Cyberaanvallen op ziekenhuizen. “Minder geld, minder bescherming”

Cyberaanvallen op de gezondheidszorg zullen naar verwachting toenemen naarmate kritieke infrastructuur een strategisch doelwit wordt in een steeds onstabieler wordende geopolitieke omgeving. Volgens de Global Cybersecurity Outlook 2026 neemt het cyberrisico in een stroomversnelling toe, aangewakkerd door AI, politieke spanningen en toenemende digitale complexiteit. Toch hebben gezondheidszorgsystemen moeite om gelijke tred te houden, beperkt als ze zijn door beperkte financiering en een tekort aan geschoolde professionals.

AI laat hackers sneller aanvallen dan ziekenhuizen zich kunnen verdedigen

Cyberbeveiliging is een belangrijke pijler van nationale en regionale veiligheid geworden, vooral nu ziekenhuizen en gezondheidszorgsystemen steeds meer worden geïntegreerd in kritieke infrastructuur. Als reactie hierop heeft de Europese Unie de NIS2-richtlijn (de Netwerk- en Informatiebeveiligingsrichtlijn 2) ingevoerd, die verplichte eisen stelt om de cyberbeveiliging te versterken in sectoren zoals de gezondheidszorg, energie, transport en digitale infrastructuur.

Regelgeving alleen is echter wellicht niet voldoende om gelijke tred te houden met het snel evoluerende dreigingslandschap. Het rapport van het World Economic Forum (WEF) maakt duidelijk dat kunstmatige intelligentie de cyberbeveiliging aan beide kanten hervormt. AI wordt nu gezien als de belangrijkste motor van verandering: 94% van de respondenten noemt het de dominante kracht in de komende jaren.

AI introduceert een dubbele dynamiek: het versterkt de verdedigingscapaciteiten door snellere detectie, geautomatiseerde respons en grootschalige data-analyse mogelijk te maken, maar het vergroot ook het aanvalsoppervlak en stelt cybercriminelen in staat om meer geavanceerde, schaalbare en gerichte aanvallen uit te voeren. Als gevolg daarvan noemt 87% van de organisaties AI-gerelateerde kwetsbaarheden als het snelst groeiende cyberrisico. Het slechte nieuws is dat cybercriminelen sneller zijn in het toepassen van AI-tools dan ziekenhuizen, die kampen met een gebrek aan geld en cyberbeveiligingsprofessionals.

Ziekenhuizen zijn gemakkelijke doelwitten

Het rapport wijst op een sterke stijging van cybercriminaliteit: 77% van de organisaties meldt een toename van cyberfraude en phishing, en 73% van de respondenten is hier direct of via hun netwerken door getroffen.

Phishing blijft de meest voorkomende aanvalsvector, maar evolueert snel. Generatieve AI stelt aanvallers in staat om zeer realistische e-mails te produceren, zich voor te doen als medische professionals of instellingen, en deepfake-audio of -video te creëren. In de gezondheidszorg vertaalt dit zich in directe operationele en klinische risico's – van ongeoorloofde toegang tot patiëntendossiers tot identiteitsdiefstal, waardoor frauduleuze e-recepten voor sedativa zoals opioïden mogelijk worden.

Gezondheidszorgsystemen zijn bijzonder kwetsbaar omdat ze hoogwaardige gegevens combineren met operationele urgentie. Verstoringen kunnen directe gevolgen hebben voor de patiëntenzorg. Een voorbeeld hiervan is de cyberaanval op Synnovis (juni 2024), een leverancier van laboratoriumdiensten voor NHS-ziekenhuizen in Londen. De ransomware-aanval verstoorde de belangrijkste diagnosesystemen, met name de bloedtestdiensten, waardoor ziekenhuizen gedwongen waren over te schakelen op handmatige processen en hun activiteiten aanzienlijk moesten beperken. Duizenden afspraken en ingrepen werden uitgesteld en cruciale diensten, waaronder kankerdiagnostiek en bloedtransfusies, werden getroffen. De verstoring veroorzaakte knelpunten in meerdere ziekenhuizen, wat aantoont hoe sterk de gezondheidszorg afhankelijk is van digitale infrastructuur en externe dienstverleners.

De aanval leidde ook tot een groot datalek. Gevoelige patiëntinformatie, waaronder persoonlijke identificatiegegevens en medische gegevens, werd gestolen en later online gepubliceerd. Het belangrijkste is dat het incident directe gevolgen had voor de patiëntveiligheid, waarbij vertragingen in de zorg duidelijk maakten hoe cyberaanvallen kunnen leiden tot daadwerkelijke klinische schade.

