De digitale dreiging voor zorginstellingen groeit. Ransomware-aanvallen op ziekenhuizen, datalekken bij GGZ-instellingen en cyberaanvallen op huisartsenpraktijken halen regelmatig het nieuws. Om de weerbaarheid van essentiële sectoren te versterken, heeft de Europese Unie de NIS2-richtlijn ontwikkeld. Deze wetgeving legt strengere eisen op aan organisaties die vitale diensten leveren, waaronder de zorgsector. Voor zorgbestuurders betekent dit niet alleen nieuwe verplichtingen, maar ook persoonlijke verantwoordelijkheid voor de informatiebeveiliging binnen hun organisatie.
De NIS2-richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en is in Nederland vertaald naar de Cyberbeveiligingswet. Waar informatiebeveiliging voorheen vooral een technisch vraagstuk leek, wordt het nu nadrukkelijk een bestuurlijke aangelegenheid. Maar wat houdt NIS2 precies in voor jouw zorgorganisatie? En belangrijker: wat moet je als bestuurder concreet regelen om compliant te zijn?
Wanneer valt jouw zorgorganisatie onder de NIS2-richtlijn?
De NIS2-richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten. Zorginstellingen vallen in de regel onder de categorie essentiële entiteiten wanneer ze bepaalde drempelwaarden overschrijden. Dit betekent dat middelgrote en grote zorgorganisaties vrijwel zeker onder de wetgeving vallen.
De criteria zijn helder gedefinieerd. Een organisatie wordt als middelgroot beschouwd bij minimaal 50 werknemers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro. Grote organisaties hebben 250 of meer werknemers, of een jaaromzet boven 50 miljoen euro. Ziekenhuizen, GGZ-instellingen, grote huisartsenpraktijken en zorginstellingen in de ouderen- en gehandicaptenzorg die aan deze criteria voldoen, moeten rekening houden met NIS2-verplichtingen.
Specifieke zorgsectoren en hun status
Binnen de zorgsector gelden nuances. Ziekenhuizen en instellingen die kritieke zorginfrastructuur beheren, worden doorgaans als essentieel aangemerkt. Dit brengt de zwaarste verplichtingen met zich mee, inclusief actief toezicht door de overheid. Andere zorginstellingen kunnen als belangrijke entiteiten worden geclassificeerd, wat nog steeds substantiële eisen stelt, maar met een iets lichter toezichtsregime.
Twijfel over de status van jouw organisatie? De Rijksoverheid biedt een zelfevaluatietool waarmee bestuurders kunnen bepalen of hun instelling onder NIS2 valt. Het is raadzaam deze beoordeling tijdig uit te voeren, aangezien de voorbereidingstijd voor volledige compliance aanzienlijk kan zijn.
Concrete verplichtingen voor zorginstellingen
NIS2 legt een brede set aan verplichtingen op die verder gaan dan traditionele IT-beveiliging. De wetgeving vereist een integrale benadering van cybersecurity, waarbij techniek, processen en mensen samenkomen in een coherent beveiligingsbeleid.
Risicobeheersmaatregelen
Zorginstellingen moeten passende technische en organisatorische maatregelen nemen om risico’s voor netwerk- en informatiesystemen te beheersen. Dit omvat onder meer:
- Beleid voor risicoanalyse en beveiliging van informatiesystemen
- Procedures voor incidentenbehandeling en crisismanagement
- Bedrijfscontinuïteit en noodherstelplannen
- Beveiliging van de toeleveringsketen
- Beveiliging bij verwerving, ontwikkeling en onderhoud van systemen
- Beleid en procedures voor cryptografie en encryptie
- Toegangscontrole en beheer van bedrijfsmiddelen
- Gebruik van multifactorauthenticatie en beveiligde communicatie
Voor zorginstellingen die al werken volgens NEN 7510 is dit deels bekend terrein. De NIS2-eisen sluiten aan bij deze norm, maar voegen specifieke elementen toe rondom incidentmelding en ketenbeveiliging.
