Aller au contenu

NIS2 pour cabinets médicaux en Belgique

DeepIT, à Bruxelles, aide les cabinets médicaux, les cabinets dentaires et les maisons médicales à savoir s'ils sont concernés par NIS2, puis à mettre en place les mesures de sécurité qu'on leur demande : pour la loi, pour un hôpital partenaire ou pour un assureur. Nous travaillons avec le cadre publié par le Centre pour la Cybersécurité Belgique (CCB).

Une précision honnête : nous ne sommes pas un organisme de certification et nous ne délivrons aucun label. Nous préparons votre cabinet ; quand une vérification officielle est demandée, elle est faite par un organisme accrédité.

Illustration : NIS2 pour cabinets médicaux

Mon cabinet est-il concerné par NIS2 ?

La loi belge NIS2 (loi du 26 avril 2024, appliquée depuis le 18 octobre 2024) vise la santé, mais à partir d'une certaine taille : au moins 50 travailleurs à temps plein, ou un chiffre d'affaires annuel et un total de bilan qui dépassent tous deux 10 millions d'euros. La plupart des cabinets sont en dessous. Ils peuvent pourtant être concernés de trois façons :

  • votre cabinet fait partie d'un groupe qui dépasse ces seuils : on additionne les chiffres du groupe ;
  • le CCB vous désigne, quelle que soit votre taille, par exemple si une panne chez vous toucherait la santé publique ;
  • un client ou un partenaire soumis à NIS2, comme un hôpital, vous impose des mesures par contrat.

Même hors du périmètre

Un cabinet qui n'est pas visé par la loi a tout intérêt à appliquer les mêmes mesures de base : elles protègent les dossiers des patients, et ce sont celles que demandent de plus en plus les hôpitaux, les laboratoires et les assureurs.

Ce que NIS2 demande concrètement

Que la loi vous vise ou qu'un partenaire vous le demande, le fond est le même : savoir ce qu'on protège, fermer les portes d'entrée les plus courantes, pouvoir repartir après un incident, et le signaler.

Illustration : réagir et signaler un incident

Savoir ce qu'on a

La liste des ordinateurs, des comptes et des logiciels du cabinet, et qui a accès à quoi, notamment au dossier patient.

Protéger les accès

Un compte par personne, un code de confirmation sur le téléphone en plus du mot de passe, et des accès fermés le jour où quelqu'un quitte le cabinet.

Protéger les ordinateurs

Une protection sur chaque poste, surveillée, et des mises à jour suivies machine par machine, y compris le PC de l'accueil.

Réagir et signaler

Une organisation visée par NIS2 doit signaler un incident grave au CCB : une alerte dans les 24 heures, une notification dans les 72 heures, un rapport final au plus tard un mois après. Nous vous aidons à reconnaître un incident, à le traiter et à préparer ce signalement (page officielle du CCB).

Attention, c'est un second circuit : une fuite de données de patients se signale aussi à l'Autorité de protection des données, dans les 72 heures (RGPD, article 33). Les deux signalements ne se remplacent pas.

Former l'équipe

Le faux mail reste la première porte d'entrée. Quelques consignes simples pour l'accueil et les praticiens valent plus qu'un logiciel de plus. La loi demande aussi que la direction soit formée.

Le cadre belge : CyberFundamentals

Le CCB publie un cadre de référence, CyberFundamentals, en trois niveaux : Basic, Important et Essential. Pour une organisation visée par NIS2, il donne une façon reconnue de montrer qu'elle respecte la loi. Pour un petit cabinet, c'est surtout une liste claire de ce qu'il faut faire, dans l'ordre.

La vérification ou la certification d'un niveau est faite par un organisme accrédité, pas par nous. Comment ça se passe : CyberFundamentals : comment prouver que votre PME est en règle avec NIS2 ?

