Comment les hôpitaux belges luttent pour leur sécurité (2e partie) : Entretien avec Wim Bijnens, CEO de SHIELD
Trois hôpitaux belges sur quatre n’ont pas le niveau de maturité requis en cybersécurité. Un rapport élaboré par l’ASBL SHIELD, en collaboration avec le SPF Santé Publique, fait toute la lumière sur l’état des protections informatiques dans le secteur hospitalier. Dans un entretien exclusif, le responsable de l’étude, Wim Bijnens, analyse la prise de conscience des établissements de soins de santé face aux nouveaux cyber risques, décortique l’accélération récente des avancées stratégiques, tout en faisant preuve de lucidité quant aux moyens dont disposent les responsables de la sécurité du secteur. Focus sur un monde hétérogène confronté à des défis colossaux.
Dans la première partie de notre entretien avec Wim Bijnens, le CEO de SHIELD présentait l’état de maturité de la cybersécurité du secteur hospitalier en Belgique et son évolution récente suite à la seconde vague d’audit (Wave 2) menée jusqu’en juin 2026. Il y dressait les implications des nouvelles réglementations NIS2, CyFun, AI Act et certifications ISO 27001 dans l’amélioration du niveau de protections des hôpitaux belges.
Dans ce second et dernier volet de notre entretien, Wim Bijnens se penche sur les moyens dont disposent les hôpitaux pour parvenir à leurs objectifs, sur les différences régionales qui règnent en matière d’hygiène sécuritaire, les grands défis à relever en matière de souveraineté numérique, et détaille les stratégies de cyber défense partagées par les meilleurs élèves de la classe en Belgique.
-Cyber Security News : Les hôpitaux belges disposent-ils de moyens suffisants pour s'adapter aux nouvelles réglementations dans les délais impartis ? Quelles sont les réalités du terrain en Flandre, en Wallonie et à Bruxelles ?
Wim Bijnens, CEO de SHIELD : Pour une partie des hôpitaux, le rythme demandé est effectivement difficile à tenir. Ils doivent investir simultanément dans la gouvernance, la documentation, la sécurité technique, la formation, la détection, la réponse aux incidents et les audits externes. La principale limitation n'est pas toujours technologique : il manque souvent des collaborateurs spécialisés, du temps de management, un budget structurel et une capacité d'audit suffisante.
Le secteur peut donc progresser, mais pas d’un seul coup. Un parcours réaliste doit tenir compte du personnel, des technologies héritées par les différents établissements, des budgets, de la capacité d'audit et des différences qui existent entre les établissements.
-CSN : Quels sont les principaux obstacles à la montée en puissance de la maturité cybersec dans nos hôpitaux ? Que nous apprennent les derniers chiffres collectés lors de la seconde vague d’audit ?
Wim Bijnens : L'environnement hospitalier est complexe. Les anciennes applications et les dispositifs médicaux ont une longue durée de vie et ne peuvent pas toujours être corrigés rapidement. D’autant qu’ils dépendent de fournisseurs spécialisés. L’autre réalité sur le terrain réside dans le fait que les soins de santé doivent se poursuivre sans interruption. Par conséquent, appliquer une logique classique de remplacement technologique s’avère donc souvent irréaliste.
Les derniers chiffres montrent toutefois qu'une progression rapide est possible. Dans notre seconde vague d’audit, les hôpitaux francophones, Bruxelles comprise, ont nettement amélioré leurs scores. Parmi les 5 établissements les plus performants figurent 3 hôpitaux wallons et 2 flamands. Ce groupe atteint une maturité moyenne de 3,20, avec 3,58 pour la documentation et 2,82 pour l'implémentation. Cela démontre qu'un niveau de maturité élevé est atteignable, mais pas spécifiquement à un niveau régional.
Les différences régionales s'expliquent notamment par le point de départ, le calendrier, la voie choisie, l'accompagnement et le degré d'utilisation des retours d'assessment, mais également par la documentation partagée. Bruxelles présente, à ce titre, un contexte multilingue et fortement imbriqué sur le plan institutionnel. Les petits établissements et les hôpitaux psychiatriques n’ont souvent pas la taille critique nécessaire pour organiser toute l’expertise en interne.
