Comment le secteur hospitalier en Belgique lutte pour sa sécurité (1e partie): Entretien avec Wim Bijnens, CEO de SHIELD
Le secteur hospitalier belge est en pleine mutation. Entre pression réglementaire croissante et défis de l’IA, la cybersécurité n’est plus une simple affaire d’informaticiens. Un rapport édifiant, publié par le SPF Santé, met en lumière le niveau de maturité cyber dans nos hôpitaux : 3 établissements sur 4 n'atteignent pas le niveau requis pour faire face aux cybermenaces. Dans un entretien exclusif, Wim Bijnens, CEO de l’ASBL SHIELD, analyse la prise de conscience du secteur face aux risques et explique comment les règlementations NIS2, CyFun, ISO 27001 et autres AI Act contribuent à améliorer concrètement la sécurité des soins de santé. Plongée dans les entrailles d’un monde en prise avec des défis titanesques.
Vers une maturité démontrable
En janvier 2026 sortait un rapport éclairant sur l’état de la maturité de la cybersécurité dans 50 hôpitaux en Belgique. Menée par l’ASBL SHIELD, en partenariat avec le SPF Santé, l’étude montrait que 3 établissements sur 4 n’avaient pas le niveau requis et devaient prendre d’urgence des mesures supplémentaires pour répondre aux dernières exigences imposées par les règlementations en vigueur.
Wim Bijnens livre une analyse détaillée de la seconde vague d'audit (Wave 2) menée récemment dans le secteur et dissèque au scalpel les progrès tangibles réalisés ces derniers mois par les organismes hospitaliers. Focus sur les stratégies de gouvernance gagnantes et les attentes d'un secteur désireux de passer de la théorie à la résilience opérationnelle.
-CyberSecurityNews.be : Quelle évolution observez-vous par rapport à la situation décrite dans le rapport sur la cybersécurité des hôpitaux belges publié en janvier dernier ? Disposez-vous de données concrètes pour mesurer une amélioration tangible de la maturité cybersec dans le secteur ?
Wim Bijnens, CEO de SHIELD: Nous constatons une nette accélération du niveau de maturité, même si nous ne sommes pas encore arrivés au terme du parcours. Les chiffres les plus récents compilés par l'ASBL SHIELD montrent que les hôpitaux appliquent des actions correctives concrètes pour améliorer leur niveau de maturité en cybersecurité. Mais les écarts entre établissements restent toutefois importants.
Dans la seconde vague d'audit (Wave 2), composée principalement d'hôpitaux francophones (Bruxelles comprise), le score moyen de documentation atteint 2,03 soit un résultat supérieur de 44 % à la valeur de référence menée dans la Wave 1. Le score concernant l'implémentation atteint désormais 2,55, en hausse de 26,2 %. Ce chiffre dépasse donc légèrement le seuil de base établi à 2,50. Parmi les résultats CAB (Conformity Assessment Body) formulés par les entités tierces chargées d'auditer et de certifier la conformité des hôpitaux aux normes de cybersécurité, 12 vérifications sur 14 étaient positives, ce qui donne un score de 86 %. Le score moyen des vérifications réussies s'élevait à 3,26.
L’asbl SHIELD joue un rôle central comme plateforme de coopération neutre qui réunit hôpitaux, prestataires de services ICT et gouvernement. Son approche permet de mesurer l’évolution de la maturité du secteur hospitalier.
Ces chiffres doivent toutefois être interprétés avec prudence. La Wave 1 (menée en décembre 2025 dans 50 hôpitaux) et la Wave 2 (juin 2026 dans 25 hôpitaux) ne présentent pas la même composition et ont eu lieu à des périodes différentes. En l’absence d'échantillon CAB est complet, nous ne pouvons donc pas conclure qu'une région obtient structurellement de meilleurs résultats qu'une autre.
Ce que nous pouvons néanmoins affirmer, c'est que les hôpitaux francophones analysés lors de la Wave 2 ont franchi une étape importante lorsque les recommandations contenues dans la SHIELD Library (politiques, procédures, registres, diagrammes et preuves) ont été suivies activement. Dans ces cas de figure, les établissements ont pu progresser plus rapidement vers une préparation effective à l'audit. En résumé, les progrès observés sont bien réels, mais ils doivent désormais être ancrés dans une implémentation durable, et matérialisés par des indicateurs mesurables et continus.