Meldplicht bij incidenten
Een kernverplichting binnen NIS2 is de meldplicht bij significante incidenten. Zorginstellingen moeten binnen 24 uur een eerste melding doen bij het Computer Security Incident Response Team (CSIRT) of de toezichthouder. Binnen 72 uur volgt een uitgebreidere melding, en binnen een maand moet een eindverslag worden ingediend. Deze strakke tijdlijnen vereisen goed voorbereide procedures en duidelijke verantwoordelijkheden.
Persoonlijke aansprakelijkheid van bestuurders
Een van de meest ingrijpende aspecten van NIS2 is de expliciete bestuurlijke verantwoordelijkheid. De wetgeving bepaalt dat het bestuur van een organisatie eindverantwoordelijk is voor de naleving van de cyberbeveiligingsverplichtingen. Dit is geen abstracte verantwoordelijkheid: bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij ernstige nalatigheid.
De consequenties zijn niet gering. Bij niet-naleving kunnen toezichthouders boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Voor belangrijke entiteiten gelden maxima van 7 miljoen euro of 1,4% van de omzet. Daarnaast kunnen bestuurders tijdelijk worden geschorst van hun functie wanneer zij herhaaldelijk niet voldoen aan de verplichtingen.
Wat betekent dit in de praktijk?
Bestuurders moeten aantoonbaar betrokken zijn bij cybersecurity. Dit houdt in dat zij de risicobeheersmaatregelen goedkeuren, toezien op de implementatie ervan en zelf voldoende kennis hebben om weloverwogen beslissingen te nemen. Trainingen voor bestuurders op het gebied van cybersecurity worden daarom expliciet genoemd in de wetgeving.
Het is niet langer voldoende om informatiebeveiliging volledig te delegeren aan de IT-afdeling of een externe partij. Als bestuurder moet je kunnen uitleggen welke risico’s de organisatie loopt, welke maatregelen zijn genomen en hoe de effectiviteit daarvan wordt gemonitord.
Praktische stappen richting NIS2-compliance
Het bereiken van NIS2-compliance vraagt om een gestructureerde aanpak. Veel zorginstellingen hebben al een basis gelegd met NEN 7510-certificering of een werkend Information Security Management System (ISMS). Van daaruit kunnen gerichte stappen worden gezet om aan de aanvullende NIS2-eisen te voldoen.
Gap-analyse en prioritering
Begin met een grondige analyse van de huidige situatie. Breng in kaart welke NIS2-vereisten al worden gedekt door bestaande maatregelen en waar hiaten bestaan. Focus vervolgens op de gebieden met het hoogste risico of de grootste afwijking van de norm. Een realistische planning voorkomt dat de organisatie overweldigd raakt door de omvang van het vraagstuk.
Governance en verantwoordelijkheden
Zorg voor heldere governance rondom informatiebeveiliging. Wijs een verantwoordelijke aan op bestuursniveau en richt een structuur in voor regelmatige rapportage en besluitvorming. Documenteer wie waarvoor verantwoordelijk is en zorg dat dit bekend is binnen de organisatie.
Incidentrespons en oefening
Ontwikkel of actualiseer het incidentresponsplan met aandacht voor de NIS2-meldtermijnen. Oefen regelmatig met cyberincidentscenario’s, zodat medewerkers weten hoe te handelen wanneer zich daadwerkelijk een incident voordoet. Een goed geoefend team reageert sneller en effectiever, wat de schade beperkt en de meldplicht haalbaar maakt.
Hoe Vandaag® helpt met NIS2-compliance
Bij Vandaag® begrijpen we dat NIS2 voor zorgbestuurders een complex vraagstuk is dat raakt aan techniek, processen én besturing. Wij helpen zorginstellingen grip te krijgen op informatiebeveiliging, zodat bestuurders aantoonbaar in control zijn zonder dat het een papieren exercitie wordt. Onze aanpak kenmerkt zich door:
- Integrale begeleiding bij het inrichten of verbeteren van een ISMS dat aansluit bij NEN 7510 én NIS2
- Praktische ondersteuning bij gap-analyses en het opstellen van verbeterplannen
- Advisering over governance en bestuurlijke verantwoordelijkheden
- Begeleiding bij het ontwikkelen van incidentresponsplannen en meldprocedures
- Training en bewustwording voor bestuurders en medewerkers
Informatiebeveiliging hoort geen geïsoleerd IT-vraagstuk te zijn. Wij zorgen dat het een integraal onderdeel wordt van een gezonde bedrijfsvoering, waarin continuïteit van zorg voorop staat. Wil je weten waar jouw organisatie staat en welke stappen nodig zijn? Neem contact met ons op voor een vrijblijvend gesprek over NIS2-compliance in jouw zorginstelling.
