmeting van SHIELD en de FOD wijst op een grote afstand tot het vereiste niveau^[3].

Aanbeveling: gebruik de CyFun-maturiteitsmeting en de eHealth-MNM-maturiteitstool als afzonderlijke instrumenten en documenteer per controle welk bewijs bij welk kader hoort.

• Stand van zaken (federaal persbericht, januari 2026): meer dan 90% van de algemene ziekenhuizen werkt aan NIS2-conformiteit, maar er blijft nog veel werk^[4]; maandelijks worden met de ziekenhuizen oefeningen over het omgaan met cyberincidenten georganiseerd^[4]. De met de sector vastgelegde prioriteiten van het federale cyberprogramma zijn een CSIRT, cybersecurity awareness en penetratietesten van informatiesystemen^[14]; de bedragen staan op Cyberfinanciering van ziekenhuizen.
• Ondersteuning door het CCB (vakpers): het CCB, en specifiek zijn CERT, biedt ziekenhuizen operationele ondersteuning om cyberincidenten te anticiperen, te detecteren en erop te reageren^[5]; bij een incident geeft het technisch advies en coördineert het de respons^[5]. Het moedigt ziekenhuizen aan hun IP-adressen, domeinnamen en technologieën te registreren in het Early Warning System voor gerichte kwetsbaarheidsmeldingen^[5].
• Ondersteuning (planning): volgens de minister van Volksgezondheid (Kamer, 3 juni 2026) werkt de FOD via het BFM samen met de vzw SHIELD voor de uitwisseling van processen, procedures en richtlijnen rond cybersecurity^[6], en zal de FOD jaarlijks een peerreview met de ziekenhuizen organiseren^[6].
• Sectorinitiatief (goede praktijk, geen verplichting): SHIELD vzw is een ledenvereniging en aankoopcentrale voor cybersecurity in de zorg^[15][16], waarin de FOD Volksgezondheid volgens het federale persbericht mee investeerde^[17]. Het rapport 'State of cybersecurity in Belgian Hospitals' (januari 2026) van SHIELD en de FOD vond dat slechts 23,8% van de CyFun Basic-controles het vereiste maturiteitsniveau haalde^[3]. De termijn van april 2027 in de sectorale roadmap is volgens de CEO van SHIELD (vakpersinterview, 2026) een voorstel aan CCB en FOD, geen vervanging van de wettelijke verplichtingen^[18]. De FOD-omzendbrief van 27 mei 2025 kondigt voor ziekenhuizen een gelijk aandeel aan voor het lidmaatschap van 'een derde organisatie (Shield vzw of andere)', met dezelfde bedragen als art. 61bis § 2 BFM-KB^[19][20]; de modaliteiten zouden later bij KB volgen^[19]. Interpretatie: de koppeling tussen die 'derde partij' en SHIELD is daarmee sterk onderbouwd maar niet exclusief; het KB zelf noemt geen naam.

Aan Vlaamse welzijns- en zorgvoorzieningen worden geen algemene cyberaudits, zelfevaluaties of risicoanalyses gevraagd; bij aansluiting op authentieke bronnen met medische gegevens wordt wel gericht informatie over het informatieveiligheidsbeleid opgevraagd^[12]. Het Departement Zorg verwacht het vereiste zekerheidsniveau, inclusief ISO 27001/2-attestering, binnen de termijn van 18 april 2027 te halen (planning)^[8].

• Zekerheidsniveau ziekenhuizen (Vlaams vs. federaal). De Vlaamse minister stelt dat ziekenhuizen, anders dan Vlaamse welzijns- en zorgvoorzieningen, onder het hoogste zekerheidsniveau vallen^[12]; de federale minister stelt dat middelgrote ziekenhuizen als belangrijke entiteit erkend worden^[7]. Interpretatie: het vereiste niveau hangt af van de indeling en de CyFun-risicoanalyse^[1]; de Vlaamse formulering veralgemeent naar alle ziekenhuizen. Opgenomen in het register van tegenstrijdigheden.
• Maturiteit ziekenhuizen (onderzoeksbevinding SHIELD/FOD). Volgens het rapport van januari 2026 (metingen in meer dan vijftig ziekenhuizen) moeten drie op vier Belgische ziekenhuizen dringend bijkomende stappen zetten om het vereiste maturiteitsniveau te bereiken^[3]; slechts 23,8% van de CyFun Basic-controles haalde het vereiste niveau^[3]. Volgens het federale persbericht (herpublicatie Belgiumcloud) haalt één op vier ziekenhuizen het niveau of zit er dicht bij^[17]. Een volksvertegenwoordiger haalde het cijfer aan in het parlement^[21]. Het gaat om een zelfmeting binnen een sectorinitiatief, geen toezichtsvaststelling (interpretatie).
• Incidentcijfers. Na september 2025 zijn geen actuele meldingscijfers voor de gezondheidszorg gevonden^[2]; Vlaanderen heeft geen zicht op incidenten in welzijns- en zorgvoorzieningen^[12]. Niet gevonden betekent niet dat er geen meldingen waren.
• Evaluaties. De resultaten van de eerste evaluaties (verwacht mei-juni 2026) zijn niet gevonden^[13].