Zo bescherm je jouw zorgorganisatie tegen cyberaanvallen

Margriet Bos · 2026-11-03

Je krijgt wat voor de voeten geworpen. CBW, NIS2, MFA, DDOS, ISO9001, Z-CERT, APT, NEN7510, AI, EDR, SIEM of SSO. Gaat het je al duizelen? Toch hoeft de wereld van cybersecurity niet heel ingewikkeld te zijn. Volgens Thijs Boin, CISO (nog zo’n afkorting) bij Esprit ICT, begint het met twee eenvoudige vragen: wat zijn de kroonjuwelen van de organisatie en hoe beschermen we die? ### Begin bij de basis: je kroonjuwelen Elke zorgorganisatie heeft kroonjuwelen: de meest kritieke gegevens en systemen. Denk aan patiëntdossiers, medicatieoverzichten of de systemen die levensreddende apparatuur aansturen. Als deze in verkeerde handen vallen, zijn de gevolgen groot. Daarom is het essentieel om eerst te bepalen wat écht beschermd moet worden. Zonder die focus verdwaal je in de wirwar van afkortingen en technologieën. Thijs Boin adviseert om klein te beginnen. “Je hoeft niet alles tegelijk aan te pakken. Kijk naar wat onmisbaar is en bescherm dat als eerste.” Dat betekent niet dat je de rest negeert, maar het geeft een prioriteit. Zo voorkom je dat je verzuipt in de complexiteit. ### De drie pijlers van een veilige zorgorganisatie Om je kroonjuwelen te beschermen, zijn er drie pijlers die altijd terugkomen: - **Mensen**: je medewerkers zijn je eerste verdedigingslinie. Train ze in het herkennen van phishing en het veilig omgaan met gegevens. Een bewuste medewerker voorkomt veel ellende. - **Processen**: leg vast wie waarvoor verantwoordelijk is. Denk aan toegangsbeleid, incidentmeldingen en back-upprocedures. Zonder duidelijke processen is technologie nutteloos. - **Technologie**: pas technische maatregelen toe die aansluiten bij je risico’s. Denk aan multi-factor authenticatie (MFA), firewalls en encryptie. Maar overdrijf het niet: technologie is een middel, geen doel. ### De rol van wet- en regelgeving Natuurlijk krijg je te maken met wetten en normen zoals de NIS2, ISO 9001 en NEN 7510. Deze lijken overweldigend, maar ze bieden houvast. Ze helpen je om structuur aan te brengen in je cybersecuritybeleid. Zie ze als een kompas, niet als een keurslijf. Bovendien zijn ze vaak verplicht, dus je ontkomt er niet aan. Maar door ze stap voor stap te implementeren, blijft het behapbaar. > “Cybersecurity is geen project met een einddatum, maar een continu proces van verbeteren en aanpassen.” – Thijs Boin ### Praktische stappen voor vandaag Wil je direct aan de slag? Begin met deze praktische stappen: - Maak een lijst van je kroonjuwelen en bepaal wie toegang mag hebben. - Implementeer multi-factor authenticatie (MFA) voor kritieke systemen. - Organiseer een bewustwordingstraining voor medewerkers over phishing en databeveiliging. - Stel een incidentresponsplan op en test dit regelmatig. - Zorg voor regelmatige back-ups en test het terugzetten ervan. ### Hulp van buitenaf Je hoeft het wiel niet zelf uit te vinden. Organisaties zoals Z-CERT bieden ondersteuning aan de zorgsector. Ook kun je een CISO inhuren of samenwerken met gespecialiseerde IT-dienstverleners. Zij kunnen je helpen met complexe zaken zoals SIEM, EDR of APT-dreigingen. Maar onthoud: de basis blijft bij jezelf liggen. Begin met de twee vragen van Thijs Boin en bouw van daaruit verder. Cybersecurity is misschien geen eenvoudig onderwerp, maar met de juiste focus en prioriteiten kun je je zorgorganisatie effectief beschermen. Durf klein te beginnen en blijf leren.