“Cybersecurity in de zorg gaat niet alleen over IT. Het gaat over zorgprocessen en uiteindelijk over patiëntveiligheid.” Met die zin vat Arno van der Heijden, werkzaam bij Philips, de kern samen van een verschuiving die zich in de zorg steeds duidelijker aftekent. Cybersecurity is niet langer alleen een technisch domein van IT-afdelingen, maar beïnvloedt hoe zorg wordt geleverd en patiëntveiligheid gerealiseerd. En dat maakt het gesprek over digitale veiligheid in ziekenhuizen misschien wel anders dan in andere sectoren.
In de IT-wereld is het tempo helder. Wanneer een kwetsbaarheid wordt ontdekt in software van bijvoorbeeld Microsoft, volgt een patch, een kleine software-update die wordt uitgebracht om een probleem in bestaande software op te lossen. En dat moet snel, het liefst binnen korte tijd. In de zorg ligt dat gevoel van urgentie anders.
“Het beveiligen van data en systemen is iets anders dan het beveiligen van medische systemen”, zegt Van der Heijden. “En dat verschil gaat uiteindelijk altijd over patiëntveiligheid.” Een update in een ziekenhuis is geen puur technische handeling, maar een ingreep in een klinisch systeem dat direct invloed kan hebben op zorgprocessen. Daarom is snelheid niet het enige criterium: zorgvuldigheid is minstens zo belangrijk.
“Een patch kan technisch perfect zijn”, legt Van der Heijden uit, “maar nog steeds impact hebben op klinische performance. En dat moet je eerst begrijpen voordat je deze een aanpassing doorvoert. Die extra stap, de klinische validatie, maakt dat medische updates vaak langer duren dan in reguliere IT-omgevingen. En dat leidt regelmatig tot spanning tussen ziekenhuis-IT en leveranciers. IT-security denkt vaak: waarom duurt dit zo lang? Maar wij hebben die tijd nodig om te testen wat een wijziging betekent voor patiëntveiligheid.”
Groeiende spanning
Die spanning wordt groter doordat ziekenhuizen steeds afhankelijker worden van een netwerk van medische apparaten. Van patiëntmonitoren tot beeldvormende systemen: alles is verbonden met IT-infrastructuur en soms ook cloudomgevingen.
“Medische apparatuur heeft een lange levenscyclus en kan niet zomaar even worden geüpdatet”, schetst Van der Heijden. “En het moet altijd beschikbaar blijven voor kritieke zorg. Dat maakt de beveiliging van medische apparaten wezenlijk anders dan klassieke IT-informatiebeveiliging. Systemen zijn langdurig in gebruik, sterk gereguleerd en kunnen niet zomaar offline. Je kunt een laptop opnieuw opstarten. Een medisch systeem vaak niet.” Daarmee verschuift het perspectief van alleen reageren op kwetsbaarheden naar vooraf beoordelen wat een wijziging betekent voor het zorgproces zelf.
Directe patiëntimpact
De gevolgen van cybersecurity worden pas echt zichtbaar wanneer systemen uitvallen of verstoord raken. “Een voorbeeld is centrale patiëntmonitoring in ziekenhuizen. Waar vroeger elke patiënt individueel werd bewaakt door een verpleegkundige, gebeurt dat nu steeds vaker via centrale dashboards. Je hebt nu één centrale post waar alle patiëntdata realtime binnenkomt. Dit moet ook in realtime, want een minuut vertraging kan in de zorg al betekenen dat je laat bent. Als een netwerk uitvalt door een cyberaanval, bijvoorbeeld een denial-of-service aanval, dan komen alarmen niet meer door.”
En dat is nou net waar cybersecurity geen IT-probleem meer is, maar een direct zorgvraagstuk wordt. “Dan kan een signaal wel afgaan in de patiëntmonitor, maar het bereikt de verpleegkundige niet. En dat is waar het mis kan gaan”, licht Van der Heijden toe.
Naast de technologische verandering speelt er een organisatorische realiteit in de ziekenhuiswereld, vervolgt Van der Heijden: “Ziekenhuizen hebben te maken met complexe IT-landschappen, lange levenscycli van apparatuur en beperkte cybersecuritycapaciteit. Veel organisaties hebben bovendien onvoldoende overzicht van welke medische systemen zijn geïnstalleerd. Vragen als: welke systemen draaien waar, in welke versie, en zijn deze kwetsbaarheden te misbruiken door een hacker ja of nee?”
Daar komt wet- en regelgeving bij zoals de Europese NIS2-richtlijn (in Nederland de Cyberbeveiligingswet, die in augustus 2026 van kracht werd, red.), die organisaties verplicht om aantoonbaar grip te hebben op risico’s en processen. Al die aspecten vragen om een goed doordacht cybersecurity-beleid. Ziekenhuizen moeten kunnen laten zien dat ze hun risico’s kennen en beheersen. Maar de praktijk is vaak weerbarstig.”
