Trois institutions belges sur quatre doivent urgemment prendre des mesures supplémentaires

Dans le secteur de la santé, la directive NIS2 ne tolère aucune ambiguïté : en raison de leur rôle critique, les hôpitaux et institutions de soins sont d’office classés comme Entités Essentielles. Pour beaucoup, c’est un défi.

Le 13 janvier 2026, l’hôpital AZ Monica à Anvers était frappé par une cyberattaque majeure. L’ensemble du réseau informatique a été paralysé. Toutes les opérations programmées ont été annulées, sept patients critiques ont dû être transférés vers d’autres hôpitaux. Et il a fallu plus d’un mois pour que l’ensemble des systèmes IT redeviennent pleinement opérationnels.

Ce type de scénario n’a plus rien d’exceptionnel. Le secteur des soins de santé figure parmi les cibles les plus visées du pays. Selon le rapport SHIELD pour le SPF Santé publique, trois hôpitaux belges sur quatre doivent urgemment prendre des mesures supplémentaires pour atteindre le niveau requis de maturité en cybersécurité.

Dans le secteur de la santé, la directive NIS2 ne tolère aucune ambiguïté. En raison de leur rôle critique, les hôpitaux et institutions de soins sont d’office classés comme Entités Essentielles. Cela implique un niveau de contrôle maximal. Egalement des obligations strictes et des sanctions financières lourdes en cas de non-conformité.

Ce sujet fera l’objet de la première séance de la All Cyber School du 13 octobre prochain à Waterloo : « Piloter sa conformité NIS2 sans y consacrer une équipe ».

Aujourd’hui, l’état d’avancement des projets NIS2 au sein des hôpitaux et institutions de soins en Europe témoigne d’une dynamique à deux vitesses, marquée par une prise de conscience aiguë… mais freinée par des barrières opérationnelles majeures.

La réalité du terrain

Bien que NIS2 soit entrée en vigueur, les audits menés auprès des établissements révèlent un écart important entre la théorie et la pratique, estime Christophe Hohl, Technical Advisor, Cyber Security Management. « L’environnement hospitalier est complexe. Sur site, les anciennes applications et les dispositifs médicaux ont une longue durée de vie. Ils ne peuvent pas toujours être corrigés rapidement. D’autant qu’ils dépendent de fournisseurs spécialisés. L’autre réalité sur le terrain réside dans le fait que les soins de santé doivent se poursuivre sans interruption. Par conséquent, appliquer une logique classique de remplacement technologique s’avère donc souvent irréaliste… »

Cet aspect, qui constitue la gestion de la chaîne d’approvisionnement, est un des trois grands piliers des exigences NIS2. La directive rassemble l’évaluation et la sécurisation des contrats avec les tiers (éditeurs de logiciels médicaux, prestataires de maintenance de dispositifs médicaux connectés). Et c’est assurément l’un des chantiers les plus complexes en raison de l’interconnexion massive des systèmes.

Gouverner, former

« Les hôpitaux dépendent d’une multitude de tiers, analyse Christophe Hohl. Il conviendra de cartographier les accès distants des éditeurs de logiciels médicaux et des mainteneurs de dispositifs biomédicaux -scanners, respirateurs, etc. Et intégrer des clauses de cybersécurité strictes. Exiger aussi des garanties de temps de rétablissement en cas de faille chez un fournisseur. »

Deuxième pilier, la gouvernance et la formation. NIS2 impose de former activement le personnel aux risques cyber ; ce volet humain s’avère déterminant. « Le facteur humain reste la porte d’entrée principale des attaques », rappelle Christophe Hohl. Ne perdons pas de vue que la direction générale et le conseil d’administration portent la responsabilité juridique et pénale de la sécurité. Ils doivent obligatoirement suivre une formation aux risques cyber et valider le budget.

Troisième pilier, les procédures de notification d’incidents. La mise en place de la « double voie » (obligation de notifier l’autorité nationale de cybersécurité ainsi que les autorités de santé en des temps très courts) peut demander une refonte complète des cellules de crise internes.

MFA, un défi majeur

Au cours d’une seconde séance, la question de « l’authentification mutifactorielle (MFA) en milieu hospitalier » sera abordée. Il s’agit d’une obligation légale explicite pour les hôpitaux et les établissements de santé sous la directive européenne NIS2. « Elle sécurise les comptes des soignants, des techniciens et des administrateurs contre le vol d’identifiants. Elle prévient les intrusions qui provoquent des cyberattaques par ransomware, lesquelles bloquent l’accès aux dossiers patients et paralysent les urgences », enchaîne Christophe Hohl.

La mise en œuvre est délicate. Elle suppose l’acceptabilité par le personnel soignant : concilier sécurité stricte et rapidité d’accès aux postes de travail cliniques en cas d’urgence médicale. Et elle doit tenir compte d’une diversité des parcs informatiques : sécuriser à la fois les dossiers médicaux électroniques, les serveurs administratifs et certains appareils biomédicaux connectés !

« C’est le défi majeur des hôpitaux, continue Christophe Hohl. Imposer une MFA classique -comme un code SMS ou application sur smartphone personnel- à un médecin ou un infirmier qui change de poste de travail vingt fois par jour en situation d’urgence clinique est impraticable. » Il s’agit d’adapter les technologies. Et, le plus souvent, d’introduire le SSO (Single Sign-On).

On le voit, la conformité NIS2 ne doit pas être appréhendée comme un simple projet technique, . Il s’agit plutôt d’une démarche globale de gouvernance et de gestion des risques.