Geopolitieke spanningen versterken deze risico's nog verder. Ongeveer 64% van de organisaties houdt nu rekening met politiek gemotiveerde cyberaanvallen (zoals verstoring van de infrastructuur of spionage) in hun cyberbeveiligingsstrategieën. Gezondheidszorgsystemen maken, als onderdeel van de nationale kritieke infrastructuur, onvermijdelijk deel uit van dit dreigingslandschap. Er is nog een andere dreiging waarmee de geneeskunde te maken heeft: desinformatiecampagnes. Door AI aangestuurde manipulatie kan het vertrouwen in zorginstellingen ondermijnen, valse medische informatie verspreiden en het gedrag van het publiek beïnvloeden, waardoor risico's ontstaan die verder reiken dan IT-systemen en de volksgezondheid bedreigen

De publieke sector heeft niet de middelen om data adequaat te beschermen

Het WEF-rapport wijst op een aanzienlijke kloof in cyberweerbaarheid tussen de publieke en private sector. Ongeveer 23% van de publieke instellingen meldt onvoldoende cyberbeveiligingscapaciteiten, vergeleken met 11% in de private sector.

Een van de redenen is financieel. Cybersecuritytalent is duur en schaars. In heel Europa vragen cybersecurityspecialisten (of IT-specialisten) hoge salarissen, gedreven door regelgevende druk, toenemende bedreigingen en een aanhoudend tekort aan talent. In Duitsland verdienen cybersecurityprofessionals bijvoorbeeld gemiddeld ongeveer € 80.000–95.000 per jaar, waarbij seniorfuncties meer dan € 100.000–140.000 opleveren. Kleinere ziekenhuizen en openbare zorgverleners hebben moeite om mee te dingen naar cybersecuritytalent. Salarissen in IT en beveiliging in de gezondheidszorg zijn doorgaans lager en gebonden aan rigide loonstelsels in de publieke sector in plaats van aan marktdynamiek. Als gevolg daarvan trekken ervaren professionals naar de particuliere sector, waar hogere beloningen, prestatiegerelateerde bonussen en duidelijkere loopbaantrajecten de norm zijn.

Het salaris alleen verklaart de kloof echter niet. Werk in cyberbeveiliging in de gezondheidszorg is vaak minder aantrekkelijk om verschillende structurele redenen. Ten eerste: verouderde infrastructuur. Veel ziekenhuizen vertrouwen nog steeds op verouderde systemen die niet zijn ontworpen met het oog op moderne cyberbeveiliging. Volgens het WEF-rapport vormen verouderde systemen een grote belemmering voor cyberweerbaarheid, waardoor zowel de complexiteit als het risico toenemen. Dit maakt het werk moeilijker, minder efficiënt en vaak frustrerender voor specialisten die gewend zijn aan moderne cloudgebaseerde omgevingen.

Ten tweede: beperkte budgetten en concurrerende prioriteiten. Zorginstellingen moeten prioriteit geven aan klinische diensten, personeelsbezetting en patiëntenzorg. Investeringen in cyberbeveiliging concurreren vaak met dringende medische behoeften, waardoor langetermijninvesteringen moeilijker vol te houden zijn.

Ten derde: hogere inzet en verantwoordelijkheid. In de meeste sectoren leidt een cyberaanval tot financiële schade of reputatieschade. In de gezondheidszorg kan het directe gevolgen hebben voor de uitkomsten voor patiënten. Verstoringen van systemen kunnen operaties, diagnostiek of behandelingsbeslissingen vertragen. Dit creëert een unieke drukomgeving waarin falen op het gebied van cyberbeveiliging risico's voor mensenlevens kan opleveren.

Ten vierde: complexe ecosystemen en afhankelijkheidsrisico's. Ziekenhuizen opereren binnen sterk onderling verbonden digitale omgevingen en zijn afhankelijk van externe leveranciers, diagnostische dienstverleners en cloudsystemen. Dit vergroot de blootstelling en vermindert tegelijkertijd de directe controle over de beveiliging.

Het resultaat is een groeiend tekort aan talent. Zoals het WEF-rapport benadrukt, is een gebrek aan cyberbeveiligingsvaardigheden een van de belangrijkste belemmeringen voor het versterken van cyberweerbaarheid en het implementeren van geavanceerde technologieën, zoals AI, in beveiligingsactiviteiten.

De Global Cybersecurity Outlook 2026 concludeert dat cyberbeveiliging nu een strategische noodzaak is. Het vormt de basis voor operationele continuïteit, patiëntveiligheid en vertrouwen in gezondheidszorgsystemen. Het rapport benadrukt de noodzaak om over te stappen van reactieve naar proactieve benaderingen. Dit omvat het versterken van cyberweerbaarheid door middel van gestructureerde planning voor incidentrespons, continue monitoring, regelmatige tests en nauwere sectoroverschrijdende en grensoverschrijdende samenwerking. Hoewel dit allemaal logisch klinkt, beschikken managers in de gezondheidszorg over beperkte budgetten voor IT en cyberbeveiliging. Ze worden heen en weer geslingerd tussen de druk om nieuwe, geavanceerde AI-gestuurde tools te implementeren om niet achter te blijven bij de technologische vooruitgang, en de noodzaak om een legitiem niveau van cyberbeveiliging te waarborgen.

Er bestaat geen perfect evenwicht tussen digitale vooruitgang en gegevensbescherming, en meer geld vertaalt zich niet altijd in betere cyberbeveiliging, aangezien overbelaste zorgmedewerkers vatbaar zijn voor social engineering-tactieken waarmee toegang tot gegevens wordt verkregen.