“Cybersecurity in de zorg gaat om mensenlevens”

Terugblik op de NIS2-masterclass voor bestuurders

Digitale systemen zijn onmisbaar in de zorg. Maar hoe groter de afhankelijkheid, hoe groter het risico op ontwrichtende cyberincidenten. De nieuwe Europese NIS2-richtlijn, die vanaf 2026 wordt gehandhaafd, legt hiervoor een duidelijke verantwoordelijkheid bij bestuurders. Om zorgorganisaties goed voor te bereiden organiseren we in onze regio de ‘NIS2-masterclass’ voor bestuurders. Op maandag 10 november vond de eerste sessie plaats: een avond vol kennisdeling en open gesprekken over bestuurlijke dilemma’s.

Nog veel vragen, maar nú starten is cruciaal

De besluiten rondom NIS2 zijn nog niet volledig definitief. Toch is helder wat er op organisaties afkomt, vertelde Liesbeth Holterman, directeur van Cyberveilig Nederland, aan de groep. Holterman: “Als we nu beginnen, hebben organisaties nog tijd om de nodige aanpassingen te doen voordat de wetgeving ingaat.”
Twaalf bestuurders van MST, Carintreggeland, Saxenburgh, LabPON, Woon- en Zorgcentrum Friso, Ambulance Oost, SHT-THOON, TriviumMeulenbeltZorg en De Vriezenhof bogen zich over stellingen zoals: “De grootste bedreiging voor de zorg komt van binnenuit, niet van externe aanvallen.” Er was brede overeenstemming dat menselijk gedrag en digivaardigheid cruciaal zijn. “Een externe aanval krijgt pas kans als je het intern niet goed geregeld hebt,” klonk het.

Vertrouwen is kwetsbaar

“In de zorg gaat het om vertrouwen. Patiënten geven zich bloot omdat ze erop vertrouwen dat de zorg het goed doet,” benadrukte Rycolt Hamoen, bestuurder van LabPON. “Cybersecurity gaat over mensenlevens. We praten vaak over geld en gegevens, maar als een hack leidt tot een lagere opkomst bij het bevolkingsonderzoek, overlijden er uiteindelijk meer vrouwen aan baarmoederhalskanker.”

Zorg verlenen zonder digitale systemen?

Een van de deelnemende organisaties moest onlangs enkele maanden zonder digitale systemen werken. Dat bleek mogelijk, maar uitdagend. Voor een ziekenhuis is dat nagenoeg ondenkbaar: zonder het elektronisch patiëntendossier komt de zorg stil te liggen.

Kleinere organisaties hebben andere dilemma’s

Waar grote instellingen kunnen terugvallen op een ICT-afdeling en een crisisorganisatie, is dat voor kleinere zorgorganisaties minder vanzelfsprekend. Een extra FTE voor cybersecurity kan betekenen dat er minder geld overblijft voor directe zorg, bijvoorbeeld bedden of personeel. Het zijn complexe keuzes waar bestuurders mee te maken hebben.
Tijdens de bijeenkomst verkenden we hoe we binnen de regio slimmer en efficiënter kunnen samenwerken. Zo werd toegelicht hoe Zorgnetoost werkt aan een plan om kleinere organisaties stapsgewijs te ondersteunen bij het voldoen aan NIS2.

Bestuurders voelen de druk én verantwoordelijkheid

De eindconclusie was helder: bestuurders nemen hun verantwoordelijkheid serieus. Benny Kraaiveld, bestuurder van Woon- en Zorgcentrum Friso, blikt terug: “Ik weet dat ik iets moet met de nieuwe richtlijn, maar het is een complex verhaal. En hoe leg ik dit uit aan medewerkers in begrijpelijke taal? Deze masterclass helpt om meer grip te krijgen op dat vraagstuk.”

Over de NIS2-masterclass

Om zorgorganisaties goed voor te bereiden op de nieuwe NIS2-richtlijn, organiseren Acute Zorg Euregio, Zorgnetoost en Cyberveilig Nederland, met medewerking van Z-CERT en Witte Kruis, de NIS2-masterclass voor bestuurders in Twente en de Oost-Achterhoek. We zijn gestart met twee groepen van elk twaalf bestuurders. Iedere groep volgt twee bijeenkomsten: in november 2025 en in maart 2026. Aanmelden is niet meer mogelijk, maar wie op de hoogte wil blijven van een vervolg kun mailen naar crisisbeheersing@acutezorgeuregio.nl