Proces updates anders
Een belangrijk misverstand is dat medische updates ingewikkelder zijn om uit te voeren dan IT-updates. Volgens Van der Heijden is dat niet het geval. “Het updaten van een medisch systeem is doorgaans niet moeilijker dan een laptop. Maar het proces eromheen is anders. Dat proces draait om validatie en het beoordelen van klinische impact Je moet eerst zeker weten: wat doet deze update met het zorgproces? Pas daarna kun je hem uitrollen.”
Die zorgvuldigheid maakt het proces noodzakelijk trager, maar volgens hem niet minder efficiënt. Een van de grootste knelpunten in de praktijk is dan ook niet de techniek, maar juist het eigenaarschap. Tussen IT, klinische fysica en leveranciers ontstaat regelmatig onduidelijkheid over wie verantwoordelijk is voor het uitvoeren van updates en het mitigeren van risico’s.
"Wat nog niet zo heel lang geleden weken of maanden duurde, kan nu gebeuren in seconden"
“Iedereen denkt dat iemand anders verantwoordelijk is. En dat is precies waar het misgaat. De één denkt: de ander doet het wel. En dan gebeurt er uiteindelijk niets”, vertelt Van der Heijden. Daarom pleit hij voor gedeelde verantwoordelijkheid, maar dan wel concreet ingevuld in processen en afspraken. “Het moet helder zijn wie wat doet en wanneer.”
De oplossing ligt niet in meer personele capaciteit binnen één organisatie, maar in samenwerking tussen ziekenhuizen, leveranciers en securitypartners. Philips ondersteunt ziekenhuizen daarbij met risicodocumentatie, kwetsbaarheidsinformatie en inzicht in systemen via beveiligde portalen. Van der Heijden hierover: “Security-informatie moet zorgvuldig en gecontroleerd worden gedeeld, zodat relevante stakeholders kunnen handelen binnen passende governance-afspraken.”
Een belangrijke standaard op dit gebied is de Manufacturer Disclosure Statement for Medical Device Security (MDS2), waarmee fabrikanten op uniforme wijze security-informatie over medische apparatuur delen. Of je nu een Philips- of Siemens-systeem bekijkt: het MDS2-document is hetzelfde. Dat maakt vergelijken veel makkelijker.”
AI versnelt dreigingsbeeld
De grootste verandering in het cyberdreigingslandschap komt volgens Van der Heijden van kunstmatige intelligentie, vooral van de zogeheten agentic AI-systemen. AI verlaagt de technische drempel voor bepaalde typen cyberaanvallen.
“AI zal geen nieuwe kwetsbaarheden introduceren, het versnelt alleen detectie en misbruik van bestaande kwetsbaarheden. Wat nog niet zo heel lang geleden weken of maanden duurde, kan nu gebeuren in seconden. Op die snelle verandering in de manier van hacken zul je als ziekenhuis toch moeten inspelen.”
Security-hygiëne
Die versnelling betekent dat de tijd om te reageren op kwetsbaarheden sterk afneemt. “De tijd om te mitigeren wordt extreem kort”, zegt Van der Heijden. “Eigenlijk moet je meteen handelen zodra iets bekend is.”
Volgens hem ligt de oplossing niet in complexere beveiliging, maar in eenvoud en discipline. “De oplossing zit niet in meer complexiteit, maar in security-hygiëne en voorbereid zijn op het moment dat het misgaat.”
Naast preventie is voorbereiding op incidenten essentieel. Want uitgaan van volledige veiligheid is volgens hem niet realistisch. Daarom pleit hij voor realistische simulaties en oefeningen: “Wat doe je bijvoorbeeld als een MRI-scanner een kwetsbaarheid heeft? Wie bel je dan? Wat zijn de afgesproken stappen om zo snel mogelijk te kunnen ingrijpen?”
Volgens hem is dat noodscenario nog te weinig ingebed in de praktijk. Dit in tegenstelling tot bijvoorbeeld brandoefeningen. “Als je dat pas bedenkt tijdens een echte aanval, ben je te laat. De COVID-19-pandemie liet zien hoe belangrijk voorbereiding is in crisissituaties. We hebben toen geleerd hoe belangrijk het is om te kunnen opschalen onder druk.”
Onvoldoende vertaald
Maar die les is nog onvoldoende doorvertaald naar digitale dreigingen, aldus Van der Heijden. Uiteindelijk draait cybersecurity in de zorg niet alleen om technologie, maar om samenwerking, vertrouwen en duidelijke verantwoordelijkheden.
“Dat begint met het hebben van vertrouwen in elkaar. Niet met de vraag welke technologie beter is, maar juist met de vraag hoe we samen zorgen dat de patiënt veilig blijft.” Precies daar ligt volgens hem de kern van de opgave voor de komende jaren: een zorgsysteem dat steeds digitaler wordt, maar alleen veilig kan functioneren als IT, kliniek en leveranciers niet naast elkaar, maar met elkaar opereren.