Autrement dit, les meilleurs résultats sont obtenus lorsque la gouvernance, les modèles partagés, la mise en œuvre technique, la production de preuves et la collaboration sectorielle se renforcent mutuellement. Dans les soins de santé, la cybersécurité n'est jamais une fin en soi : elle vise la continuité, la sécurité et la qualité des soins apportés au patient.
- CSNB: Comment les hôpitaux réagissent-ils concrètement aux nouvelles obligations réglementaires, telles que NIS2, CyFun, ISO 27001, le RGPD ou encore l'AI Act ?
Wim Bijnens : Le changement le plus important est que la cybersécurité n'est plus considérée exclusivement comme un dossier informatique. Les hôpitaux intègrent de plus en plus les différentes réglementations dans une gouvernance et une gestion des risques communes, au lieu de créer un projet de conformité distinct pour chaque cadre.
La règlementation NIS2 s’impose comme une norme de responsabilité de gouvernance. Les directions et conseils d'administration des hôpitaux doivent désormais définir les orientations, suivre les risques et pouvoir démontrer que les mesures appropriées ont réellement été mises en œuvre.
CyFun aide à traduire ces obligations en contrôles concrets et en niveaux de maturité dans le contexte belge. De son côté, la certification ISO 27001 fournit un système de management reconnu à l'échelle internationale pour structurer l'analyse des risques, les responsabilités, le contrôle interne et l'amélioration continue.
Le RGPD demeure de son côté essentiel pour la protection des données à caractère personnel, tandis que NIS2 met davantage l'accent sur la résilience et la continuité de l'ensemble de l'organisation de soins.
L'AI Act, quant à lui, ajoute une couche supplémentaire. Les hôpitaux doivent mieux connaître les systèmes d'IA qu'ils utilisent, leur finalité, les données traitées et les modalités de contrôle humain. Cela concerne non seulement les services juridiques, mais aussi les achats, la direction médicale, la qualité, la protection des données, la sécurité de l'information et les services opérationnels.
« De l'assessment aux preuves prêtes pour l'audit : la SHIELD Library permet de traduire les retours en actions concrètes »
-CSNB : Observez-vous des différences dans l’application de ces règlementations selon les hôpitaux ?
Wim Bijnens : Les établissements les plus matures évitent de créer un silo documentaire pour chaque réglementation. Ils cherchent à utiliser un registre des risques unique, un cycle de gouvernance commun, un processus commun de gestion des fournisseurs et un même système pour les incidents, les exceptions et les preuves, avec des correspondances vers les différents cadres légaux et normatifs.
-CSNB: Quelles sont les normes et réglementations qui ont le plus grand impact direct sur la modernisation des infrastructures et sur la stratégie de cyberdéfense des organisations visées dans l’étude ?
Wim Bijnens : NIS2 a aujourd'hui l'impact direct le plus important, car les hôpitaux doivent démontrer qu'ils ont pris des mesures en matière de gestion des risques, de notification des incidents, de continuité, de fournisseurs, de vulnérabilités et de gestion de crise. Le débat passe ainsi des bonnes intentions à un fonctionnement démontrable.
De son côté, CyFun influence très concrètement les priorités et la production de preuves. Il permet de visualiser le niveau atteint par un hôpital et d'identifier les contrôles qui restent insuffisamment documentés ou implémentés.
La certification ISO 27001 agit surtout sur la gouvernance : elle oblige l'organisation à gérer systématiquement le périmètre, les risques, les responsabilités, les contrôles, les audits internes et les actions d'amélioration.
Le RGPD reste crucial pour la confidentialité et les droits des patients, mais la cybersécurité hospitalière va au-delà de la protection des données. Une attaque peut perturber le dossier patient informatisé, les laboratoires, les équipements médicaux, les blocs opératoires, la téléphonie ou les urgences. C'est pourquoi la continuité des soins est devenue le critère central.
L'AI Act exercera une influence croissante sur la sélection, la contractualisation, la journalisation, le contrôle humain et le suivi des systèmes d'IA. Pour les hôpitaux, l'enjeu n'est donc pas de choisir une seule norme, mais de traduire les différents cadres dans une architecture cohérente et un modèle de gestion commun.
« NIS2 impose l'obligation et la pression au niveau de la gouvernance ; CyFun rend les attentes belges mesurables ; ISO 27001 structure le système de management nécessaire pour pérenniser l'amélioration ».