Le secteur propose donc un parcours progressif : d'abord un ensemble validé de contrôles prioritaires, ensuite un élargissement vers un niveau de maturité supérieur au moyen de plans d'amélioration, de mesures compensatoires, d'une gestion des exceptions et d'ISO 27001 avec correspondance CyFun, puis une progression graduelle vers le niveau Essential. L’échéance de la feuille de route sectorielle fixée au mois d’avril 2027 est en fait une proposition adressée au CCB et au SPF, et non un remplacement des obligations légales.
-CSN : Quelle évolution observez-vous en matière de souveraineté technologique dans les hôpitaux belges, notamment en matière d'hébergement des données et d'utilisation de technologies belges ou européennes ? Existe-t-il une réelle prise de conscience de ces enjeux et quels sont les obstacles à l'adoption de solutions souveraines ?
Wim Bijnens : Je constate que la prise de conscience dans ce domaine augmente. Les hôpitaux s'interrogent de plus en plus souvent sur le lieu de stockage des données, la législation applicable, mes personnes qui peuvent y accéder, les sous-traitants impliqués et l'ampleur de la dépendance à un seul fournisseur.
La question de la souveraineté ne dépend toutefois pas uniquement de la nationalité d'un fournisseur, mais aussi du contrôle, de la dépendance juridique, de la portabilité, de la continuité et de la capacité à continuer d'agir de manière autonome. Nous devons rester réalistes. Les technologies Microsoft sont très largement utilisées dans le secteur hospitalier et il n'existe pas encore, pour une grande partie de ces fonctionnalités, d'alternative équivalente capable de fonctionner à grande échelle. La souveraineté ne peut donc pas se résumer à remplacer toute technologie non européenne.
Le tableau est plus nuancé concernant le dossier patient informatisé. De nombreux hôpitaux utilisent une solution développée en interne, ou proposée par un fournisseur belge, néerlandaise ou provenant d'un autre pays européen. Une part importante de ces systèmes centraux fonctionne encore sur une infrastructure hébergée localement. Pour certains processus, cela réduit la dépendance directe à l'égard des plateformes américaines de cloud public. Cette situation résulte souvent de l'histoire et pas nécessairement d'une stratégie de souveraineté délibérée.
En ce qui concerne l'hébergement local, il n'est pas automatiquement plus sûr ni plus pérenne. L'hôpital reste responsable des correctifs, de la redondance, de la supervision, de l'expertise et de la restauration. À l'inverse, le recours au cloud n'est pas automatiquement contraire à la souveraineté. Les facteurs décisifs sont le chiffrement et la gestion des clés, les droits contractuels, la localisation des données, la transparence, la portabilité, les possibilités de sortie et la capacité à maintenir les processus de soins critiques lorsqu'un fournisseur tombe en panne ou modifie ses conditions.
Les solutions belges et européennes méritent davantage d'opportunités, mais elles doivent pouvoir rivaliser en matière de maturité, d'interopérabilité, de support et de coût total. Un hôpital ne peut résoudre seul la dépendance géopolitique. Il s'agit aussi d'un enjeu industriel et politique européen : des marchés publics communs et des investissements publics peuvent permettre aux alternatives européennes d’atteindre la taille critique et d’acquérir les références dont elles ont besoin.
Les solutions techniques diffèrent, mais les principes de sécurité, les objectifs de maturité et les attentes en matière de preuves doivent être communs.
-CSN : Existe-t-il des stratégies de cybersécurité partagées par tous les hôpitaux, ou diffèrent-elles régulièrement selon le type d'établissement ?
Wim Bijnens : Il n'existe pas de stratégie technique entièrement uniforme pour tous les hôpitaux belges. Un hôpital universitaire, un hôpital régional, un hôpital psychiatrique et un établissement spécialisé diffèrent fortement par leur taille, leur profil de soins, leurs activités de recherche, leur architecture, leur budget et leur paysage de fournisseurs.
