Seul un hôpital sur quatre atteint le niveau de maturité requis
Rapport : la cybersécurité dans les hôpitaux reste insuffisante
Trois hôpitaux belges sur quatre doivent de toute urgence prendre des mesures supplémentaires pour atteindre le niveau de maturité requis en matière de cybersécurité. C'est ce qui ressort du rapport "Status of cybersecurity in Belgian Hospitals" ("État de la cybersécurité dans les hôpitaux belges"), rédigé par l'asbl Shield en collaboration avec le SPF Santé publique.
Il ne s'agit pas d'une coïncidence : le jour même où l'asbl Shield a publié son rapport sur la cybersécurité dans les hôpitaux belges, l'AZ Monica à Anvers a été victime d'une cyberattaque. Cet incident souligne le message central du rapport : bien que le secteur soit conscient des cybermenaces, il reste encore beaucoup à faire.
L'analyse de Shield est basée sur des mesures de maturité dans plus de 50 hôpitaux à travers le pays. Elle révèle de grandes différences de maturité cybernétique entre les hôpitaux. Seul un hôpital sur quatre atteint déjà le niveau requis ou s'en rapproche. Les petits hôpitaux et les hôpitaux psychiatriques sont particulièrement à la traîne en raison de ressources limitées et d'une pénurie de profils spécialisés.
Différences par type
Les hôpitaux généraux obtiennent (sur un maximum théorique de 5) un score moyen de 1,66 pour la documentation* et de 2,23 pour la mise en œuvre. "Leur plus grande maturité s'explique en grande partie par des équipes TIC et de sécurité plus importantes, des processus de gouvernance structurés et des procédures administratives plus formalisées", indique le rapport. Ces hôpitaux sont donc bien placés pour atteindre le seuil minimal de maturité requis (2,5 sur 5 d'ici avril 2026), à condition d'intensifier les efforts de documentation.
Les hôpitaux psychiatriques affichent une maturité nettement plus faible, avec un score de 1,30 pour la documentation et de 2,04 pour la mise en œuvre. "Beaucoup de ces hôpitaux fonctionnent avec un personnel TIC très limité, peu ou pas de fonctions de sécurité dédiées et des structures de gouvernance moins formalisées", peut-on lire dans la déclaration. Sans soutien ciblé, les hôpitaux psychiatriques risquent fort de ne pas atteindre les objectifs fixés pour 2026 et 2027.
Les hôpitaux universitaires obtiennent un score de 1,79 pour la documentation et de 2,23 pour la mise en œuvre, surpassant les autres types d'hôpitaux, notamment en ce qui concerne la qualité de la documentation. "Leur plus grande maturité en matière de gouvernance, leurs équipes plus nombreuses et leurs processus plus standardisés sont autant d'explications. Ils constituent également une référence dans le secteur en termes de réaction et de rétablissement."
Différences régionales
Il existe également des différences régionales : Les hôpitaux flamands obtiennent en moyenne de meilleurs résultats que les hôpitaux wallons et bruxellois. "Ces différences reflètent plusieurs facteurs sous-jacents", précise le rapport. "Les hôpitaux de Flandre disposent généralement d'équipes numériques et de sécurité plus importantes ou plus spécialisées, de structures de gouvernance plus matures et d'un niveau plus élevé de normalisation opérationnelle au sein des réseaux."
"Les hôpitaux de Bruxelles sont confrontés à des contraintes structurelles plus importantes, notamment des ressources limitées et une plus grande complexité organisationnelle, ce qui limite leur capacité à formaliser les processus et à maintenir la documentation. La Wallonie se situe entre ces deux profils, avec une capacité de mise en œuvre modérée mais toujours des défis importants en matière de documentation."
L'identification est un goulot d'étranglement
Parmi les cinq piliers de la cybersécurité, l'identification est le domaine le moins performant, selon le rapport, avec seulement 15,9 % des hôpitaux atteignant le score de maturité requis de 2,50. Ce domaine comprend la gestion des actifs, l'inventaire des logiciels et des données, l'évaluation des risques, les structures de gouvernance et la classification des données.
"Ces éléments déterminent si un hôpital sait quels actifs il possède, quels sont les risques auxquels il est confronté et qui est responsable de leur gestion", précise le rapport.
Les autres piliers, à savoir la protection, la détection, la réaction et la récupération, obtiennent de bien meilleurs résultats.
Feuille de route pour la cyber-résilience
Pour chaque hôpital, une feuille de route individuelle est en cours d'élaboration pour les 36 prochains mois, avec des priorités claires, des solutions planifiées et une estimation du déploiement de personnel et des budgets nécessaires. Ces feuilles de route individuelles seront rassemblées dans une feuille de route sectorielle.
Un montant de 15 millions d'euros par an est prévu pour renforcer la cybersécurité dans les hôpitaux généraux et psychiatriques. Avec les one shots de 2022 (20 millions d'euros) et 2024 (40 millions d'euros), 105 millions d'euros ont déjà été investis depuis 2022.
Shield asbl est une plateforme de coopération neutre qui réunit les hôpitaux, les fournisseurs de services TIC et les pouvoirs publics. En collaboration avec le SPF Santé publique, Shield mesure systématiquement la cyber-maturité des hôpitaux. Pour ce faire, il utilise la bibliothèque Shield: un ensemble de processus, de procédures et de documents de politique développés à l'échelle du secteur et rédigés par et pour les hôpitaux belges. La bibliothèque est alignée sur NIS2 et sur des normes reconnues telles que ISO/IEC 27001 et CyberFundamentals.
Le rapport est disponible auprès de Shield vzw.
* La "documentation" ne se limite pas à l'enregistrement écrit des processus et des politiques ; elle comprend également leur intégration dans l'état d'esprit de l'organisation, soutenue par des outils appropriés, l'allocation de ressources et des cycles de maintenance récurrents.
