Zorginstellingen worden steeds vaker gehackt, hoe bescherm ik mij?

Zorginstellingen worden steeds vaker het doelwit van cybercriminelen, en de gevolgen kunnen ernstig zijn: van datalekken met patiëntgegevens tot volledig platgelegde zorgprocessen. De beste bescherming begint bij een goed ingericht informatiebeveiligingsmanagementsysteem (ISMS), aangevuld met de juiste normen en bewustwording bij medewerkers. In dit artikel beantwoorden we de meest gestelde vragen over cyberbeveiliging in de zorg, van de oorzaken tot de praktische aanpak.

Waarom zijn zorginstellingen een populair doelwit voor hackers?

Zorginstellingen zijn aantrekkelijk voor hackers omdat zij grote hoeveelheden gevoelige persoonsgegevens beheren, vaak verouderde systemen gebruiken en continu beschikbaar moeten zijn. Die combinatie maakt ze kwetsbaar. Cybercriminelen weten dat een zorginstelling zich geen langdurige uitval kan veroorloven, wat de druk om snel te betalen bij ransomware-aanvallen vergroot.

Patiëntgegevens zijn op de digitale zwarte markt veel meer waard dan gewone creditcardgegevens. Ze bevatten medische geschiedenis, identiteitsgegevens, verzekeringsgegevens en soms ook financiële informatie. Dit maakt ze bijzonder aantrekkelijk voor criminelen die fraude willen plegen of gegevens willen doorverkopen.

Daarnaast werken zorginstellingen in complexe netwerken met veel ketenpartners: zorgverzekeraars, gemeenten, softwareleveranciers en andere zorgaanbieders. Elk koppelpunt is een potentieel zwak punt. Hoe meer partijen toegang hebben tot systemen, hoe groter het aanvalsoppervlak.

Welke soorten cyberaanvallen treffen zorginstellingen het meest?

De meest voorkomende cyberaanvallen op zorginstellingen zijn ransomware, phishing, datalekken via derden en aanvallen op slecht beveiligde zorgsystemen. Ransomware is veruit de gevaarlijkste: criminelen versleutelen systemen en eisen losgeld voordat de zorginstelling weer toegang krijgt tot haar eigen gegevens.

Ransomware en phishing

Bij ransomware-aanvallen worden bestanden en systemen gegijzeld. Zorgmedewerkers kunnen dan niet meer bij patiëntdossiers, planningssystemen of medicatieoverzichten. De aanval begint vaak met een phishingmail: een nep-e-mail die een medewerker verleidt om op een link te klikken of een bijlage te openen. Eén klik kan genoeg zijn om het hele netwerk te infecteren.

Aanvallen via ketenpartners en cloudtoepassingen

Een groeiend risico zijn aanvallen via leveranciers of andere ketenpartners die toegang hebben tot systemen van de zorginstelling. Als een softwareleverancier of externe ICT-partij onvoldoende beveiligd is, kunnen aanvallers via die route binnenkomen. Cloudomgevingen bieden veel voordelen, maar vragen ook om specifieke beveiligingsmaatregelen. De herziene NEN 7510 besteedt dan ook nadrukkelijk aandacht aan risico’s rondom cloudomgevingen en cyberdreigingen.

Wat zijn de gevolgen van een cyberaanval op een zorginstelling?

De gevolgen van een cyberaanval op een zorginstelling kunnen levensgevaarlijk zijn. Wanneer systemen uitvallen, kunnen zorgverleners niet meer beschikken over actuele patiëntgegevens, medicatieoverzichten of planningsinformatie. Dit leidt tot vertraging in de zorg, fouten en in ernstige gevallen tot directe risico’s voor patiënten.

Naast de directe impact op de zorgverlening zijn er ook juridische en financiële gevolgen. Zorginstellingen zijn verplicht datalekken te melden bij de Autoriteit Persoonsgegevens. De Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht bovendien dat zorgaanbieders beschikken over een functionerend continuïteitsplan en dit regelmatig testen. Wie dat niet op orde heeft, riskeert niet alleen reputatieschade, maar ook handhavingsmaatregelen.

Herstel na een cyberaanval kost tijd en geld. Systemen moeten worden hersteld of opnieuw worden opgebouwd, gegevens moeten worden gecontroleerd op integriteit en medewerkers moeten worden geïnformeerd. De totale schade, inclusief productiviteitsverlies, losgeld en herstelkosten, kan voor een middelgrote zorginstelling oplopen tot honderdduizenden euro’s.

Hoe bescherm je een zorginstelling tegen cyberaanvallen?

Een zorginstelling bescherm je tegen cyberaanvallen door informatiebeveiliging structureel in te richten op basis van een risicogerichte aanpak. Dit betekent: weten welke gegevens je beheert, wie er toegang toe heeft, welke risico’s er spelen en welke maatregelen je neemt om die risico’s te beheersen.

Concrete stappen die elke zorginstelling kan zetten:

• Voer een risicoanalyse uit om te bepalen waar de grootste kwetsbaarheden zitten in systemen, processen en mensen.
• Stel een toegangsbeleid in waarbij medewerkers alleen toegang hebben tot de gegevens die zij voor hun werk nodig hebben.
• Train medewerkers regelmatig in het herkennen van phishing en andere sociale manipulatietechnieken.
• Maak back-ups en test ze zodat je bij een aanval snel kunt herstellen zonder losgeld te betalen.
• Stel een continuïteitsplan op en oefen wat er gebeurt als systemen uitvallen.
• Beveilig ketenpartners door contractuele afspraken te maken over informatiebeveiliging bij leveranciers en ICT-partijen.
• Implementeer NEN 7510 als leidend kader voor informatiebeveiliging in de zorg.