En revanche, un référentiel commun émerge de plus en plus clairement. Tous les établissements ont besoin d'une gestion solide des risques, de contrôles robustes des identités et des accès, de segmentation, de supervision, de sauvegardes sûres, d'une réponse aux incidents, d'une gestion des fournisseurs et d'une planification de la continuité.
Au sein de SHIELD, nous traduisons ces besoins en modèles de politiques, registres, processus et mesures de maturité partagés. Nous élaborons également des architectures techniques de référence que les hôpitaux peuvent adapter à leur propre environnement. Cela permet ainsi de réutiliser des architectures éprouvées, sans imposer un produit ou un fournisseur unique.
Il n’est donc pas pertinent que chaque hôpital utilise exactement la même technologie. L'objectif doit tendre vers des choix qui répondent à des critères de sécurité comparables, gérés de manière démontrable, et que les hôpitaux n’aient pas à repartir à chaque fois de zéro.
-CSN : Certains hôpitaux belges peuvent-ils être considérés comme de bons élèves en matière de cybersécurité ? Pouvez-vous épingler un établissement qui pourrait servir d’exemple à suivre ?
Wim Bijnens: Il existe en effet des établissements à la pointe de la cybersécurité, mais nous ne publions pas de classement individuel et évitons d'attribuer le label d'hôpital « le plus sûr ».
Certains hôpitaux atteignent aujourd'hui un niveau de maturité élevé. Les cinq premiers obtiennent une maturité moyenne de 3,20, avec 3,58 pour la documentation et 2,82 pour l'implémentation. Trois de ces cinq établissements se trouvent en Wallonie et deux en Flandre ; les établissements wallons en tête comprennent également un hôpital psychiatrique.
Nous restons néanmoins prudents avant de désigner publiquement un établissement comme le meilleur ou le plus sûr. La cybersécurité n'est jamais un état définitivement acquis, et une organisation visiblement solide peut toujours être la cible d'une attaque sophistiquée. Une telle qualification publique peut en outre attirer une attention indésirable.
Les établissements les plus performants présentent toutefois des caractéristiques similaires, comme un soutien affirmé de la part de la direction et du conseil d'administration, une gouvernance formelle, une vision actualisée des risques, une planification pluriannuelle des investissements, une détection et une réponse aux incidents solides, la segmentation, des sauvegardes restaurables, des exercices et une gestion structurée des fournisseurs.
Un bon cas d’école n'est donc pas nécessairement un hôpital doté de la technologie la plus coûteuse. C'est un établissement qui relie de manière cohérente la gouvernance, les personnes, les processus, la technique et les preuves.
- CSN: À quelles difficultés sont confrontés les hôpitaux qui obtiennent les scores de maturité les plus faibles, et comment peuvent-ils surmonter la situation pour disposer d’un niveau de cybersécurité acceptable ?
Wim Bijnens: Les établissements dont la maturité est plus faible partent souvent d'un contexte plus difficile : une infrastructure vieillissante, de nombreux dispositifs médicaux et fournisseurs, une marge financière limitée, un manque de profils spécialisés ou une accumulation de priorités opérationnelles. Cela ne signifie pas que la cybersécurité n'y est pas jugée importante.
La solution consiste rarement à ajouter un outil de sécurité. Il faut d'abord clarifier les responsabilités, les processus de soins critiques, les dépendances, les risques et les priorités. L'hôpital peut ensuite élaborer un plan pluriannuel qui traite en premier les contrôles offrant la plus grande réduction des risques, tout en intégrant immédiatement la production de preuves.
Les services partagés accélèrent ce parcours : la SHIELD Library, les Validated Designs, les accords-cadres, les formations, l'apprentissage entre pairs, les capacités communes de détection et l'accompagnement lors des audits. Les établissements plus petits ou moins matures peuvent ainsi progresser plus rapidement sans devoir développer eux-mêmes toute l'expertise.
« Une maturité plus faible résulte généralement du point de départ, de la taille et de la capacité ; la mesure doit servir d'outil d'amélioration, et non de classement public. »
-CSN : Que peuvent faire concrètement les équipes informatiques locales pour améliorer le niveau de cybersécurité de leur établissement ? Et que peuvent ou doivent faire les pouvoirs publics pour permettre aux hôpitaux d'atteindre leurs objectifs ?