Veelgestelde vragen
Wat is de deadline voor NIS2-compliance en wat gebeurt er als we die niet halen?
De Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) treedt naar verwachting in 2025 in werking. Als je de deadline niet haalt, betekent dit niet direct een boete, maar wel dat je organisatie vanaf dat moment non-compliant is en risico loopt op sancties bij toezichtcontroles. Begin zo snel mogelijk met voorbereidingen, want een volledige implementatie kost gemiddeld 12-18 maanden.
Hoe combineer ik NIS2-compliance met onze bestaande NEN 7510-certificering?
NEN 7510 biedt een solide basis voor NIS2-compliance, omdat beide frameworks overlappende eisen hebben rondom risicobeheer en informatiebeveiliging. Focus bij de integratie op de aanvullende NIS2-vereisten: de strikte meldtermijnen (24/72 uur), ketenbeveiliging en de expliciete bestuurlijke verantwoordelijkheid. Bouw voort op je bestaande ISMS en vul de hiaten aan met NIS2-specifieke procedures.
Welke cybersecurity-training hebben bestuurders minimaal nodig om aan de NIS2-eisen te voldoen?
De wetgeving schrijft geen specifiek curriculum voor, maar bestuurders moeten aantoonbaar voldoende kennis hebben om weloverwogen beslissingen te nemen over cybersecurity. Dit betekent minimaal inzicht in de belangrijkste dreigingen voor de zorgsector, begrip van het eigen risicoprofiel en kennis van de genomen maatregelen. Overweeg een combinatie van een basistraining cybersecurity voor bestuurders en periodieke updates over actuele dreigingen en incidenten.
Hoe bereid ik mijn organisatie voor op de 24-uurs meldplicht bij incidenten?
Stel een duidelijk incidentresponsprotocol op met een 24/7 bereikbare escalatieketen. Definieer vooraf wat een ‘significant incident’ is voor jouw organisatie, zodat medewerkers direct weten wanneer de meldplicht geldt. Bereid sjablonen voor de eerste melding voor en oefen minimaal twee keer per jaar met realistische scenario’s. Zorg ook dat contactgegevens van het CSIRT en de toezichthouder direct beschikbaar zijn.
Wat moet ik regelen rondom ketenbeveiliging en leveranciers?
Breng eerst alle leveranciers in kaart die toegang hebben tot je netwerk of kritieke systemen, inclusief softwareleveranciers, IT-dienstverleners en cloudproviders. Beoordeel hun beveiligingsniveau en neem cybersecurity-eisen op in contracten en SLA’s. Vraag om certificeringen zoals ISO 27001 of SOC 2-rapporten en spreek af hoe leveranciers incidenten aan jou melden. Voer periodiek reviews uit om te controleren of leveranciers nog steeds aan de eisen voldoen.
Kunnen we NIS2-compliance volledig uitbesteden aan een externe IT-partij?
Nee, de bestuurlijke verantwoordelijkheid kun je niet uitbesteden. Externe partijen kunnen wel ondersteunen bij de technische implementatie, gap-analyses en het opzetten van procedures, maar het bestuur blijft eindverantwoordelijk en moet aantoonbaar betrokken zijn. Zorg dat je als bestuurder altijd inzicht hebt in de risico’s en maatregelen, ook als de uitvoering extern belegd is.
Hoe toon ik als bestuurder aan dat ik 'in control' ben op het gebied van cybersecurity?
Documentatie is essentieel: zorg voor vastgelegde risicoanalyses, goedgekeurde beveiligingsplannen met je handtekening, en notulen van bestuursvergaderingen waarin cybersecurity aan bod komt. Laat periodieke rapportages opstellen over de beveiligingsstatus en incidenten, en bewaar bewijs van gevolgde trainingen. Een jaarlijkse audit of zelfevaluatie helpt om aan te tonen dat je actief toezicht houdt op de implementatie van maatregelen.