Cyberaanvallen worden geavanceerder, de afhankelijkheid van digitale technologie groeit en kunstmatige intelligentie verandert het digitale landschap razendsnel. Wat betekent dat voor de cyberweerbaarheid van de zorg? Volgens diverse onderzoekers ligt de toekomst niet in betere beveiliging van afzonderlijke organisaties, maar in het versterken van het hele digitale ecosysteem waar de zorg op draait.
Hoewel een patiënt er meestal weinig van merkt, gaat achter vrijwel iedere medische handeling een complex digitaal netwerk schuil. Elektronische patiëntendossiers, medische apparatuur, cloudplatforms, communicatiediensten en externe leveranciers zijn allemaal met elkaar verbonden. Die verwevenheid maakt moderne zorg mogelijk, maar het zorgt er ook voor dat verstoringen zich veel verder kunnen verspreiden dan vroeger.
Daar komt bij dat kunstmatige intelligentie (AI) zowel aanvallers als verdedigers nieuwe mogelijkheden biedt. Cybercriminelen gebruiken AI om sneller kwetsbaarheden op te sporen of aanvallen voor te bereiden, terwijl beveiligingsteams dezelfde technologie inzetten om afwijkingen te detecteren en sneller te reageren op incidenten. De vraag is dan ook niet langer alleen hoe individuele organisaties zich kunnen beschermen, maar vooral hoe een complete zorgketen weerbaar blijft wanneer ergens in dat netwerk iets misgaat.
Tijdens een rondetafelgesprek van Z-CERT bespraken onderzoekers van de Universiteit Twente, Erasmus Universiteit Rotterdam en de Technische Universiteit Eindhoven hoe die toekomst eruit zou kunnen zien. Hun analyse wijst op vijf fundamentele verschuivingen.
Kijk verder dan eigen systemen
Jarenlang lag de focus van cybersecurity op het in kaart brengen van systemen en assets. Welke applicaties zijn kritisch? Welke servers moeten beschermd worden? Volgens onderzoeker Abhishta Abhishta (Universiteit Twente) is dat inmiddels achterhaald.
Voor zorgorganisaties is het minstens zo belangrijk om te begrijpen waarvan zij afhankelijk zijn. Een zorgproces is zelden afhankelijk van één systeem. Vaak gaat het om een keten van technologieën, leveranciers en diensten die samen nodig zijn om zorg te kunnen leveren. Een verstoring bij één partij kan daardoor gevolgen hebben voor meerdere organisaties tegelijk.
De uitdaging verschuift dan ook van het beheren van assets naar het begrijpen van afhankelijkheden. Welke leverancier ondersteunt meerdere kritieke processen? Welke cloudomgeving vormt een centraal knooppunt? En wat zijn de gevolgen als een schakel in die keten uitvalt? Organisaties die die vragen kunnen beantwoorden, krijgen beter zicht op hun werkelijke risico's en kunnen gerichter investeren in weerbaarheid.
Van reageren naar anticiperen
Ook de manier waarop organisaties naar dreigingen kijken, verandert. Securityteams worden dagelijks overspoeld met waarschuwingen, kwetsbaarheden en meldingen. Maar meer informatie leidt niet automatisch tot betere beveiliging.
Cristoffer Leite (Eindhoven University of Technology) stelt dat het vooral gaat om context. Een kwetsbaarheid die wereldwijd veel aandacht krijgt, hoeft voor een specifieke zorgorganisatie nauwelijks relevant te zijn. Tegelijkertijd kan een minder bekende kwetsbaarheid juist grote gevolgen hebben wanneer deze een cruciaal zorgproces raakt.
De volgende stap is daarom het combineren van dreigingsinformatie met kennis over de eigen omgeving. Wanneer informatie over kwetsbaarheden, aanvalstechnieken, infrastructuur en afhankelijkheden samenkomt, ontstaat een veel duidelijker beeld van waar een organisatie echt kwetsbaar is. Kunstmatige intelligentie kan daarbij helpen door patronen en verbanden zichtbaar te maken die voor mensen lastig te overzien zijn. Het doel is niet om exact te voorspellen welke aanval morgen plaatsvindt, maar om risico's eerder te herkennen en beter voorbereid te zijn op waarschijnlijke scenario's.
Weerbaarheid als ontwerpprincipe
Nieuwe technologie brengt ook nieuwe vragen over verantwoordelijkheid met zich mee. Wat gebeurt er wanneer een AI-systeem zelfstandig een beveiligingsmaatregel neemt tijdens een aanval? Wie draagt dan de verantwoordelijkheid voor de gevolgen?
