Mijn zorgorganisatie is gehackt, wat moet ik doen?

Als jouw zorgorganisatie is gehackt, handel dan direct: isoleer de getroffen systemen, schakel je ICT-afdeling in, meld het incident intern en start een eerste beoordeling van de schade. Hoe snel je reageert, bepaalt in grote mate hoeveel schade een cyberaanval uiteindelijk aanricht. In dit artikel beantwoorden we de meest gestelde vragen na een hack, van directe acties tot preventie op de lange termijn.

Welke stappen moet je direct zetten na een cyberaanval?

Direct na een cyberaanval op een zorgorganisatie zijn er vijf prioritaire acties: isoleer getroffen systemen van het netwerk, informeer je crisisteam, documenteer alles wat je ziet, beoordeel welke gegevens zijn geraakt en schakel waar nodig externe forensische expertise in. Elke minuut telt bij het beperken van de schade.

Concreet betekent dit het volgende stappenplan:

1. Isoleer direct: Koppel getroffen systemen los van het netwerk zonder ze uit te zetten. Zo voorkom je verdere verspreiding en behoud je bewijsmateriaal.
2. Activeer je incidentresponsplan: Elk NEN 7510-gecertificeerd ISMS vereist een actueel continuïteitsplan. Zet dit nu in werking.
3. Documenteer alles: Maak screenshots, noteer tijdstippen en bewaar logbestanden. Dit is essentieel voor forensisch onderzoek en voor meldingen bij toezichthouders.
4. Informeer sleutelpersonen: Breng de directie, de functionaris gegevensbescherming (FG) en juridische adviseurs direct op de hoogte.
5. Schakel forensische expertise in: Bij ernstige aanvallen is externe ondersteuning noodzakelijk om de omvang te bepalen en bewijs veilig te stellen.

Vergeet niet dat de Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht dat zorgaanbieders beschikken over een functionerend continuïteitsplan en dit regelmatig testen. Als dat plan er nu niet is, is dit het moment om te beseffen hoe kwetsbaar de organisatie is.

Moet een zorgorganisatie een datalek melden bij de Autoriteit Persoonsgegevens?

Ja, als bij de hack persoonsgegevens zijn gelekt of toegankelijk zijn geworden voor onbevoegden, ben je als zorgorganisatie verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP). Gaat het om medische gegevens van patiënten, dan moet je in de meeste gevallen ook de betrokkenen zelf informeren.

Medische gegevens zijn bijzondere persoonsgegevens in de zin van de Algemene Verordening Persoonsgegevens (AVG). Een inbreuk op de beveiliging van zulke gegevens heeft automatisch een hoog risico voor de betrokkenen, waardoor melding aan de AP en melding aan de patiënten bijna altijd verplicht zijn.

Houd bij de melding rekening met het volgende:

• Beschrijf zo nauwkeurig mogelijk welke gegevens zijn geraakt en hoeveel personen het betreft.
• Geef aan welke maatregelen je al hebt genomen of gaat nemen.
• Als je nog niet alle feiten kent, meld dan wat je weet en vul later aan. De AP accepteert gefaseerde meldingen.

Belangrijk om te weten: NEN 7510 dekt een deel van de AVG-eisen af, maar niet volledig. Voldoen aan NEN 7510 betekent dus niet automatisch dat je ook volledig AVG-compliant bent. Zorg dat je FG goed op de hoogte is van beide kaders. Kijk ook naar de raakvlakken met de NIS2-richtlijn, die in 2026 als Cyberbeveiligingswet in Nederland wordt geïmplementeerd en aanvullend vereist dat incidenten binnen 24 uur worden gemeld bij de relevante autoriteit.

Welke patiëntgegevens zijn het vaakst doelwit bij een hack?

Criminelen richten zich bij aanvallen op zorgorganisaties het vaakst op elektronische patiëntdossiers, inloggegevens van medewerkers, betalingsinformatie en unieke medische identificatienummers. Medische gegevens zijn op de zwarte markt bijzonder waardevol omdat ze een combinatie bevatten van persoonlijke, financiële en gezondheidsdata.

Persoonlijke gezondheidsinformatie omvat volgens NEN 7510 alle informatie over een identificeerbaar persoon die verband houdt met de lichamelijke of geestelijke gesteldheid of de verlening van zorgdiensten. Dit gaat verder dan alleen diagnoses en behandelverslagen. Denk ook aan:

• Registratiegegevens en contactinformatie
• Betalingsinformatie en verzekeringsstatus
• Unieke identificatienummers voor medische doeleinden
• Gegevens die tijdens zorgverlening zijn vergaard, zoals laboratoriumuitslagen
• Informatie ontleend aan lichamelijk onderzoek
• De identiteit van zorgprofessionals als verleners van zorg

Zorgorganisaties zijn aantrekkelijke doelwitten omdat ze een breed netwerk van partijen bedienen. Patiënten, zorgverzekeraars, overheidsinstanties en ketenpartners wisselen allemaal gegevens uit. Elke schakel in die keten is een potentieel aanvalspunt. Juist daarom richt NEN 7510 zich niet alleen op de zorginstelling zelf, maar ook op ICT-leveranciers, softwareontwikkelaars en andere ketenpartners die persoonlijke gezondheidsinformatie verwerken.

Hoe herstel je systemen veilig na een ransomware-aanval?

