Met de komst van de Cyberbeveiligingswet (Cbw) verschuift cybersecurity in de zorg nadrukkelijk van de IT-afdeling naar de bestuurskamer. Bestuurders van organisaties die onder de wet vallen, worden eindverantwoordelijk voor het beheersen van cyberrisico’s. Zij moeten voldoende kennis hebben om risico’s en beveiligingsmaatregelen te beoordelen en zijn verplicht zich daarin te laten scholen.
Een groot aantal zorgbranches en RSO Nederland is daarom een marktconsultatie gestart om geschikte opleiders te vinden voor een bestuurderstraining over de Cbw. Onder de betrokken organisaties zijn ActiZ, VGN, de Nederlandse ggz, UMCNL, NVZ, KNMP, LHV, InEen, NHG, KNMT, ZKN, GGD GHOR Nederland en Jeugdzorg Nederland.
Risico's leren herkennen
De Cbw, de Nederlandse uitwerking van de Europese NIS2-richtlijn, treedt op 15 augustus 2026 in werking. Bestuurders moeten de training binnen twee jaar na inwerkingtreding van de wet hebben gevolgd. In gemiddeld twee dagdelen leren zij risico’s voor netwerk- en informatiesystemen herkennen, beoordelen welke maatregelen nodig zijn om die risico’s te beheersen en de mogelijke gevolgen van risico’s en maatregelen inschatten. De zorgbranches en RSO Nederland hebben hiervoor een Richtinggevend Kader opgesteld.
Opleiders kunnen voorstellen indienen voor de ontwikkeling en uitvoering van de training, zo stelt de NVZ (Nederlandse vereniging van Ziekenhuizen) op zijn website. Geschikte partijen worden opgenomen in een overzicht waaruit RSO’s en andere organisatoren zelf een aanbieder kunnen kiezen. De gesprekken met opleiders staan gepland voor september.
Meer zorgorganisaties geraakt
De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen en geldt voor aanzienlijk meer organisaties dan haar voorganger. Ook een groter deel van de zorgsector krijgt ermee te maken. Of een zorgorganisatie onder de wet valt, hangt onder meer af van haar omvang, aard van dienstverlening en maatschappelijke betekenis. Grote en middelgrote zorgaanbieders kunnen onder directe verplichtingen vallen, zoals registratie, risicobeheersing en het melden van significante cyberincidenten.
De bestuurlijke verantwoordelijkheid betekent niet dat een bestuurder automatisch persoonlijk aansprakelijk is voor ieder datalek of cyberincident. Wel moet het bestuur aantoonbaar betrokken zijn bij het beheersen van cyberrisico’s. Een beroep op de CIO, CISO of IT-afdeling volstaat daardoor niet meer. Cybersecurity wordt onderdeel van regulier risicomanagement en goed bestuur.
Vijf vragen voor bestuurders
ICT&health publiceerde onlangs een uitgebreid overzichtsartikel over de gevolgen van de Cyberbeveiligingswet voor zorgorganisaties. Daarin worden onder meer de reikwijdte, belangrijkste verplichtingen en vijf vragen toegelicht die elke zorgbestuurder zich moet stellen.
Zorgbestuurders moeten allereerst vaststellen of hun organisatie daadwerkelijk onder de Cbw valt en welke verplichtingen daarbij horen. Vervolgens hoort cybersecurity structureel op de bestuursagenda te staan, naast kwaliteit van zorg, financiën en patiëntveiligheid. Ook moeten bestuurders zicht hebben op risico’s bij leveranciers van software, cloudomgevingen, medische apparatuur en andere digitale diensten.
Daarnaast is voorbereiding op incidenten essentieel. Bestuurders moeten weten of rollen, meldprocedures en continuïteitsplannen duidelijk zijn en of de organisatie heeft geoefend met bijvoorbeeld ransomware of uitval van kritieke systemen. Tot slot vraagt cyberweerbaarheid om een organisatiecultuur waarin medewerkers zich bewust zijn van risico’s, incidenten veilig kunnen melden en regelmatig worden geschoold.