Wim Bijnens : Les équipes informatiques et de sécurité locales doivent commencer par établir une vision réaliste de leurs processus critiques, de leurs systèmes, de leurs flux de données et de leurs dépendances. Elles peuvent ensuite associer à chaque risque prioritaire un responsable, une échéance, des contrôles et les preuves nécessaires.
Sur le plan technique, des identités robustes et l'authentification multifactorielle, la segmentation des réseaux, la gestion des vulnérabilités et des correctifs, des sauvegardes restaurables, la supervision, la journalisation et la limitation des droits d'accès restent des priorités absolues. Une mesure n'a toutefois de réelle valeur que lorsqu'elle est exécutée et testée de manière reproductible.
Les exercices sont donc essentiels. Les hôpitaux doivent tester ce qui se produit lorsque le dossier patient informatisé, le réseau, la téléphonie, un laboratoire, des équipements médicaux ou un fournisseur critique deviennent indisponibles. Un plan d'incident qui n'existe que sur papier ne protège pas les soins.
Le secteur exige des pouvoirs publics des règles claires et stables. Le CCB (Center for Cybersecurity Belgium) doit harmoniser les interprétations, préciser les attentes en matière de preuves, accepter correctement les preuves opérationnelles et clarifier la relation entre CyFun, ISO 27001 et NIS2. Les CAB doivent appliquer le cadre de manière uniforme et fournir un retour motivé.
Le SPF Santé publique et les autres autorités doivent également soutenir des moyens pluriannuels et des conditions sectorielles favorables. Chaque hôpital ne doit pas nécessairement créer son propre SOC, sa propre équipe de réponse aux incidents ou sa propre expertise d'audit spécialisée. Des capacités partagées, des achats communs, des renseignements sur les menaces, des formations et un soutien ciblé aux petits établissements sont plus efficaces et renforcent l'ensemble du secteur.
« Les équipes locales doivent donner la priorité à la continuité des soins et à un fonctionnement démontrable ; les pouvoirs publics doivent permettre un cadre stable, une charge de preuve proportionnée, des moyens et des capacités sectorielles partagées. »
-CSN : Quels sont les principaux défis de cybersécurité auxquels seront confrontés les hôpitaux en 2027 et à l’avenir ?
Wim Bijnens : Le premier défi consiste à passer de la conformité à la résilience. Les documents et les preuves d'audit sont nécessaires, mais le critère ultime est la capacité de l'hôpital à continuer d'organiser des soins sûrs lors d'un incident grave.
Le deuxième défi concerne l'implémentation. Le rapport montre que la maturité documentaire peut augmenter plus rapidement que l'exécution opérationnelle. Le secteur doit désormais développer des indicateurs clés de performance, la journalisation, des points de mesure, des exercices, la gestion des exceptions et des activités de contrôle reproductibles démontrant que les politiques fonctionnent en pratique.
Un troisième défi est lié à la dépendance croissante aux plateformes cloud, aux fournisseurs de logiciels, aux technologies médicales et aux chaînes numériques. Un incident chez un seul fournisseur peut toucher simultanément plusieurs hôpitaux. Le risque fournisseur et la réponse commune deviennent donc de plus en plus importants.
Le manque de profils spécialisés reste par ailleurs structurel. La collaboration, les services partagés et l'automatisation sont indispensables. Les anciens équipements médicaux et les applications à cycle de vie long restent également difficiles à gérer, car ils ne peuvent pas être remplacés ou mis à jour aussi rapidement que l'informatique bureautique classique.
Enfin, les risques liés à l'IA, les tensions géopolitiques et les attaques contre les chaînes d'approvisionnement augmentent, tandis que la cybercriminalité se professionnalise. Le secteur doit donc améliorer sa maturité, maîtriser les nouvelles technologies et protéger la continuité des soins en parallèle.
« La prochaine étape consiste à passer d'une documentation basique à une implémentation mesurable et à une véritable résilience opérationnelle ».
