Cyberaanvallen op de zorg: begin bij je kroonjuwelen

Margriet Bos · 2026-11-03

Je krijgt het ene na het andere begrip voor je voeten geworpen. CBW, NIS2, MFA, DDOS, ISO9001, Z-CERT, APT, NEN7510, AI, EDR, SIEM of SSO. Duizelt het je al? Dat is volkomen begrijpelijk. Toch hoeft de wereld van cybersecurity niet ingewikkeld te zijn. Volgens Thijs Boin, CISO bij Esprit ICT, begint het allemaal met twee eenvoudige vragen. Wat zijn de kroonjuwelen van de organisatie? En hoe beschermen we die? ### Begin bij wat écht waardevol is Denk even aan een kluis. Je hoeft niet elke kamer in je huis op slot te doen om je kostbaarheden veilig te houden. Je moet wél weten wat je kostbaarheden zijn en waar ze liggen. Zo werkt het in de zorg ook. Je patiëntendossiers, je zorgsystemen, de gegevens van je cliënten: dat zijn je kroonjuwelen. Als je daar eerst naar kijkt, wordt de rest ineens een stuk overzichtelijker. - Welke systemen bevatten gegevens die je écht niet kwijt wilt? - Wie heeft daar toegang toe, en is dat nog steeds nodig? - Wat gebeurt er als een systeem een dag platligt? ### Al die afkortingen? Even stap voor stap NIS2 is Europese wetgeving die strengere eisen stelt aan de beveiliging van zorgorganisaties. NEN7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. En MFA, dat staat voor meerstapsverificatie: naast je wachtwoord heb je nog een tweede bevestiging nodig, bijvoorbeeld via je telefoon. Je hoeft ze niet allemaal uit je hoofd te kennen. Je moet wél weten welke voor jou gelden en wat ze in de praktijk van je vragen. > "De grootste fout die ik zie, is dat organisaties beginnen met techniek. Begin bij je mensen en je processen. Techniek komt daarna." — Thijs Boin, CISO ### Maak het behapbaar met een paar stappen Je hoeft geen compleet beveiligingsprogramma in één keer uit te rollen. Kleine, slimme stappen leveren vaak al veel op: - **Breng je kroonjuwelen in kaart.** Maak een overzicht van de systemen en gegevens die er echt toe doen. - **Zet meerstapsverificatie aan** op de systemen waar dat kan. Dat is een van de goedkoopste en effectiefste maatregelen. - **Oefen met je team.** Een nep-phishingmail sturen leert mensen meer dan een dikke handleiding. - **Zorg voor een simpel noodplan.** Wie belt wie als er iets misgaat? En hoe krijg je een systeem weer aan de praat? ### De mens is je eerste verdedigingslinie Techniek lost veel op, maar niet alles. De meeste incidenten beginnen bij een mens: een klik op een verkeerde link, een wachtwoord dat te makkelijk is. Dat is geen verwijt, dat is realiteit. Praat er dus over met je collega's. Maak het bespreekbaar zonder wijzende vinger. Als iemand een fout maakt en dat durft te melden, kun je snel ingrijpen. Blijft iemand stil uit schaamte, dan wordt het probleem alleen maar groter. ### Zo houd je het vol Cybersecurity is geen project met een einddatum. Het is meer als tandenpoetsen: elke dag even, dan blijft het beheersbaar. Plan een vast moment per kwartaal om je kroonjuwelen en je maatregelen opnieuw tegen het licht te houden. En onthoud: je hoeft het niet perfect te doen. Je moet het wél bewust doen. Begin vandaag met die twee vragen. Wat zijn jouw kroonjuwelen, en hoe bescherm je ze? De rest volgt vanzelf.