Patiëntgegevens De nieuwe Cyberbeveiligingswet verplicht grote zorgorganisaties tot verhoogde digitale weerbaarheid. Op 15 augustus gaat de wet in. Bestuurders krijgen meer verantwoordelijkheid, ook voor hun leveranciers. Toezichthouders krijgen „extra opties om de druk op te voeren”, maar beloven „niet meteen met boetes te gaan zwaaien”.
Een tijdelijke locatie voor borstkankeronderzoek van het gehackte Bevolkingsonderzoek Nederland.
Het aantal datalekken dat werd veroorzaakt door een cyberaanval lag in 2025 bijna 70 procent hoger dan in 2024. „Organisaties moeten nú in actie komen en hun digitale veiligheid op orde brengen”, stelde de Autoriteit Persoonsgegevens vorige maand.
Vrijblijvend is deze oproep niet: vanaf 15 augustus wordt dit verplicht met de nieuwe Cyberbeveiligingswet. De wet is de Nederlandse vertaling van Europese regels die grote organisaties in alle EU-landen verplicht om digitaal weerbaarder te zijn. De nieuwe wet gaat volgens de Rijksoverheid gelden voor ten minste achtduizend organisaties in achttien „kritieke sectoren”, „zoals energie, digitale infrastructuur, onderzoek en overheid”.
Wie nog nooit een bericht over een datalek heeft gekregen, is anno 2026 een uitzondering. Vanwege het lek bij Clinical Diagnostics, dat het bevolkingsonderzoek naar baarmoederhalskanker uitvoerde, werden vorig jaar al bijna een miljoen mensen geïnformeerd over gestolen gegevens. Hun namen, adressen, geboortedata, geslacht, burgerservicenummers, medische onderzoeken en testuitslagen werden door hackers buitgemaakt. En dat was niet de eerste hack in die sector.
Cybercriminelen hebben het steeds vaker gemunt op de zorg. Academische ziekenhuizen krijgen tienduizenden aanvallen te verduren, weet ook Hans van Goudoever, voorzitter voor koepelorganisatie UMCNL en Amsterdam UMC. In totaal telt Nederland 69 ziekenhuizen, die allemaal vaker doelwit zullen worden van een cyberaanval, waarschuwt ook de Inspectie Gezondheidszorg en Jeugd (IGJ).
De kwaliteit van de zorg mag daar niet onder lijden, vond zowel het ministerie van Volksgezondheid als de Europese Unie. Al sinds 2022 is gewerkt aan een nieuwe Europese richtlijn voor cyberveiligheid, die dit weekend – op 15 augustus – in Nederland gaat gelden.
De nieuwe wet moet betere vangrails aanbrengen voor cyberincidenten, de zorg draaiende houden en gevoelige gegevens beschermen. Duizenden bedrijven krijgen nieuwe verplichtingen. En grote zorginstellingen extra verantwoordelijkheden.
Bestuurders worden eindverantwoordelijk. Ze moeten kunnen bewijzen dat zowel zijzelf als hun leveranciers hun cyberbeveiliging op orde hebben. Ze mogen, onder meer, niet meer blind vertrouwen op certificaten van hun belangrijkste leveranciers, zegt Wim Hafkamp, directeur van Z-CERT, cyberexpertisecentrum voor de zorg: „Het is belangrijk je niet te verschuilen achter een leverancier die certificering zegt te hebben. Dat garandeert niet hoe goed de digitale beveiliging rond de geleverde dienst in de praktijk werkt.”
Verder moeten grote organisaties zich registreren bij een nieuw landelijk portaal. Dan worden ze ondersteund door Z-CERT. In dat portaal moeten cyberincidenten verplicht worden gemeld, wat zorgorganisaties onder de oude regels niet hoefden te doen, zegt IGJ-inspecteur Sandra Grapendaal.
”Voor het eerst worden ook fabrikanten van medische hulpmiddelen en medicijnen wettelijk verplicht hun informatiebeveiliging op orde te hebben”, vertelt Grapendaal. „Voor zorgaanbieders overlapt veel met oudere regels.” Patiënten, cliënten of klanten moeten daarnaast zo specifiek mogelijk worden geïnformeerd over gelekte gegevens. En organisaties moeten zelf zulke incidenten gedetailleerder onderzoeken.
Bestuurders moeten ook hun expertise vergroten. Binnen twee jaar na 15 augustus moeten ze onder meer risico’s beter kunnen herkennen, maatregelen beoordelen en gevolgen van die risico’s inschatten. Er wacht ze een verplichte training. De zorgbranche zoekt momenteel opleiders om bestuurders te trainen voor de nieuwe wet, zo geeft de Nederlandse Vereniging van Ziekenhuizen te kennen.
Privacywetgeving en oudere veiligheidsnormen blijven overigens van kracht voor alle zorgverleners. De Autoriteit Persoonsgegevens en de IGJ blijven ze daarop controleren.