-CSN : Comment les hôpitaux se défendent-ils contre des attaques de plus en plus sophistiquées menées à l'échelle industrielle ? Quelles sont les principales menaces auxquelles ils sont confrontés au quotidien ?
Wim Bijnens : L'IA abaisse le seuil d'accès pour les attaquants. Le phishing et l'ingénierie sociale deviennent plus crédibles, les attaques peuvent être adaptées plus rapidement et les vulnérabilités peuvent être recherchées à plus grande échelle. Des voix, images et messages convaincants rendent également la fraude à l'identité plus difficile à reconnaître.
La menace porte à la fois sur le vol de données et sur la perturbation des activités. Les données des patients sont extrêmement sensibles et peuvent être utilisées à des fins d'extorsion, de fraude ou de chantage. Mais l'arrêt de systèmes critiques peut affecter encore plus directement la sécurité des patients et la continuité des soins. Dans un hôpital, la disponibilité n'est donc pas un simple critère technique.
La défense reste multicouche, à savoir un contrôle fort des identités, une authentification résistante au phishing lorsque cela est possible, la segmentation, la détection sur les terminaux, la supervision, des sauvegardes sûres et testées, une réponse rapide aux incidents, un bon contrôle des fournisseurs et la formation du personnel. Les procédures de paiement, de restauration des accès et de modification sensible doivent résister aux tentatives de tromperie par la voix ou l'image.
La collaboration sectorielle est dès lors cruciale, car les mêmes schémas d'attaque peuvent toucher plusieurs établissements. Une capacité SOC partagée, l'échange rapide d'informations sur les menaces et de règles de détection, ainsi que des exercices communs peuvent réduire fortement le délai entre le premier signal et une défense effective.
« Pour les hôpitaux, la perturbation opérationnelle est au moins aussi grave que le vol de données. La défense exige plusieurs couches de protection et un partage rapide des informations au niveau sectoriel ».
-CSN: l'entrée en vigueur de l'AI Act a-t-elle un impact sur les hôpitaux ?
Wim Bijnens : L'impact est clair, mais il diffère selon l'application et le rôle de l'hôpital. Les hôpitaux utilisent déjà l'IA dans l'imagerie médicale, l'aide au diagnostic, la planification, l'administration, la recherche et la communication avec les patients. Ils peuvent être acquéreurs ou utilisateurs, mais aussi, dans certains cas, développer eux-mêmes des systèmes ou les modifier de manière substantielle.
La première étape pratique est de constituer un inventaire de l'IA : quels systèmes sont utilisés, à quelle fin, avec quelles données, par quel service et sous quel contrôle humain ? L'utilisation informelle d'IA générative par le personnel doit également être rendue visible, faute de quoi des informations sensibles pourraient sortir de l'environnement approuvé.
Pour les applications présentant un risque plus élevé, la gestion des risques, la qualité des données, la journalisation, la transparence, le contrôle humain, la supervision et la cybersécurité sont notamment essentielles. Toute application administrative d'IA n'est pas automatiquement à haut risque. La classification dépend de la finalité, du contexte et de l'influence sur la santé, la sécurité ou les droits fondamentaux.
Selon le calendrier européen actuel de mise en œuvre, les obligations relatives à la maîtrise de l'IA s'appliquent depuis février 2025 et les obligations de transparence sont pertinentes depuis le 2 août 2026. Des dates d'application ultérieures et progressives sont prévues pour les systèmes à haut risque. Les hôpitaux ne doivent donc pas attendre : la gouvernance, la formation, l'inventaire, les conditions d'achat et la gestion des incidents doivent dès maintenant être intégrés aux politiques existantes de sécurité de l'information, de protection des données et de qualité.
« Les hôpitaux doivent dorénavant inventorier et gérer l'IA dans le cadre de leurs dispositifs de sécurité existants, comme l'information, protection des données, qualité, achats et gestion des risques cliniques ».
Découvrez comment la maturité numérique des secteurs des soins de santé et de l'enseignement supérieur s'inscrit au coeur de la mission de SHIELD : https://www.shield-vzw.be
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
