La facture des cyberattaques contre les hôpitaux belges peut atteindre plusieurs millions d’euros, a indiqué le ministre de la Santé Frank Vandenbroucke à la Chambre, tout en soulignant qu’il est difficile d’en évaluer précisément l’impact financier. Certaines institutions ont toutefois établi des estimations documentées, allant de 300 000 euros à 5 millions d’euros.
Le ministre répondait à des questions de la députée Frieda Gijbels (N-VA) et de Ludivine Dedonder (PS) sur la cybersécurité dans le secteur hospitalier. Le débat intervient dans le contexte de la transposition en droit belge de la directive européenne NIS2 sur la sécurité des réseaux et de l'information, en vigueur depuis octobre 2024.
Cette directive impose aux hôpitaux de mettre en œuvre une politique de sécurité de l'information à l’échelle de l’établissement, couvrant l’ensemble de ses activités. Elle prévoit notamment la désignation de responsables spécifiques, comme un Chief Information Security Officer, l’identification des vulnérabilités, le contrôle des accès et la mise en place d’une politique rigoureuse de gestion des mots de passe.
Frieda Gijbels a demandé si les hôpitaux entraient dans la catégorie des fournisseurs de services essentiels, ce qui les soumettrait à une obligation de signalement et à des exigences de sécurité renforcées. Le ministre a confirmé que la directive s’applique à tous les hôpitaux qui répondent aux critères d’une entreprise de taille moyenne ou qui les dépassent.
Des sanctions comme ultime recours
Les hôpitaux dépassant les plafonds d’une entreprise de taille moyenne seront reconnus comme entités essentielles. À ce titre, ils devront signaler tout incident ou menace et seront régulièrement contrôlés quant au respect de la législation. La directive prévoit également des sanctions, que le ministre considère toutefois comme un “dernier recours”.
Interrogé par Ludivine Dedonder sur les conséquences financières des cyberattaques ayant visé les hôpitaux belges au cours des cinq dernières années, Frank Vandenbroucke a reconnu ne pas disposer de chiffres globaux. “C’est difficile à chiffrer, notamment parce que les hôpitaux ont dû gérer simultanément une crise sanitaire majeure. Certains n’ont pas encore établi d’évaluation précise des coûts liés aux attaques.”
D’autres établissements ont en revanche fourni des estimations. L’hôpital Heilig Hart de Mol chiffre les dégâts d’une attaque survenue en février 2021 entre 700 000 et 1 million d’euros. La clinique Saint-Luc de Bouge évoque une perte d’un million d’euros à la suite d’un incident en octobre 2021. À Herstal, la clinique André Renard estime les coûts liés à une attaque de janvier 2022 à 300 000 euros.
Parmi les hôpitaux n’ayant pas transmis d’estimation figurent le CHC MontLégia, le réseau Vivalia, le CHU Saint-Pierre et l’AZ Herentals. Le Centre Hospitalier Régional Sambre et Meuse (CHRSM), touché en mai 2022, a dû mobiliser entre 3 et 5 millions d’euros pour relancer ses activités.
Des moyens jugés insuffisants
Pour Dieter Goemaere, directeur des hôpitaux au sein de l’organisation hospitalière bruxelloise Gibbis, il est essentiel que le ministre reconnaisse l’importance stratégique du sujet, surtout dans le contexte géopolitique actuel. “Les hôpitaux font de gros efforts pour améliorer leur résilience face aux cybermenaces”, insiste-t-il, en citant notamment la mise en place d’équipes d’intervention, la sensibilisation, le partage d’expertise, les tests d’intrusion et les analyses de risques comme priorités.
Mais selon lui, les moyens actuels ne suffisent pas. “L’État investit aujourd’hui 15 millions d’euros alors qu’il faudrait un financement structurel de 138 millions d’euros.”
