De vraag is niet óf zorgorganisaties worden gehackt, maar of de zorg kan blijven doorgaan als dat gebeurt. Dit is geen theoretische exercitie. Eerder dit jaar maakte ChipSoft, leverancier van EPD-systemen aan het merendeel van de Nederlandse ziekenhuizen en huisartsenpraktijken, dat pijnlijk duidelijk: een ransomware-aanval legde systemen plat. Één aanval op een leverancier trof de hele keten.
Die dreiging is geen uitzondering. Wanneer digitale systemen uitvallen, zijn de gevolgen direct voelbaar: operaties worden uitgesteld, ambulances omgeleid, en zorgverleners werken blind zonder toegang tot patiëntdossiers. In een sector die steeds afhankelijker wordt van digitale systemen en AI, raakt digitale veiligheid daarmee direct aan patiëntveiligheid en zorgcontinuïteit.
AI vergroot druk om te blijven functioneren
AI biedt de zorg grote kansen, maar vergroot tegelijk de cyberdreiging. Aanvallers gebruiken AI om sneller, gerichter en op grotere schaal te opereren, terwijl zorgorganisaties steeds afhankelijker worden van complexe systemen. Wanneer AI-toepassingen onderdeel zijn van triage, planning of besluitvorming, kan een cyberincident directe gevolgen hebben voor patiëntveiligheid en zorgcontinuïteit.
Die realiteit wordt weerspiegeld in de regelgeving. Richtlijnen zoals NIS2 (de Cyberbeveiligingswet in Nederland) en de EU AI Act leggen de nadruk op beschikbaarheid en risicobeheersing van kritieke systemen. Toch worstelen veel zorginstellingen met de vertaalslag naar de praktijk. De vraag is: kan de kritieke zorg blijven draaien wanneer het digitaal misgaat?
Wat moet blijven draaien als het misgaat?
Die vraag wordt in de zorg nog te weinig expliciet gesteld. Wat betekent continuïteit als systemen deels of volledig uitvallen? Moet alles tegelijk weer online zijn? Of is er een kern van processen die altijd beschikbaar móét blijven?
Steeds meer zorgorganisaties werken daarom met het idee van een minimaal levensvatbare zorgoperatie. Welke processen zijn essentieel om veilige zorg te kunnen blijven leveren, zelfs onder digitale druk? Deze kritieke kern gaat dan bijvoorbeeld om toegang tot patiëntinformatie, diagnostiek en zorgplanning. Pas als die kern expliciet is vastgesteld, ontstaat ruimte om digitale weerbaarheid gericht te ontwerpen.
Weerbaarheid ontwerp je vooraf
Vanuit die kern verschuift cybersecurity van beschermen naar weerbaar zijn. Dat betekent: accepteren dat incidenten zich voordoen en ervoor zorgen dat de impact beheersbaar blijft.
In de praktijk vraagt dat om een combinatie van maatregelen. Zo zorgt netwerksegmentatie ervoor dat een aanval op een systeem niet direct overspringt op een ander (kritiek) systeem, vergelijkbaar met branddeuren in een gebouw. Sommige zorgorganisaties gaan verder en werken met een digitale tweeling van hun belangrijkste applicaties als actief alternatief tijdens een incident. Daarnaast biedt de 3-2-1-back-upmethode (drie kopieën, op twee media, waarvan één offsite) een effectief vangnet. Ransomware bereikt zelden alle drie.
Minstens zo belangrijk is de menselijke kant: het vooraf vastleggen van fallback-scenario's. Wat doen we als het EPD uitvalt? Wie beslist wat? Hoe werken we tijdelijk op papier? Organisaties die dit hebben uitgedacht vóór een incident, herstellen aanzienlijk sneller. En die scenario's moeten ook regelmatig en tijdig worden geoefend: wat te doen bij identiteitsmisbruik, versleuteling van data, of uitval van een leverancier zoals ChipSoft. Zulke oefeningen maken snel duidelijk waar de echte afhankelijkheden zitten: technisch, organisatorisch en menselijk.
Security als fundament voor innovatie
Juist in die samenhang komen security, compliance en innovatie samen. Zorgorganisaties die hun digitale weerbaarheid serieus hebben ingericht, kunnen en durven nieuwe technologie sneller en verantwoord toe te passen en borgen daarmee dat de zorg kan blijven doorgaan juist als het digitaal misgaat. Dat is een voorwaarde voor toekomstbestendige, veilige zorg.
