← Alle artikelen

NIS2 Frankrijk: vallen zorg en laboratoria eronder?

Gepubliceerd op 25 oktober 2026 · 8 min lezen · CyberNovaLabs.io

Zorg staat in bijlage I van NIS2, en toch is op 25 oktober 2026 in Frankrijk geen enkele NIS2-verplichting handhaafbaar. Intussen verplicht een Frans decreet vijf categorieën zorgaanbieders, medische laboratoria inbegrepen, incidenten onverwijld te melden. Welk decreet, en wat u doet.

Het korte antwoord

Twee antwoorden, en daarin zit de valkuil van NIS2 Frankrijk zorg. Inhoudelijk: ja, zorg staat in bijlage I van richtlijn (EU) 2022/2555, bij de sectoren van hoge kritikaliteit^[5]. Qua agenda: nee, op 25 oktober 2026 is in Frankrijk geen enkele NIS2-verplichting handhaafbaar, omdat de omzettingswet nog niet is aangenomen^[3].

Toch is een Franse zorgaanbieder op dit punt al een van de strengst gereguleerde van Europa. Artikel L.1111-8-2 van de Franse gezondheidswet voert de meldplicht in voor beveiligingsincidenten in informatiesystemen, en het uitvoeringsdecreet van 27 april 2022 noemt vijf categorieën organisaties — ook medische laboratoria en instellingen voor sociale zorg, die buiten de NIS2-omvangdrempels zouden vallen^[1]. Kortom: Frankrijk vraagt nu al méér van u dan de richtlijn, en via een ander loket.

Valt u eronder? De toetsen, op volgorde

Drie vragen, en de volgorde doet ertoe, want de eerste bindt u vandaag al.

1. Valt u onder decreet nr. 2022-715 van 27 april 2022? Het noemt zorginstellingen, militaire ziekenhuizen, radiotherapiecentra, medische laboratoria en instellingen voor sociale zorg^[1]. Geen omvangdrempel, geen overgangsperiode: staat u op die lijst, dan geldt de plicht om onverwijld te melden nu al.
2. Past u in een van de zorgcategorieën van bijlage I van NIS2? Zorgaanbieders, EU-referentielaboratoria, organisaties die geneesmiddelenonderzoek en -ontwikkeling doen, producenten van farmaceutische basisproducten en preparaten, en fabrikanten van medische hulpmiddelen^[5].
3. Haalt u de omvangdrempels? Belangrijke entiteit: minstens 50 medewerkers, of omzet én balanstotaal boven 10 miljoen euro. Essentiële entiteit: meer dan 250 medewerkers, of omzet boven 50 miljoen en balanstotaal boven 43 miljoen^[5].

Hoe de Franse wet er op 25 oktober 2026 echt voor staat

Het dossier van de Senaat laat geen ruimte voor twijfel. Het wetsvoorstel over de weerbaarheid van kritieke infrastructuur en de versterking van cyberbeveiliging is op 15 oktober 2024 bij de Senaat ingediend, met dezelfde dag de versnelde procedure van de regering; de Senaat nam het op 12 maart 2025 in eerste lezing aan (tekst nr. 78) en stuurde het naar de Assemblée nationale, waar de bijzondere commissie op 10 september 2025 tekst nr. 1779 indiende^[3]. Van een plenaire aanname in de Assemblée maakt het dossier geen melding^[3].

Het praktische gevolg verdient een duidelijk woord: zolang de wet niet is afgekondigd en de decreten niet zijn gepubliceerd, is er geen lijst met namen van essentiële of belangrijke entiteiten, geen handhaafbare registratiedeadline en geen boetekader naar Frans recht. Wees dus op uw hoede voor een leverancier die u een exacte Franse NIS2-boete voorrekent: die bestaat nog niet.

Wat er wél is, is een uur van uw tijd waard: de scopesimulator en de vrijwillige voorregistratie op MonEspaceNIS2, plus het Référentiel Cyber France van de Franse autoriteit ANSSI^[6]. Voor een ziekenhuis of kliniek is de waarde daarvan niet de naleving maar de taal: uw groep, uw partners en uw klanten die wél onder de regels vallen, stellen hun vragen in die termen.

