Z-CERT heeft sinds maandag 5 oktober 2026 een formele wettelijke taak als Computer Security Incident Response Team (CSIRT) voor de zorgsector. Zorgorganisaties die onder de Cyberbeveiligingswet vallen, kunnen bij de organisatie terecht voor ondersteuning bij cyberdreigingen en digitale incidenten. De aanwijzing is vastgelegd in een wijziging van de Cyberbeveiligingsregeling voor de zorg, die is gepubliceerd in de Staatscourant. De formele aanwijzing volgde nadat de wettelijk verplichte overlegprocedure met de Algemene Rekenkamer was afgerond.
Op donderdag 1 oktober werden bovendien bij de notaris nieuwe statuten ondertekend, waarmee Z-CERT een rechtspersoon met een wettelijke taak werd. De aanwijzing geldt voor de gezondheidszorg en de subsectoren die medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek vervaardigen.
Z-CERT voerde de taken van een sectoraal CSIRT voor de zorgsector in de praktijk al uit sinds de inwerkingtreding van de Cyberbeveiligingswet. Met de formele aanwijzing is deze rol nu ook wettelijk vastgelegd. Zorgorganisaties die onder de wet vallen, hebben recht op ondersteuning bij cyberdreigingen en -incidenten. Een CSIRT is een gespecialiseerd team dat organisaties ondersteunt bij het voorkomen, herkennen en afhandelen van cyberdreigingen en digitale incidenten. De formele aanwijzing van Z-CERT maakt deel uit van de bredere invoering van de nieuwe regels voor cyberbeveiliging.
Cyberbeveiligingswet
De Cyberbeveiligingswet (Cbw) trad op 15 augustus 2026 in werking en vormt de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet heeft als doel de cyberbeveiliging en digitale weerbaarheid van essentiële en belangrijke organisaties te versterken, waaronder organisaties in de gezondheidszorg.
Niet iedere zorgorganisatie valt automatisch onder de wet. Of dat het geval is, hangt onder meer af van het type dienstverlening, de omvang van de organisatie en de criteria in de wet en bijbehorende regelgeving. Organisaties zijn zelf verantwoordelijk voor de beoordeling of zij aan deze criteria voldoen.
Organisaties die onder de wet vallen, moeten zich registreren in het entiteitenregister van het Nationaal Cyber Security Centrum (NCSC). Daarvoor is het registratieportaal MijnNCSC beschikbaar. De uiterste registratiedatum was 15 augustus 2026.
Zorgplicht en meldplicht
De Cyberbeveiligingswet verplicht organisaties die eronder vallen onder meer om passende maatregelen te nemen om risico’s voor hun netwerk- en informatiesystemen te beheersen. Daarnaast geldt een meldplicht voor significante cyberincidenten. De precieze verplichtingen zijn verder uitgewerkt in het Cyberbeveiligingsbesluit en, voor de zorgsector, in de Cyberbeveiligingsregeling voor de zorg van het ministerie van Volksgezondheid, Welzijn en Sport (VWS).
Bij de invulling van de informatiebeveiliging wordt aangesloten bij bestaande normen, waaronder NEN 7510 en de internationale normen ISO 27001 en ISO 27002. De verplichtingen gaan niet alleen over technische beveiliging. Ook toegangsbeleid, incidentenprocedures en trainingen op het gebied van cyberbeveiliging kunnen deel uitmaken van de maatregelen die organisaties treffen.
Cyberincidenten herkennen
Daarmee raakt de wet ook de dagelijkse werkprocessen binnen zorginstellingen. Medewerkers moeten bijvoorbeeld weten hoe zij een mogelijk cyberincident herkennen en via welke interne route zij dit melden. De verantwoordelijkheid om aan de wettelijke verplichtingen te voldoen, ligt bij de organisatie zelf.
De formele aanwijzing van Z-CERT komt op een moment dat zorgorganisaties te maken hebben met strengere wettelijke eisen voor digitale veiligheid. Eerder berichtte ICT&health al over de uitbreiding van het landelijke cybercrisisnetwerk van Z-CERT, waarmee zorginstellingen 24 uur per dag gespecialiseerde hulp kunnen inschakelen bij cyberincidenten.
Voeg ICT&health toe aan Google
Toon meer content van ICT&health in Google Zoeken.