Volgens jurist Alberto Quintavalla (Erasmus Universiteit Rotterdam) schieten traditionele governance- en verantwoordingsmodellen steeds vaker tekort. Digitale zorgprocessen lopen tegenwoordig door een netwerk van zorginstellingen, softwareleveranciers, cloudproviders en beveiligingsbedrijven. Verantwoordelijkheden zijn daardoor minder duidelijk afgebakend dan vroeger.
De oplossing ligt volgens hem niet in steeds meer regelgeving of extra compliance-eisen. Veel belangrijker is dat wet- en regelgeving wordt vertaald naar ontwerpprincipes die organisaties daadwerkelijk weerbaarder maken. Cybersecurity, continuïteit, verantwoord gebruik van AI en digitale betrouwbaarheid moeten geen afzonderlijke disciplines zijn, maar vanaf het eerste ontwerp onderdeel vormen van systemen en processen. Een benadering die steeds vaker wordt omschreven als resilience-by-design.
Voor de zorg is dat meer dan een technische discussie. De mate van digitale weerbaarheid heeft directe gevolgen voor de patiëntveiligheid en de continuïteit van essentiële zorgverlening.
Alles delen geen must
Samenwerking wordt al jaren gezien als een belangrijke randvoorwaarde voor cybersecurity. Toch blijft het delen van gevoelige informatie voor veel organisaties lastig. Niet iedereen kan of wil operationele gegevens, incidentinformatie of andere vertrouwelijke data beschikbaar stellen aan derden.
Florian Hahn (Universiteit Twente) benadrukt dat effectieve samenwerking niet hoeft te betekenen dat alle informatie centraal wordt verzameld. Nieuwe privacy-verhogende technologieën maken het mogelijk om gezamenlijk te leren en patronen te herkennen zonder dat onderliggende gegevens hoeven te worden gedeeld.
Zo ontstaat een interessante ontwikkeling: niet alleen informatie wordt gedeeld, maar ook capaciteit. Wanneer één organisatie beter wordt in het herkennen van een bepaald aanvalspatroon, kunnen anderen daar indirect van profiteren zonder toegang te krijgen tot alle brondata. Zo verschuift de aandacht van informatie-uitwisseling naar het gezamenlijk versterken van verdedigingsvermogen.
Elke verstoring bron van kennis
Misschien wel de belangrijkste verandering zit in de manier waarop de sector naar incidenten kijkt. Een cyberaanval of verstoring is niet alleen een probleem dat moet worden opgelost, maar ook een kans om als sector te leren.
Dat vraagt om meer dan technologie. Bestuurders, crisismanagers, architecten, leveranciers en securityspecialisten hebben allemaal behoefte aan andere informatie en andere inzichten. Bovendien moeten organisaties kunnen aantonen welke maatregelen daadwerkelijk bijdragen aan sneller herstel of minder verstoring.
Door lessen uit incidenten systematisch vast te leggen en te delen, ontstaat een lerend ecosysteem dat zichzelf continu verbetert. Iedere verstoring levert nieuwe kennis op die kan worden gebruikt om toekomstige schade te beperken en de paraatheid van de sector te vergroten.
Naar ecosysteemweerbaarheid
De rode draad door alle gesprekken is duidelijk. Cybersecurity in de zorg kan niet langer uitsluitend worden bekeken vanuit het perspectief van individuele organisaties. Daarvoor zijn de digitale afhankelijkheden simpelweg te groot geworden.
De vraag is niet meer óf er verstoringen zullen optreden, maar hoe goed de sector in staat is daarmee om te gaan. Dat vraagt om inzicht in afhankelijkheden, beter gebruik van dreigingsinformatie, regelgeving die weerbaarheid stimuleert, nieuwe vormen van samenwerking en het vermogen om gezamenlijk te leren.
De toekomst van cybersecurity in de zorg draait daarom steeds minder om het bouwen van een onneembare digitale vesting en steeds meer om het ontwikkelen van een adaptief ecosysteem dat verstoringen kan voorzien, opvangen, beheersen en gebruiken om sterker uit de volgende crisis te komen.
Vijf transities naar een weerbaar digitaal zorgecosysteem
- Assets Afhankelijkheden: maak kritieke relaties tussen technologie, leveranciers en zorgprocessen zichtbaar.
- Dreigingsmonitoring Dreigingsvoorspelling: zet dreigingsinformatie en context om in tijdige en bruikbare inzichten.
- Compliance Resilience-by-Design: verbind regelgeving, cybersecurity, continuïteit en verantwoord gebruik van AI met ontwerp en beheer.
- Informatie delen Capaciteit delen: versterk collectieve verdediging zonder vertrouwelijkheid, autonomie of vertrouwen aan te tasten.
- Incidenten Collectief leren: gebruik ervaringen uit verstoringen om de paraatheid en weerbaarheid van de gehele zorgsector continu te verbeteren.