-CSNB : Plus concrètement concernant CyFun et la certification ISO 27001 : quelle voie choisissent de suivre les hôpitaux en Belgique pour se conformer à ces nouvelles exigences en matière de cyberrésilience ? Observez-vous des différences entre les organismes francophones et néerlandophones ?
Wim Bijnens : Il convient d'abord de bien distinguer ces deux différentes voies. Selon le CCB (Centre de Cybersécurité en Belgique), les entités essentielles peuvent suivre un parcours CyFun, opter pour ISO/IEC 27001 ou faire l'objet d'une inspection directe. CyFun et ISO 27001 constituent bien deux voies valables. Le secteur demande que la certification SO 27001 soit reconnue au moyen d'une correspondance CyFun transparente, standardisée et proportionnée, sans double audit ni charge de preuve supplémentaire peu claire.
Dans la pratique, nous constatons que les hôpitaux francophones ont plus souvent choisi la voie CyFun, alors que les hôpitaux néerlandophones s'orientent davantage vers ISO 27001. Notez qu’il ne s'agit pas d'un classement qualitatif. CyFun est un cadre belge concret de contrôles et de maturité. Alors qu’ISO 27001 est un système de management reconnu à l'échelle internationale qui paraît plus progressif et prévisible à de nombreux établissements. Les deux voies peuvent renforcer la cyberrésilience, à condition de ne pas se limiter à une approche purement documentaire.
Les premiers audits de vérification montrent également que le cadre d'audit doit encore se stabiliser. Les établissements signalent des différences d’interprétation entre auditeurs et CAB, des orientations qui ne concordent pas toujours, une charge de preuve importante, un manque de clarté concernant la notation et les exceptions, ainsi que des questions sur la relation entre ISO et CyFun. Le secteur demande dès lors un cadre écrit et uniforme qui précise à l'avance les preuves attendues, la manière dont les preuves opérationnelles et démontrées en direct sont prises en compte, la façon dont les scores peuvent être corrigés et les modalités d'un retour motivé.
-CSNB : Quid des garanties octroyées en cas de contrôle? Comment ces mécanismes fonctionnement-ils sur le terrain ?
Wim Bijnens: Pour ISO 27001, le secteur demande spécifiquement qu'une certification accompagnée d'une correspondance transparente et standardisée avec les contrôles CyFun pertinents puisse être reconnue comme une voie acceptable. Les audits ISO existants doivent être reconnus lorsqu'ils offrent des garanties suffisantes. Une correspondance complémentaire peut être utile sur le fond, mais elle ne doit pas conduire à un second audit complet, à une duplication documentaire ou à un audit interne supplémentaire sans base juridique et méthodologique claire.
Chez les fournisseurs, un certificat ISO 27001 constitue un signal positif important, mais pas une garantie absolue. L'hôpital doit vérifier si le service concret entre dans le périmètre de certification, quels sous-traitants sont utilisés, où les données sont traitées, comment les incidents sont notifiés, quelles preuves techniques et organisationnelles sont disponibles, et comment sont organisées la sortie, la portabilité et la continuité.
L'enjeu n'est donc pas d'opposer CyFun à ISO. Il s'agit de permettre aux hôpitaux de choisir une voie reconnue, de couvrir les mêmes risques et résultats, et d'organiser un contrôle proportionné, prévisible et sans travail inutilement dupliqué. C'est précisément le message porté au CCB et au SPF Santé publique par le secteur, à savoir SHIELD, santhea, GIBBIS, UNESSA et Zorgnet-Icuro.
"L’intérêt du rapport réside dans le fait qu’il permet de mettre en évidence une prise de conscience aiguë des risques liés à la cybersécurité au sein du secteur hospitalier".
Fin de la première partie de l'article : rendez-vous ce vendredi 14 août pour le second et dernier volet de cet entretien. Wim Bijnens y lève le voile sur les moyens dont disposent les hôpitaux pour parvenir aux objectifs réglementaires, les différences régionales, les défis de la souveraineté numérique et détaille les stratégies communes aux meilleurs élèves de la classe en Belgique.
Découvrez comment la maturité numérique des secteurs des soins de santé et de l'enseignement supérieur s'inscrit au coeur de la mission de SHIELD : https://www.shield-vzw.be
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
