Un hôpital qui décide de viser un niveau plus haut qu’exigé par la loi NIS2… Ambitieux ? En effet ! Plutôt que d’attendre d’y être progressivement obligé par la loi NIS2, l’hôpital Imelda a choisi de viser d’emblée le niveau CyFun « Important » au lieu du niveau « Basic ». Et c’est un pari réussi : Imelda est un des premiers hôpitaux à avoir effectivement atteint ce niveau, avec Cingulum à ses côtés tout au long du parcours.
Pendant que d’un côté les médecins et le personnel infirmier sont occupés à administrer des médicaments, poser des diagnostics et soigner les patients, Florin, CISO chez Imelda, veille quant à lui quelque chose d’aussi important… Et pourtant beaucoup moins visible : la sécurité de l’ensemble des données des patients et des systèmes de l’hôpital.
Peu de gens le savent, mais un hôpital dispose de son propre service de sécurité. Chez Imelda, le service IT compte 24 collaborateurs, et Florin, lui, s’occupe de la sécurité de l’information. Il gère notamment la politique de sécurité, les risques cyber, le suivi des incidents, la sensibilisation du personnel ou encore les contacts avec les fournisseurs et les autorités de contrôle.
Depuis la transposition de la directive NIS2 en 2024, les hôpitaux font en effet souvent partie des entités dites essentielles. Ils savaient dès lors qu’ils devraient un jour atteindre un des niveaux de sécurité CyFun. Pour Florin, opter pour le niveau Important plutôt que Basic allait de soi.
« En tant qu’hôpital, nous travaillons avec des données particulièrement sensibles. Si nos systèmes sont touchés, ce ne sont pas seulement des données qui sont touchées, mais potentiellement la sécurité des patients. Le niveau Basic comme plancher ne nous semblait donc pas être une ambition à la hauteur des enjeux. Nous voulions un niveau qui démontre réellement que nous prenons au sérieux nos responsabilités, tant envers les patients qu’envers nos collaborateurs et nos partenaires. »
Cingulum a accompagné Imelda dans cette démarche vers le niveau CyFun Important. Selon Florin, Cingulum l’a surtout aidé à comprendre l’intention derrière chaque mesure Cyfun, bien au-delà du simple fait de cocher des cases. L’audit externe a eu lieu le 1er avril 2026. Résultat : Imelda a obtenu le niveau CyFun Important, une première pour un hôpital. Avec le recul, Florin résume : « L’audit était strict, mais juste. »
La démarche a aussi changé le regard porté sur la sécurité au sein de l’hôpital : « La sécurité est devenue moins une affaire d’IT et davantage un sujet qui concerne toute l’organisation. Tout le monde y est associé et tout le monde y a contribué. »
Pour Imelda, l’histoire ne s’arrête pas là. Selon le calendrier actuel du CCB, les entités essentielles devront démontrer d’ici avril 2027 le niveau le plus élevé, dit « Essential », sauf si leur analyse de risques justifie un niveau inférieur. Celles qui n’y parviennent pas à temps devront présenter un plan de mise en conformité prouvant au moins le niveau Important, avec l’objectif d’atteindre le niveau Essential d’ici avril 2028. Imelda a donc déjà une sérieuse longueur d’avance. Dans les mois à venir, l’hôpital va continuer à ancrer ses processus, poursuivre la sensibilisation du personnel et suivre ses fournisseurs de plus près.
Florin a déjà un message pour ses collègues CISO qui se demandent s’ils ont besoin d’un accompagnement externe : « Ne sous-estimez pas la démarche. Un bon partenaire externe apporte de l’expertise et surtout un regard extérieur qu’il est difficile d’avoir soi-même. »
CyFun en quelques mots.
Cyber Fundamentals (CyFun) est le cadre de référence belge du Centre pour la Cybersécurité Belgique, avec trois niveaux : Basic, Important et Essential.
Dans le cadre de la loi NIS2, les entités essentielles comme les hôpitaux doivent démontrer un niveau qui augmente progressivement : au minimum Basic en 2026, puis Essential en 2027, ou un niveau inférieur si leur analyse de risques le justifie. Les entités qui ne sont pas prêtes en 2027 doivent présenter un plan de mise en conformité pour atteindre le niveau Essential d’ici 2028. L’échéance légale, elle, reste inchangée.
Vous souhaitez savoir où se situe votre organisation par rapport à CyFun et NIS2 ? Contactez Cingulum.
