Morgenochtend ligt het ECD eruit. Medewerkers kunnen niet bij cliëntinformatie, werkprocessen lopen vast en het is onduidelijk hoelang de verstoring gaat duren. Wie neemt dan de beslissingen? Wie bepaalt wat prioriteit krijgt? En weet iedereen wat er van hem of haar wordt verwacht?

Precies daar raakt cybersecurity aan zorgcontinuïteit. Want zodra digitale systemen uitvallen, is informatiebeveiliging geen IT-vraagstuk meer, maar een bestuursvraagstuk. De gevolgen zijn direct merkbaar in het dagelijkse werk van zorgprofessionals en uiteindelijk in de zorg voor cliënten.

De Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, maakt die verantwoordelijkheid explicieter. Sinds 15 augustus 2026 moeten zorgorganisaties die onder de Cyberbeveiligingswet vallen hun cyberrisico’s aantoonbaar beheersen, siginificante incidenten melden en het bestuur actief betrekken bij de maatregelen en het toezicht daarop.

Voor bestuurders is de belangrijkste vraag daarom niet alleen: voldoen we aan NIS2? Maar vooral: zijn we voorbereid als het morgen misgaat?

Wat NIS2 in de zorg feitelijk betekent

De kern van de Cbw is dat zorgorganisaties hun cyberweerbaarheid aantoonbaar op orde brengen. De wet geldt voor zorgaanbieders vanaf grofweg 50 medewerkers of 10 miljoen euro jaaromzet. Bestuurders zijn eindverantwoordelijk, en die verantwoordelijkheid is persoonlijk. Bij ernstige tekortkomingen kunnen boetes flink oplopen en bij essentiële organisaties kan het consequenties hebben voor het uitoefenen van de bestuurdersfunctie. Dat is een niveau van aansprakelijkheid dat de meeste zorgbestuurders niet gewend zijn bij een IT-dossier.

De sector heeft daarnaast een eigen norm: NEN 7510, de zorgspecifieke uitwerking van ISO 27001 en ISO 27002. Die norm is al langer wettelijk verplicht voor elke zorgaanbieder die met een elektronisch zorginformatiesysteem werkt. Wie NEN 7510 goed heeft ingericht, ligt grotendeels op koers voor de Cbw. De verwachting is dat in een volgende versie van NEN 7510 ook de extra verplichtingen (met name de meldplicht) direct worden ondergebracht.

We zien dat veel zorgorganisaties er inmiddels mee bezig zijn, maar dat er nog werk te doen is. Het besef is er, en dat was een paar jaar geleden anders.

Van IT-vraagstuk naar bestuursthema

Twee jaar geleden hoorden we bij directies nog regelmatig: “Dit is iets voor de IT-afdeling.” Dat geluid is veranderd. Zichtbare hacks in het nieuws, de opkomst van AI en de manier waarop toezichthouders zich uitspreken heeft de bewustwording verplaatst naar de bestuurskamer. Dat is een goede ontwikkeling, want de Cbw kún je niet vanuit IT alleen invullen. Beleid, risicoanalyse, awareness, meldplicht en governance zijn bestuurlijke onderwerpen met een technische kant, niet andersom.

Waar de gaten meestal zitten

In onze trajecten zien we bij zorgorganisaties vaak dezelfde punten die nog niet op orde zijn. Ze zijn zelden dramatisch, maar wel structureel.

Ten eerste: het incident response plan. Wat doen we als er een incident plaatsvindt, wie doet wat en wie belt wie? Bij veel organisaties is dat plan er niet, of het is verouderd. In de zorg speelt dat extra scherp: als het ECD stilligt, staat de zorg zelf stil. Een goed incident respons plan geeft daar antwoord op en beschrijft hoe de zorg doorgaat zolang systemen niet beschikbaar zijn. Minstens net zo belangrijk: het plan wordt regelmatig getest en bijgewerkt.

Ten tweede: 24/7-detectie. Cyberincidenten houden zich niet aan kantooruren. Aanvallers kiezen vaak de nacht of het weekend. Voor organisaties waarvoor beschikbaarheid van levensbelang is, is het belangrijk na te denken over monitoring en opvolging buiten kantooruren. Voor veel grotere zorgorganisaties betekent dat continue monitoring van de IT-omgeving.

Ten derde: awareness als eenmalige actie. Techniek houdt veel tegen, maar de mens is voor aanvallers de meest gebruikte ingang. Zonder een structureel bewustwordingsprogramma gok je er bij elke phishingmail op dat niemand klikt. Een jaarlijkse training is niet genoeg. Bewustwording werkt beter wanneer het doorlopend aandacht krijgt en aansluit bij situaties die medewerkers in hun dagelijks werk herkennen.

