Cyberaanvallen op de zorg: waar begin je écht?

Margriet Bos · 2026-11-03

Je krijgt het ene na het andere acroniem naar je hoofd geslingerd. CBW, NIS2, MFA, DDOS, ISO9001, Z-CERT, APT, NEN7510, AI, EDR, SIEM of SSO. Duizelt het je al een beetje? Dat is volkomen begrijpelijk. Toch hoeft de wereld van cybersecurity niet ingewikkeld te zijn. Volgens Thijs Boin, CISO bij Esprit ICT, begint het allemaal met twee eenvoudige vragen. Wat zijn de kroonjuwelen van de organisatie? En hoe beschermen we die? Eigenlijk is dat de kern van het hele verhaal. Geen dikke handleidingen, geen eindeloze compliance-lijsten, maar gewoon eerlijk kijken naar wat je écht niet kwijt wilt. ### Begin bij je kroonjuwelen Denk eens na: wat mag er absoluut niet op straat liggen binnen jouw zorgorganisatie? Patiëntdossiers natuurlijk. Maar ook de systemen die medische apparatuur aansturen, de roosters van je zorgmedewerkers, of de inloggegevens van je elektronisch cliëntendossier. Dat zijn je kroonjuwelen. Als je die eenmaal helder hebt, wordt de rest een stuk overzichtelijker. Je hoeft niet alles tegelijk aan te pakken. Je hoeft alleen te weten waar de belangrijkste risico's zitten en daar je aandacht op richten. ### De basis op orde brengen Veel organisaties verliezen zich in tools en certificeringen, terwijl de basis nog niet eens op orde is. Een paar praktische stappen die je direct kunt zetten: - Zet tweefactorauthenticatie (MFA) aan voor alle medewerkers die bij gevoelige systemen kunnen - Maak regelmatig back-ups en test of je ze écht kunt terugzetten - Zorg dat medewerkers phishing herkennen met een korte, praktische training - Beperk wie toegang heeft tot wat, want niet iedereen hoeft overal bij te kunnen - Houd je software up-to-date, ook op de apparaten die je misschien vergeet Dat klinkt misschien simpel, maar je zou verrast zijn hoeveel organisaties hier nog steken laten vallen. > "Je hoeft geen cybersecurity-expert te zijn om je organisatie veiliger te maken. Je moet wel weten wat je wilt beschermen." ### NIS2 en de regeldruk De NIS2-richtlijn brengt de nodige verplichtingen met zich mee voor zorgorganisaties. Het is goed om te weten wat er van je verwacht wordt, maar laat je er niet door verlammen. Zie het als een kans om je beveiliging structureel op orde te brengen, niet als een bureaucratisch monster dat je moet verslaan. Begin met een risicoanalyse. Kijk waar je kwetsbaar bent en wat de impact zou zijn als er iets misgaat. Van daaruit kun je prioriteiten stellen. Je hoeft niet meteen miljoenen te investeren in de nieuwste technologie. Soms is een goed gesprek met je team en een duidelijke procedure al een enorme stap vooruit. ### Praat erover, ook als het spannend is Cyberaanvallen zijn geen abstract probleem meer. Ze raken ziekenhuizen, huisartsenpraktijken en thuiszorgorganisaties. Toch praten we er nog te weinig over, uit angst om zwak over te komen. Dat moet anders. Deel incidenten, leer van elkaar en maak het onderwerp bespreekbaar binnen je team. Want uiteindelijk draait het niet om alle afkortingen die je uit je hoofd kent. Het draait om de vraag of je weet wat je wilt beschermen en of je daar de juiste stappen voor zet.