B020
Dans un avis récent, la Commission pour les objectifs de soins de santé a identifié une meilleure utilisation des données comme l'un des deux objectifs transversaux fondamentaux pour poursuivre la réforme du système de soins de santé en Belgique (OSS1). En effet, une approche structurelle de la collecte et de l'utilisation des données est essentielle pour pouvoir procéder à des mesures de performance, assurer le suivi des politiques et surtout garantir la continuité et la qualité des soins au niveau individuel. Le Belgian Integrated Health Record (BIHR) est un élément important de cette approche. Cette plateforme doit permettre un partage aisé, sécurisé et orienté vers le patient des données relatives aux soins, ainsi qu'une réduction de la charge administrative des prestataires de soins et une meilleure coordination entre les différentes disciplines. Toutes les données relatives aux soins seraient dès lors mis à la disposition tant des prestataires de soins que du patient lui-même. Il reste cependant difficile d'évaluer où en est ce processus à l'heure actuelle. Par ailleurs, l'utilisation plus large des données nécessite également des investissements adéquats en matière de cybersécurité, surtout compte tenu de la vulnérabilité numérique de nos établissements de soins. De plus, la directive européenne SRI 2 impose des exigences plus strictes à cet égard. 1. Quels investissements ont été planifiés ces cinq (ou, si possible, ces dix) dernières années en matière de développement et de sécurisation du BIHR? Êtes-vous en mesure de ventiler ces investissements par année et par objectif (développement, cybersécurité, mise en oeuvre, accompagnement, etc.)? 2. Quel est l'état d'avancement du BIHR? Quels éléments sont déjà opérationnels et quels autres éléments sont encore en phase de développement ou de test? 3. L'avancement du BIHR fait-il l'objet d'un suivi et d'une évaluation? Des objectifs intermédiaires sont-ils définis? 4. En ce qui concerne le développement du BIHR, comment tient-on explicitement compte de la charge administrative qui incombe aux familles et aux prestataires de soins? Une analyse d'impact ou une enquête à cet égard a-t-elle été effectuée? 5. Combien d'hôpitaux et d'établissements de soins belges dans vos attributions disposent-ils actuellement d'un plan de cybersécurité adéquat, conforme aux normes européennes SRI 2? Merci de fournir la répartition par province et par type d'établissement (hôpitaux, cabinets médicaux de groupe, cabinets de médecin généraliste, hôpitaux psychiatriques), tant en chiffres absolus qu'en chiffres relatifs. 6. Existe-t-il un suivi systématique de cette conformité par votre administration ou par l'intermédiaire de la plateforme eHealth? 7. Depuis 2020, quel a été le montant investi dans la cybersécurité dans le secteur des soins de santé, indépendamment du BIHR? Dans quelle mesure ces investissements sont-ils conformes aux ambitions dans le cadre de la directive SRI 2?
B025
Vos premières questions concernent le Belgian Integrated Health Record (BIHR). À ce stade, le BIHR est encore en phase de conception et de structuration et n'est donc pas encore en production. Les investissements engagés à ce jour concernent principalement: - la définition de l'architecture cible, en s'appuyant sur les composants existants et leur consolidation; - la modélisation des caresets (allergie et vaccination); - les activités d'analyse, de concertation et de gouvernance; - des premiers travaux techniques préparatoires (interopérabilité, structuration, sécurité). La majorité des efforts ont été concentrés sur l'alignement avec les standards existants (p. ex. FIHR, etc.), la réutilisation des modules et fonctionnalités déjà disponibles, et la validation progressive des principes architecturaux. Deux caresets sont toutefois déjà disponibles: allergie et vaccination, en version structurée. Ces jeux de données ont été définis et validés avec les acteurs concernés. Les autres composants du BIHR, y compris son architecture globale, sont encore en cours d'élaboration et d'approbation. L'approche retenue repose sur la réutilisation de l'existant et l'alignement avec les principes d'interopérabilité nationaux. Les travaux liés au BIHR font l'objet d'un pilotage structuré, avec: - des groupes de travail thématiques; - un comité de pilotage pour valider les orientations; - une feuille de route évolutive, incluant des jalons notamment pour les caresets; - des objectifs intermédiaires, centrés sur la définition, l'implémentation technique, et la validation fonctionnelle des éléments produits. La volonté de réduire la charge administrative pour les soignants et les familles est un objectif fondamental du BIHR. Cette ambition se traduit notamment par: - la structuration des données pour éviter les doublons; - la réutilisation de l'information saisie une seule fois dans différents contextes; - l'harmonisation des formats pour simplifier la consultation et le partage; - une intégration facilitée dans les logiciels métiers, afin de limiter les ressaisies. À ce jour, il n'existe pas encore d'analyse d'impact formelle ni d'enquête spécifique sur la charge administrative. Toutefois, cette dimension est intégrée dans la démarche de concertation, et sera prise en compte lors des phases de test avec les utilisateurs finaux. En ce qui concerne vos questions relatives à la cybersécurité dans les hôpitaux, il est actuellement prématuré de conclure que tous les hôpitaux et établissements de soins belges disposent d'un plan de cybersécurité pleinement conforme aux exigences de la directive européenne NIS2. La directive (UE) 2022/2555, connue sous l'appellation NIS2, qui vise à renforcer la cybersécurité des entités critiques au sein de l'Union européenne, a en effet été transposée en droit belge par la loi du 26 avril 2024. Cette loi établit un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique. En guise de première étape, les entités concernées ont été invitées à s'enregistrer auprès du Centre pour la cybersécurité Belgique (CCB). Il est important de remarquer que tous les établissements de soins ne sont pas automatiquement considérés comme des entités essentielles ou importantes au sens de la directive. Leur classification dépend de critères spécifiques en rapport avec leur taille, leur chiffre d'affaires, leur rôle social et leur degré d'exposition aux cyberrisques. Le processus de mise en conformité comprend plusieurs étapes: - avril 2026: première date limite pour atteindre un niveau de sécurité de base, en ce compris compris des mesures organisationnelles et techniques minimales; - avril 2027: date limite pour démontrer la conformité totale aux exigences de la directive, en ce compris l'amélioration des contrôles de sécurité, la gestion documentée des risques et la capacité avérée à réagir aux incidents. Ce n'est qu'à partir de mai-juin 2026, lorsque les premières évaluations auront été réalisées, qu'un diagnostic plus précis pourra être posé sur le degré de préparation et de conformité des établissements de soins belges. En résumé, bien que des efforts soient déployés, il est encore trop tôt pour affirmer que le secteur hospitalier belge est prêt à se conformer pleinement aux exigences de la directive NIS2. En 2022, un budget de 20 millions d'euros avait été alloué au secteur hospitalier pour soutenir les investissements dans leur sécurité informatique et, depuis 2023, un budget récurrent de 15 millions d'euros est alloué aux hôpitaux pour leur permettre d'investir davantage dans leur sécurité informatique. En 2024, un budget unique de 39,5 millions d'euros a également été dégagé et alloué au secteur hospitalier le 1er janvier 2025 afin d'améliorer sa maturité en matière de cybersécurité. À partir de 2024, un cyberprogramme a été mis sur pied afin de structurer l'attribution d'un financement récurrent de 15 millions d'euros aux hôpitaux avec les objectifs fondateurs suivants: - l'amélioration notable du niveau de cybersécurité dans le secteur, à l'aide d'une approche fondée sur les risques, conformément à la mise en oeuvre de la NIS2; - la création d'une communauté de partage et d'entraide au sein du secteur hospitalier; - le renforcement de l'autonomie des hôpitaux dans la gestion de leur cybersécurité.