Vanaf 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse implementatie van de Europese NIS2-richtlijn. Daarmee komt een einde aan de Wet beveiliging netwerk- en informatiesystemen (Wbni), die sinds 2018 de Nederlandse uitwerking vormde van de eerste Europese NIS-richtlijn. Voor de zorgsector betekent de nieuwe wet meer dan een wijziging van regelgeving. Cybersecurity verschuift nadrukkelijk van de IT-afdeling naar de bestuurskamer.
De (diverse malen uitgestelde) invoering van de Cyberbeveiligingswet is een reactie op een snel veranderend dreigingslandschap. Cyberaanvallen op ziekenhuizen, huisartsenpraktijken en andere zorgorganisaties laten zien dat digitale incidenten niet alleen gevolgen hebben voor persoonsgegevens, maar ook voor de continuïteit van zorg. Dit kan zowel direct als indirect gebeuren, zoals de hack van EPD-leverancier ChipSoft eerder dit jaar aantoonde.
Geldt de Cbw voor de zorg?
Volgens de Rijksoverheid vallen ruim 8.000-10.000 Nederlandse organisaties onder de nieuwe wet, aanzienlijk meer dan onder de Wbni. Hoewel de gezondheidszorg is aangewezen als een kritieke sector, geldt de wet niet automatisch voor elke zorgverlener. Of een organisatie eronder valt, hangt af van de omvang:
- Grote en middelgrote zorgaanbieders: organisaties met minimaal 50 fte aan medewerkers, of met een jaaromzet én balanstotaal van meer dan 10 miljoen euro, vallen wél onder de wet. Grote instellingen (zoals ziekenhuizen) worden vaak als essentiële entiteit aangemerkt; middelgrote praktijken of instellingen (denk aan grote gezondheidscentra of samenwerkingsverbanden) als belangrijke entiteit. Dit brengt directe plichten met zich mee, zoals een registratieplicht bij het Nationaal Cyber Security Centrum (NCSC), een zorgplicht voor risicobeheer en strenge meldplichten bij incidenten.
- Kleine zorgaanbieders en kleine praktijken: organisaties die onder deze drempelwaarden (size cap) blijven, vallen doorgaans niet onder de directe verplichtingen van de Cyberbeveiligingswet. Maar ook als een kleine zorgpraktijk niet onder de nieuwe wet valt, wordt nog steeds verwacht dat zij de bestaande normen voor informatiebeveiliging in de zorg volgen, zoals de NEN 7510 en de AVG. Je kunt de officiële Rijksoverheid Zelfevaluatietool raadplegen om de precieze status van een organisatie te controleren.
Van IT-vraagstuk naar bestuursverantwoordelijkheid
De Cyberbeveiligingswet heeft niet alleen een veel bredere reikwijdte vanwege zijn wettelijke verplichtingen rondom cyberweerbaarheid, risicobeheersing en incidentmelding. De eisen zijn ook inhoudelijk aangescherpt. Cybersecurity wordt niet langer uitsluitend gezien als een technisch vraagstuk, maar als onderdeel van goed bestuur.
Dat betekent overigens niet – zoals vaak wordt gesteld - dat bestuurders automatisch persoonlijk aansprakelijk zijn voor ieder datalek of cyberincident. Wel bepaalt de wet dat het bestuur eindverantwoordelijk is voor cyberrisicobeheersing. Bestuurders moeten voldoende kennis hebben om beveiligingsmaatregelen en risico's te kunnen beoordelen en zijn verplicht zich hierin passend te laten scholen. Een beroep op ‘dat is iets van de IT-afdeling’ volstaat niet meer.
Wat betekent dit voor de zorg?
Voor zorgorganisaties wordt de wet van kracht op een moment waarop de afhankelijkheid van digitale systemen groter is dan ooit. Elektronische patiëntendossiers, medische apparatuur, cloudomgevingen, AI-toepassingen, thuismonitoring en regionale gegevensuitwisseling zijn inmiddels onmisbare onderdelen van de dagelijkse zorgverlening.
Een cyberincident heeft tegenwoordig dan ook vaak veel verdergaande gevolgen dan alleen een datalek. Een ransomware-aanval kan leiden tot uitstel van operaties en behandelingen, tot het afzeggen van afspraken of de beschikbaarheid van cruciale patiëntinformatie beperken. De Cyberbeveiligingswet legt niet voor niets de nadruk op het beheersen van risico's en het waarborgen van de continuïteit van essentiële dienstverlening.
Hoewel de concrete verplichtingen afhangen van de vraag of een organisatie onder de wet valt, krijgen zorgorganisaties in de praktijk vooral te maken met vijf belangrijke onderdelen:
- Een registratieplicht in het nationale entiteitenregister;
- Een zorgplicht, waarbij organisaties aantoonbaar passende beveiligingsmaatregelen moeten treffen op basis van een risicoanalyse;
- Een meldplicht voor significante cyberincidenten binnen de wettelijke termijnen;
- Bestuurlijke verantwoordelijkheid voor cyberrisicobeheersing;
- Toezicht en handhaving door de bevoegde toezichthouders.
