De zorg is een van de lievelingstargets van cybercriminelen. Alleen academische ziekenhuizen krijgen al “tienduizenden aanvallen te verduren”, zegt Hans van Goudoever, voorzitter voor koepelorganisatie UMCNL en Amsterdam UMC tegen NRC.
Lees ook: ChipSoft-hack legt verantwoordelijkheid zorgbestuurders bloot
In 2023 werd de Europese cyberveiligheid-richtlijn, de NIS2-richtlijn, van kracht. Nederland had een paar jaar nodig om een eigen complementaire wet te maken. Maar nu is de Cyberbeveiligingswet af en per 15 augustus van kracht.
De wet geeft grote zorginstellingen meer verantwoordelijkheden. NRC legt uit: “Bestuurders worden eindverantwoordelijk. Ze moeten kunnen bewijzen dat zowel zijzelf als hun leveranciers hun cyberbeveiliging op orde hebben. Ze mogen, onder meer, niet meer blind vertrouwen op certificaten van hun belangrijkste leveranciers, zegt Wim Hafkamp, directeur van Z-CERT, cyberexpertisecentrum voor de zorg: ‘Het is belangrijk je niet te verschuilen achter een leverancier die certificering zegt te hebben. Dat garandeert niet hoe goed de digitale beveiliging rond de geleverde dienst in de praktijk werkt.’
Grote organisaties
De wet geldt voor organisaties met meer dan vijftig fte’s in dienst of een jaaromzet én balanstotaal van meer dan 10 miljoen euro. Dit zijn zo’n 1.600 tot 2.000 zorgorganisaties. Vooral ziekenhuizen, ggz-instellingen en gehandicapteninstellingen krijgen extra verplichtingen. En grote huisartsenpraktijken met meerdere vestigingen, die bijvoorbeeld hun IT-beheer delen.
Ook leveranciers en fabrikanten van medische hulpmiddelen en medicijnen zijn nu wettelijk verplicht om hun informatiebeveiliging op orde te hebben.
Bestuurders op les
Bestuurders moeten hun expertise vergroten. Ze moeten onder meer risico’s beter kunnen herkennen, maatregelen beoordelen en gevolgen van die risico’s inschatten. De verwachtte verplichte training is nog niet helemaal af. De Nederlandse Vereniging van Ziekenhuizen zoekt momenteel nog naar geschikte opleiders.
Verder moeten zorgorganisatie zich aansluiten bij een landelijk portaal, waar ze ook verplicht zijn om aanvallen te melden. De manier waarop patiënten geïnformeerd moeten worden over een datalek staat ook bij wet vastgelegd.
Inspectie
Als zorgorganisaties de wet overtreden riskeren ze een boete van de inspectie. „Maar we zullen niet meteen met boetes zwaaien”, zegt IGJ-inspecteur Sandra Grapendaal tegen NRC. Dat is een laatste redmiddel volgens de inspecteur. „We willen zorgverleners stimuleren om hun informatie goed te beveiligen. Het is fijn dat we met deze wet extra mogelijkheden hebben om de druk op te voeren, maar het geld kan beter besteed worden aan goede zorg en beveiliging dan aan boetes.”