Hoe groter de organisatie, hoe groter de gevolgen van een cyberincident. Daarom geldt de wet alleen voor organisaties met meer dan vijftig fte’s in dienst of een jaaromzet én balanstotaal van meer dan 10 miljoen euro. Van de ruim veertigduizend geregistreerde zorgorganisaties (cijfers uit 2024) moeten waarschijnlijk zo’n 1.600 tot 2.000 instellingen zich aan deze wet gaan houden.
Vooral ziekenhuizen, ggz-instellingen en gehandicapteninstellingen krijgen extra verplichtingen. En grote huisartsenpraktijken met meerdere vestigingen, die bijvoorbeeld hun IT-beheer delen. Eveneens geldt de wet voor grote leveranciers van bestuurssystemen voor computers, elektronische patiëntendossiers, ‘medische hulpmiddelen’ als MRI-scanners en medicijnen.
„We moeten goed beoordelen hoe elk onderdeel de veiligheid van het gehele instituut beïnvloedt. Als er één ding fout gaat, zit je al gauw in de problemen”, zegt UMCNL-voorzitter Van Goudoever. „Soms werken onze mensen op verschillende locaties, bijvoorbeeld in Parijs of Londen. Daar hebben ze dan een eigen systeem én een systeem hier. Hoe zorg je dat die mensen hun werk goed kunnen doen, zonder dat een kwetsbaarheid in het ene systeem doorwerkt in het andere? Die risico’s proberen we te verminderen.”
Bijna iedere huisartsenpraktijk is te klein om in aanmerking te komen voor de nieuwe verplichtingen. Desondanks is de Landelijke Huisartsen Vereniging (LHV) druk met informatiebeveiliging en huisartsen daarbij te helpen, schrijft het aan NRC.
Een zorgprofessional in witte jas bedient een MRI-scan.
Dan grijpt de inspectie in. „Maar we zullen niet meteen met boetes zwaaien”, zegt Grapendaal. Dat is een laatste redmiddel volgens de inspecteur. „We willen zorgverleners stimuleren om hun informatie goed te beveiligen. Het is fijn dat we met deze wet extra mogelijkheden hebben om de druk op te voeren, maar het geld kan beter besteed worden aan goede zorg en beveiliging dan aan boetes.”
Collega-inspecteur Johan Krijgsman: ”We hebben een samenwerking opgetuigd tussen alle inspecties die toezicht gaan houden op de wet, zoals de Rijksinspectie Digitale Infrastructuur, de Inspectie Leefomgeving en Transport, de Inspectie voor het Onderwijs en de Nederlandse Voedsel en Warenautoriteit.” In een academisch ziekenhuis wordt bijvoorbeeld ook onderwijs gegeven, waardoor twee inspecties bij een incident misschien moeten samenwerken, zegt hij. „Het is een complex wetgevingstraject met veel sectoren, ministeries en toezichthouders.”
De IGJ krijgt veel verantwoordelijkheden maar moet tegelijkertijd flink bezuinigen van het kabinet. Over zes jaar heeft de inspectie 25 tot 30 procent minder geld om te besteden en moet een derde van de werknemers vertrokken zijn. Maar, zegt de IGJ, de inspectie bereidt zich al geruime tijd intensief voor op de komst van deze wet. Ze ziet veel overlap met eerdere regelgeving, waardoor volgens de inspectie niet veel verandert en het toezicht valt te waarborgen.
Dat is niet te zeggen. Niet alleen vergroot de snel ontwikkelende AI de dreiging, maar volgens de Autoriteit Persoonsgegevens worden ook „digitale doe-het-zelfpakketten” verkocht, „waarmee kwaadwillenden zonder al te veel technologische kennis aan de slag kunnen” en makkelijker systemen kunnen binnendringen.
Van Goudoever wijst ook op statelijke actoren. In maart legde bijvoorbeeld een Iraanse hackersgroep het bedrijf Stryker plat, een Amerikaanse fabrikant van medische apparatuur. Stryker kon vervolgens tijdelijk geen materialen leveren aan ziekenhuizen, ook niet aan die in Nederland.
Via phishing kunnen hackers een werknemersaccount overnemen en de gehele organisatie aanvallen. De AP zag in 2025 ongeveer 1.700 van dit soort take-overs, „bijna een verdrievoudiging” ten opzichte van 2024.
„En het gaat niet alleen om dreigingen van buitenaf,” zegt IGJ-inspecteur Grapendaal. „Een verkeerd uitgevoerde systeemupdate kan ook de continuïteit van de zorg in gevaar brengen.”
Van Goudoever: „We moeten proberen het voor hackers zo ingewikkeld mogelijk te maken. Dat we daarin moeten investeren, is duidelijk. We blijven natuurlijk goed voor onze patiënten zorgen. Maar we kunnen geld maar één keer uitgeven. Door extra investeringen in cybersecurity blijft minder over voor bijvoorbeeld innovatie, onderhoud of nieuwe huisvesting. Hoever ga je, als je weet dat 100 procent veiligheid niet bestaat?”