Ten vierde: beleid en risicoanalyse. Die moeten concreet zijn vastgelegd, niet als losse Word-documenten in een SharePoint-map die niet meer worden geopend, maar als levend beleid. Dat betekent dat risico’s, maatregelen en beleid regelmatig opnieuw moeten worden beoordeeld. Juist die verbetercyclus vormt de kern van NEN 7510.

En ten vijfde: de meldplicht. Een significant incident meld je binnen 24 uur nadat je het ontdekt met een eerste waarschuwing. Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindrapport. Tijdens een incident wil je niet meer hoeven uitzoeken wie verantwoordelijk is of welke informatie nodig is. Leg het proces vooraf vast, wijs verantwoordelijken aan en oefen ermee.

Hoe wij dit in de praktijk aanpakken

Bij een zorgorganisatie in Noord-Brabant hebben we zo’n traject van begin tot eind doorlopen. We begonnen met de vraag: waar staat de organisatie nu? Met een assessment brachten we de bestaande maatregelen, risico’s, het beleid en de awareness bij de medewerkers in kaart. Daarna hebben we samen met de IT-manager bepaald welke verbeteringen nodig waren. Daarbij namen we zowel NEN 7510 als en de verplichtingen vanuit de Cbw beiden mee.

Uit de risicoanalyse ontstond een roadmap. Wat moet direct worden opgepakt? Wat vraagt meer voorbereiding? En welke maatregelen kunnen worden meegenomen in bestaande verander- en beheerplannen?

Daarnaast is 24/7-monitoring van de omgeving ingericht via ons Security Operations Center (SOC). Verdachte signalen worden daardoor snel onderzocht en zo nodig opgeschaald. Dat geeft inzicht in wat er op het netwerk gebeurt, en het maakt de meldplicht uitvoerbaar in plaats van theoretisch: binnen 24 uur melden lukt alleen als je een incident ook op tijd ziet.

De belangrijkste les uit dit soort trajecten: probeer niet alles tegelijk op te lossen. Begin bij de grootste risico’s en bij maatregelen die snel uit te voeren zijn en direct resultaat opleveren. Die eerste resultaten zorgen voor intern draagvlak om daarna de zwaardere onderdelen aan te pakken.

Voldoen is niet genoeg: je moet het kunnen aantonen

Een terugkerend misverstand: “we voldoen eraan, dus we zijn klaar.” De kern van de Cbw en NEN 7510 is dat je het ook aantoonbaar maakt. Voldoen op papier is niet genoeg: je moet kunnen laten zien dat je maatregelen werken. Voor NEN 7510 betekent dit onder andere dat informatiebeveiliging regelmatig onafhankelijk wordt beoordeeld. Certificering is één manier om aantoonbaar te maken dat je volgens de norm werkt, maar een NEN7510-certificaat is niet wettelijk verplicht.

Belangrijker is dat aantoonbaarheid onderdeel wordt van de normale manier van werken. Niet pas bewijs verzamelen wanneer de toezichthouder erom vraagt, maar voortdurend weten waar je staat.

Wat betekent dit voor bestuurders

Vier onderwerpen horen bovenaan de bestuursagenda

1. Maak cyberweerbaarheid onderdeel van de reguliere besturing
   Behandel informatiebeveiliging niet als los IT-project, maar als onderdeel van risicomanagement en zorgcontinuïteit. Geef het een vaste plek in de bestuurs- en jaarcyclus. En volg als bestuur zelf de training die de Cbw verplicht stelt.
2. Zorg dat je weet waar je staat
   Breng risico’s en bestaande maatregelen objectief in kaart. Daarmee ontstaat een onderbouwde roadmap in plaats van een lange lijst losse beveiligingsacties. Controleer ook of je organisatie is geregistreerd bij het NCSC.
3. Bereid je voor op een incident
   Zorg dat het incident response plan, verantwoordelijkheden en het meldproces helder zijn. En test of ze in de praktijk werken, bijvoorbeeld met een oefening waarin het ECD uitvalt.
4. Maak digitale veiligheid onderdeel van het dagelijkse werk
   Verbind cybersecurity en awareness aan bestaande scholing, onboarding en werkprocessen. Zo wordt digitale veiligheid geen extra programma naast het werk, maar onderdeel van professioneel werken in de zorg.

Waar begin je?

De Cbw vraagt om maatregelen, maar het doel is groter dan voldoen aan wet- en regelgeving. Uiteindelijk gaat het erom dat een zorgorganisatie digitaal weerbaar genoeg is om de zorg door te laten gaan, ook als systemen uitvallen.

Daarom beginnen wij liever niet met de vraag welke securityoplossing je nodig hebt. We beginnen met de vraag waar de grootste risico’s voor jouw organisatie, medewerkers en zorgverlening zitten.

Wil je weten waar je staat ten opzichte van de Cyberbeveiligingswet en NEN 7510? Neem contact op voor een verkennend gesprek. Of lees meer over onze security-aanpak en de bredere blik op IT in de zorg.

Zo kan IT ook.

Terug naar overzicht