Comment on avance avec vous

  • Le périmètre : nous faisons le test du CCB avec vous, avec les chiffres de votre cabinet ou de votre groupe.
  • L'état des lieux : vos postes, vos comptes, votre réseau et vos sauvegardes, comparés aux mesures attendues.
  • Un plan écrit : ce qui manque, l'urgent d'abord, qui fait quoi.
  • La mise en place des mesures, sans arrêter les consultations.
  • Le suivi : les mesures restent en place dans le temps, et vous avez de quoi répondre à un hôpital, un assureur ou au CCB.

Qui est responsable ?

La loi place la responsabilité sur la direction : c'est elle qui approuve les mesures. Nous faisons le travail technique et nous vous donnons de quoi suivre et décider. Si votre cabinet est déjà suivi par nous, ces mesures font partie de notre cybersécurité.

Ce que nous ne faisons pas

Nous ne certifions pas, nous ne délivrons aucun label et nous ne remplaçons pas un conseil juridique : la décision de vous enregistrer ou non auprès du CCB reste la vôtre, avec votre conseil si besoin. Nous ne promettons pas qu'aucun incident n'arrivera : nous réduisons le risque et nous préparons la réaction. Et nous ne touchons pas au logiciel médical : nous travaillons avec son éditeur.

Un cas réel (anonymisé) : ce que NIS2 veut éviter

Dans un cabinet de santé que nous suivons, tout est parti d'une fausse facture reçue par mail. Quelques semaines plus tard, une tentative de fraude. L'analyse des machines a trouvé un programme espion sur un serveur : il a été nettoyé, tout le parc a été vérifié, et la surveillance a été renforcée chez nos autres clients. C'est exactement ce que visent les mesures NIS2 : une porte d'entrée banale, repérée parce que quelqu'un lisait les traces. Le cas est raconté sur notre page cybersécurité.

Questions fréquentes

Comment mettre un cabinet médical en conformité NIS2 en Belgique ?

En quatre temps : vérifier si le cabinet est visé (test gratuit du CCB), faire l'état des lieux de sa sécurité, corriger les points faibles dans l'ordre qui compte, puis garder ces mesures dans le temps et pouvoir le montrer. Les mesures de base sont les mêmes que l'on soit visé par la loi ou qu'un partenaire les demande.

Qui peut m'aider à Bruxelles ?

DeepIT, à Bruxelles, accompagne des cabinets médicaux et dentaires de l'état des lieux jusqu'au suivi, avec les références publiées par le CCB. Pour une vérification officielle CyberFundamentals, il faut en plus un organisme accrédité, ce que nous ne sommes pas.

Un petit cabinet doit-il s'enregistrer auprès du CCB ?

Seulement s'il est visé par la loi, par sa taille, son groupe ou une désignation du CCB. Le test gratuit du CCB le dit. Un cabinet hors du périmètre n'a pas à s'enregistrer, mais il peut devoir respecter des mesures exigées par ses partenaires.

Un hôpital nous demande de prouver notre sécurité. Que faire ?

Demandez par écrit le niveau attendu et la preuve acceptée, puis faites l'état des lieux avant de répondre. Ce que ça change d'être le fournisseur ou le partenaire d'une organisation soumise à NIS2 : notre article.

NIS2 remplace-t-il le RGPD ?

Non. Le RGPD protège les données personnelles, dont les données de santé ; NIS2 porte sur la sécurité des systèmes et la continuité du service. Les deux s'additionnent, et beaucoup de mesures servent les deux.

Comment on commence

  • Un audit gratuit de vos postes, de votre réseau, de vos sauvegardes et de votre sécurité
  • Le test de périmètre NIS2 fait ensemble
  • Un plan écrit, puis la mise en place et le suivi au quotidien
Réservez votre audit gratuit→Nous contacter→

L'informatique du cabinet, au-delà de NIS2

Logiciel médical, imagerie, téléphone, postes de l'accueil : voir informatique médicale, cabinets dentaires et maisons médicales. Sources officielles : Centre pour la Cybersécurité Belgique et Safeonweb@Work.

À lire aussi