Wat Frankrijk nu al eist, en via welk loket

Een melding is geen formulier dat in een lade verdwijnt: het zet een keten in beweging. CERT Santé, onderdeel van het Franse agentschap voor digitale zorg, bevestigt de melding, kwalificeert die namens de bevoegde autoriteiten, biedt waar nodig ondersteuning, en waarschuwt vervolgens — afhankelijk van het geval — de delegatie digitale zorg, de beveiligingsfunctionaris van de sociale ministeries, het directoraat-generaal gezondheid via CORRUSS bij gevolgen voor de volksgezondheid, de gezondheidsagentschappen bij een groot incident met gevolgen voor de patiëntenzorg, en ANSSI bij een OIV- of OSE-organisatie^[4]. De aanpak van het incident zelf blijft uw verantwoordelijkheid^[4].

De cijfers van de sector, en wat ze over uw risico zeggen

In 2025 zijn 764 beveiligingsincidenten bij CERT Santé gemeld, vrijwel gelijk aan het jaar ervoor, en 606 organisaties meldden er minstens één — het aantal betrokken organisaties blijft stijgen, vooral in de sociale zorg^[2]. Er werden slechts twee grote incidenten geregistreerd, tegen drie in 2024^[2].

De nuttige conclusie is niet “ransomware daalt, we kunnen rustig ademen”. Het is de verschuiving van de dreiging: gekaapte accounts, datalekken en betaalfraude van het type valse betaalopdracht nemen allemaal toe^[2]. Die drie los je niet op met een infrastructuurbudget, maar met meervoudige authenticatie, logging op de mailomgeving en een vastgelegde procedure voor het wijzigen van bankgegevens. Dat is goed nieuws voor een kliniek van zestig mensen: deze maatregelen zijn haalbaar.

De eerste vijf acties

1. Leg uw scope schriftelijk vast, op één gedateerde pagina. Twee regels volstaan: “vallen wij onder het decreet van 27 april 2022?” en “vallen wij onder bijlage I en de NIS2-drempels?”. Ondertekend door de directie is dit het eerste document dat een partner of verzekeraar opvraagt.
2. Zorg dat u kunt melden vóórdat het nodig is. Een actief account op het meldportaal, een melder met naam, een vervanger, en het nummer dat u 's nachts belt. Een melding die niemand om drie uur 's nachts kan indienen, bestaat niet^[1].
3. Zet meervoudige authenticatie aan op mail, externe toegang en beheeraccounts. Dit is de maatregel die de keten phishing, account, patiëntdossier doorbreekt — precies tegen de dreigingen die in 2025 groeiden^[2].
4. Haal één back-up van het netwerk en test de restore dit kwartaal. Offline, echt teruggezet, met de datum van de test vastgelegd. Een back-up die nooit is teruggezet, is geen back-up.
5. Plan uw crisisoefening in gedegradeerde modus. Een halve dag, een versleutelingsscenario, een verslag en drie verbeteracties: exact wat de Franse routekaart van elke instelling verwacht vóór 2027^[8].

Wilt u vergelijken met een land dat de omzetting wél heeft afgerond, lees dan onze gids over zorg onder de Nederlandse Cyberbeveiligingswet en de Belgische situatie in NIS2 België: zorg, ziekenhuizen en laboratoria. Voor een Franse sector die niet op de lijst staat en toch via klanten wordt geraakt, staat de redenering in NIS2 Frankrijk: vallen advocatenkantoren eronder?. Uw eigen geval in tien minuten beslecht: de gratis NIS2-check.

Bij CyberNovaLabs.io

Wij verkopen geen naleving per kilo. Wij werken in Nederland, België, Frankrijk en Luxemburg, en voor leveranciers en dienstverleners die zorgorganisaties willen bereiken maken wij de afspraken: kwalificatiecriteria vooraf op papier, betaling per afspraak of vast bedrag, geen looptijdverplichting. De werkwijze staat op onze pagina B2B-afspraken laten maken.

Praten over afspraken in de zorg

Bronnen

1. Portail du CERT Santé (ANS) — Le cadre législatif et les déclarations (14/04/2026)
2. Portail du CERT Santé (ANS) — L'Observatoire des incidents (11/05/2026)
3. Sénat — Dossier législatif : projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
4. Portail du CERT Santé (ANS) — Les services : qualification des incidents et appui à la réponse
5. Directive (UE) 2022/2555 (NIS2) — annexes I et II
6. ANSSI — MonEspaceNIS2
7. ANS / CERT Santé — Rapport public de l'Observatoire des signalements d'incidents de sécurité des SI 2025 (PDF)
8. Ministère de la Santé — Feuille de route du numérique en santé 2023-2027 (PDF)
9. CNIL — Notifier une violation de données personnelles

Lees ook