Niet alleen ziekenhuizen
De impact beperkt zich niet tot ziekenhuizen. Ook andere delen van de zorgketen krijgen met de nieuwe eisen te maken. Juist doordat zorg steeds meer netwerkzorg wordt, verschuift cybersecurity bovendien van een individuele organisatie naar de gehele zorgketen.
- Voor ziekenhuizen moet de nadruk veelal liggen op verdere professionalisering van bestaande cybersecurityprocessen en leveranciersmanagement.
- In de langdurige zorg groeit juist het belang van veilige domotica, sensoren en thuismonitoring.
- Huisartsenorganisaties zullen steeds intensiever moeten samenwerken binnen regionale netwerken.
- Binnen de ggz spelen naast continuïteit ook de bescherming van bijzonder gevoelige persoonsgegevens en samenwerking met ketenpartners een belangrijke rol.
Niet wachten op de toezichthouder
In Nederland is het toezicht op de Cyberbeveiligingswet (de Nederlandse implementatie van de NIS2-richtlijn) per sector verdeeld over verschillende bestaande en onafhankelijke toezichthouders. De Rijksinspectie Digitale Infrastructuur (RDI) treedt op als coördinerend toezichthouder. Voor de zorgsector is de Inspectie Gezondheidszorg en Jeugd (IGJ) toezichthouder.
De Rijksoverheid en het Nationaal Cyber Security Centrum (NCSC) benadrukken dat organisaties niet moeten wachten tot zij worden benaderd door een toezichthouder. Organisaties moeten zelf beoordelen of zij onder de Cyberbeveiligingswet vallen en zich voorbereiden op de nieuwe verplichtingen. Registratie bij het NCSC is vanaf 15 augustus verplicht voor organisaties die onder de wet vallen.
Voor zorgbestuurders betekent dit dat cyberweerbaarheid onderdeel moet worden van het reguliere risicomanagement. Niet alleen technische maatregelen verdienen aandacht, maar ook governance, leveranciersmanagement, incidentrespons en bewustwording onder medewerkers. Vijf vragen die iedere zorgbestuurder zichzelf moet stellen, zijn:
1. Weten wij zeker of onze organisatie onder de Cyberbeveiligingswet valt?
Dat klinkt als een eenvoudige vraag, maar het antwoord is niet altijd vanzelfsprekend. De wet geldt voor veel meer organisaties dan de oude Wbni en kijkt onder meer naar de aard van de dienstverlening, omvang van de organisatie en maatschappelijke betekenis. Zorgbestuurders doen er verstandig aan dit niet als een juridische formaliteit te zien, maar tijdig vast te stellen welke verplichtingen voor hun organisatie gelden.
2. Is cybersecurity een vast onderdeel van onze bestuursagenda?
Cyberveiligheid is niet langer uitsluitend een onderwerp voor de CIO of CISO. De Cyberbeveiligingswet maakt bestuurders expliciet verantwoordelijk voor het beheersen van cyberrisico's. Dat betekent dat het onderwerp structureel thuishoort in bestuursvergaderingen, net zoals kwaliteit van zorg, financiën en patiëntveiligheid.
3. Weten wij welke risico's onze leveranciers met zich meebrengen?
Vrijwel iedere zorgorganisatie is afhankelijk van softwareleveranciers, cloudproviders, medische apparatuur en externe ICT-partners. Een kwetsbaarheid bij een leverancier kan direct gevolgen hebben voor de continuïteit van de zorg. De nieuwe wet vraagt daarom nadrukkelijk aandacht voor ketenrisico's en leveranciersmanagement.
4. Zijn wij voorbereid op een cyberincident?
De vraag is niet alleen hoe goed een organisatie beveiligd is, maar ook hoe zij reageert als het toch misgaat. Weet iedereen wie welke rol heeft? Zijn meldprocedures bekend? Is er geoefend met een ransomware-aanval of uitval van kritieke systemen? En hoe blijft de patiëntenzorg doorgaan als digitale systemen tijdelijk niet beschikbaar zijn?
5. Is cyberweerbaarheid onderdeel van onze organisatiecultuur?
Technische maatregelen alleen zijn onvoldoende. Veel incidenten beginnen nog altijd met menselijk handelen, bijvoorbeeld via phishing of gestolen inloggegevens. Investeren in bewustwording, scholing en een open meldcultuur is daarom minstens zo belangrijk als investeren in firewalls en detectiesoftware. Cyberweerbaarheid is uiteindelijk geen IT-project, maar een organisatiebrede verantwoordelijkheid.
Gezamenlijke verantwoordelijkheid
Tot slot: de belangrijkste verandering die de Cyberbeveiligingswet met zich meebrengt, is misschien wel dat cybersecurity niet langer uitsluitend een verantwoordelijkheid is van de CIO, CISO of IT-afdeling. Digitale weerbaarheid is nadrukkelijk een gezamenlijke verantwoordelijkheid van de gehele organisatie, met zoals eerder aangegeven het bestuur als eindverantwoordelijke voor het beheersen van cyberrisico's.
De Cyberbeveiligingswet vraagt zorgorganisaties niet om honderd procent veilig te zijn – dat kan niet. De wet vereist wel dat organisaties aantoonbaar hun digitale risico's kennen, passende maatregelen nemen en cyberweerbaarheid onderdeel maken van goed bestuur. Juist daarin ligt de grootste verandering ten opzichte van de oude Wbni.