Het is belangrijk te weten dat niet alleen de zorginstelling zelf verantwoordelijk is. De organisatie die een applicatie of zorgsysteem inzet, is verantwoordelijk voor het waarborgen van de beschikbaarheid, vertrouwelijkheid en integriteit van de gegevens die daarmee worden verwerkt. Een applicatie of systeem kan zelf niet NEN 7510-compliant zijn: dat is altijd de verantwoordelijkheid van de organisatie erachter.

Wat doet ISO 27001 voor de informatiebeveiliging in de zorg?

ISO 27001 is de internationale norm voor informatiebeveiliging en vormt de basis voor NEN 7510, de specifieke Nederlandse norm voor de zorgsector. Wie werkt volgens ISO 27001, bouwt een informatiebeveiligingsmanagementsysteem (ISMS) op dat risico’s structureel identificeert, beheerst en verbetert.

NEN 7510 gaat verder dan ISO 27001 door zorgspecifieke eisen toe te voegen. De norm bestaat uit twee delen: NEN 7510-1 bevat de normatieve voorschriften voor het ISMS, gebaseerd op ISO 27001, en NEN 7510-2 bevat zorgspecifieke aanvullende beheersmaatregelen. Denk aan eisen rondom de beschikbaarheid van patiëntgegevens, de logging van toegang tot elektronische patiëntdossiers en de vertrouwensbasis voor gegevensuitwisseling tussen zorgpartijen.

Het voldoen aan NEN 7510 is wettelijk verplicht. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verwijst via het Besluit elektronische gegevensverwerking door zorgaanbieders naar NEN 7510. Certificering is niet wettelijk verplicht, maar zorginstellingen moeten aantoonbaar kunnen maken dat zij aan de norm voldoen. NEN 7510-certificering is een erkende manier om die naleving te bewijzen.

Organisaties die werken volgens NEN 7510 voldoen bovendien al aan een groot deel van de eisen uit de Europese NIS2-richtlijn, die in 2026 wordt geïmplementeerd als de Cyberbeveiligingswet (Cbw) in de Nederlandse wetgeving.

Wanneer is externe begeleiding bij informatiebeveiliging zinvol?

Externe begeleiding bij informatiebeveiliging is zinvol zodra een zorginstelling merkt dat de interne kennis onvoldoende is om aan de wettelijke eisen te voldoen, een certificeringstraject te doorlopen of een serieus incident adequaat op te vangen. Dat geldt voor veel zorginstellingen, ongeacht hun omvang.

Informatiebeveiliging vraagt om een combinatie van technische kennis, juridisch inzicht en organisatorisch verandervermogen. Niet elke zorginstelling heeft die expertise in huis. Een externe adviseur helpt bij het uitvoeren van een GAP-analyse, het opzetten of actualiseren van een ISMS, het begeleiden van interne audits en het voorbereiden op certificering.

Externe begeleiding is ook waardevol bij de overgang naar NEN 7510:2024. Zorginstellingen met een bestaand NEN 7510-certificaat moeten uiterlijk 20 februari 2027 zijn overgegaan naar de nieuwe versie van de norm. Dat vraagt om een gestructureerde aanpak: van GAP-analyse en actualisatie van beleid tot interne audit, management review en overgangsaudit bij de certificerende instelling.

Hoe Diks Process Support helpt met NEN 7510

Wij ondersteunen zorginstellingen van A tot Z bij het implementeren en certificeren van NEN 7510. Of je nu voor het eerst met informatiebeveiliging aan de slag gaat of de overgang naar NEN 7510:2024 wilt voorbereiden, wij denken mee en pakken het praktisch aan. Onze aanpak is concreet, stapsgewijs en altijd gericht op resultaat.

Wat we voor jou doen:

• GAP-analyse: we brengen in kaart waar jouw organisatie staat ten opzichte van de eisen van NEN 7510 en wat er nog moet gebeuren.
• ISMS opzetten of actualiseren: we helpen bij het opstellen of herzien van beleid, procedures, risicobeoordelingen en de Verklaring van Toepasselijkheid.
• Implementatie van beheersmaatregelen: we begeleiden de uitvoering van nieuwe of aangepaste maatregelen en toetsen deze via interne audits.
• Training en bewustwording: we informeren medewerkers over hun rol in informatiebeveiliging en actualiseren incidentprocedures.
• Certificeringsbegeleiding: we begeleiden het volledige traject richting NEN 7510-certificering, inclusief de overgangsaudit voor bestaande certificaathouders.
• Interim ondersteuning: als jouw organisatie tijdelijk extra capaciteit nodig heeft, kunnen wij een interim security officer inzetten.

Wil je weten hoe jouw zorginstelling er op het gebied van informatiebeveiliging voor staat? Neem contact op en we kijken samen wat de beste eerste stap is.

Gerelateerde artikelen

• Hoe beveilig ik medische dossiers tegen onbevoegde toegang?
• Hoe breng ik beveiligingsrisico's in mijn zorgorganisatie in kaart?
• Hoe zorg je dat leveranciers leveren wat je hebt afgesproken?
• Welke certificeringsinstelling kies je voor ISO 9001?
• Hoe werkt ISO 9001 in de zorgsector?
• Hoe voorkom je dat veiligheid alleen leeft bij de veiligheidscoördinator?
• Hoe vind ik een interim KAM manager met ervaring in mijn sector?
• Kan een interim veiligheidskundige onze RI&E uitvoeren?
• Wat is het verschil tussen ISO 9001 en ISO 27001?
• Wat zijn de jaarlijkse kosten van ISO 27001?