Herstel na een ransomware-aanval verloopt veilig via een gestructureerde aanpak: verwijder de malware volledig, herstel vanuit een schone en gevalideerde back-up, test systemen grondig voordat je ze weer in productie neemt en controleer of de aanvalsvector is gedicht. Betaal het losgeld niet, want dit garandeert geen herstel en moedigt verdere aanvallen aan.

Een veilig herstelproces omvat de volgende fasen:

Schoonmaken en valideren

Verwijder alle sporen van de malware voordat je ook maar iets herstelt. Schakel forensische specialisten in om te bevestigen dat de aanvaller geen achterdeurtjes heeft achtergelaten. Controleer ook systemen die niet direct zijn getroffen, want ransomware verspreidt zich vaak al weken onopgemerkt door een netwerk voordat het toeslaat.

Herstellen vanuit back-ups

Herstel uitsluitend vanuit back-ups die zijn gemaakt vóór de infectie en die offline of in een geïsoleerde omgeving zijn opgeslagen. Test de integriteit van de back-up voordat je deze terugzet. Zorgorganisaties die werken volgens NEN 7510 beschikken over beheersmaatregelen voor bedrijfscontinuïteit, waaronder vereisten voor back-upbeheer en herstelplannen. Als die plannen er zijn, is dit het moment om ze te gebruiken.

Na het herstel is een grondige evaluatie verplicht: wat is er precies misgegaan, welke beheersmaatregelen hebben gefaald en welke aanpassingen zijn nodig? Leg de bevindingen vast op directieniveau en vertaal ze naar concrete verbeteracties.

Hoe voorkom je dat je zorgorganisatie opnieuw gehackt wordt?

De meest effectieve preventie tegen herhaalde cyberaanvallen is het implementeren en onderhouden van een robuust informatiebeveiligingsmanagementsysteem (ISMS) op basis van NEN 7510. Dit omvat technische maatregelen, organisatorische processen, medewerkersbewustzijn en regelmatige audits. Eenmalige maatregelen zijn niet voldoende; informatiebeveiliging is een continu proces.

Concrete maatregelen die het risico op een herhaalde aanval sterk verlagen:

• Toegangsbeheer: Pas het principe van minimale rechten toe. Medewerkers krijgen alleen toegang tot de systemen en gegevens die zij voor hun werk nodig hebben.
• Multifactorauthenticatie (MFA): Verplicht MFA voor alle systemen met toegang tot patiëntgegevens.
• Netwerksegmentatie: Scheid kritieke systemen van het algemene netwerk zodat een aanval zich niet vrij kan verspreiden.
• Patchbeheer: Houd alle software en systemen consequent up-to-date. Verouderde software is een van de meest gebruikte ingangen voor aanvallers.
• Logging en monitoring: NEN 7513 vereist dat acties op elektronische patiëntdossiers stelselmatig worden gelogd. Gebruik die logs actief voor het detecteren van verdacht gedrag.
• Training en bewustwording: Medewerkers zijn vaak de zwakste schakel. Regelmatige bewustwordingstraining en phishingsimulaties zijn essentieel.
• Interne audits: Voer periodiek interne audits uit om te controleren of beheersmaatregelen daadwerkelijk werken.

De herziene NEN 7510:2024 bevat beheersmaatregelen die specifiek zijn gericht op actuele dreigingen zoals cloudomgevingen en geavanceerde cyberdreigingen, inclusief Zero Trust Principles. Organisaties die nog werken met de oude versie van de norm, lopen achter op de huidige dreigingsomgeving. Bestaande certificaathouders moeten uiterlijk 20 februari 2027 zijn overgegaan naar NEN 7510:2024.

Hoe Diks Process Support helpt bij informatiebeveiliging in de zorg

Een cyberaanval is een wake-up call, maar ook een kans om de informatiebeveiliging van je zorgorganisatie structureel op orde te brengen. Wij begeleiden zorgorganisaties van de eerste beoordeling tot een volledig werkend ISMS en, waar gewenst, NEN 7510-certificering. Onze aanpak is praktisch, stapsgewijs en altijd afgestemd op de specifieke situatie van jouw organisatie.

Wat wij voor je kunnen doen:

• GAP-analyse: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NEN 7510-eisen en welke risico’s de hoogste prioriteit hebben.
• ISMS-implementatie: We helpen bij het opzetten of actualiseren van je informatiebeveiligingsmanagementsysteem, inclusief beleid, procedures en risicobeoordelingen.
• Begeleiding naar certificering: We begeleiden je van intake tot aan de certificeringsaudit, inclusief interne audits en management reviews.
• Interim security officer: Heb je direct iemand nodig? We kunnen ook tijdelijk als interim security officer worden ingezet.
• NIS2-voorbereiding: We zorgen dat jouw organisatie ook klaar is voor de verplichtingen die de Cyberbeveiligingswet in 2026 met zich meebrengt.

Wil je weten hoe jouw zorgorganisatie ervoor staat? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee over de volgende stap.

Gerelateerde artikelen

• Wat zijn de eerste stappen voor de NEN 7510:2024 transitie?
• Hoe onderscheid je je van concurrenten bij grote projecten?
• Hoe gebruik je toolboxmeetingen voor SCL certificering?
• Wat is het verschil tussen SCL trede 4 en trede 5?
• Welke medewerkers moeten SCL training volgen?
• Welke kwalificaties heeft een ISO 27001-consultant nodig?
• Hoe zorg ik voor een goede overdracht na een interim HSE opdracht?
• Helpt ISO 27001 bij het winnen van opdrachten?
• Wat zijn de kosten van een ISO 27001-audit?
• Wat is het verschil tussen een interim expert en een consultant?