Wat kost een cyberaanval een zorgorganisatie gemiddeld?

Een cyberaanval kost een zorgorganisatie gemiddeld tienduizenden tot honderdduizenden euro’s, afhankelijk van de omvang van het incident en de getroffen systemen. De totale schade bestaat niet alleen uit directe herstelkosten, maar ook uit operationele stilstand, juridische gevolgen en reputatieschade. In dit artikel beantwoorden we de meest gestelde vragen over cyberaanvallen in de zorg, van kostenposten tot preventie via NEN 7510 certificering.

Welke kostenposten ontstaan na een cyberaanval in de zorg?

Na een cyberaanval in de zorg ontstaan kosten op meerdere fronten tegelijk. De directe herstelkosten vormen doorgaans de zichtbaarste post, maar de indirecte schade loopt vaak nog hoger op. Zorgorganisaties worden geconfronteerd met een combinatie van technische, juridische, operationele en reputatiegerelateerde kostenposten die samen de werkelijke impact bepalen.

De voornaamste kostenposten zijn:

• Technisch herstel: het herstellen van systemen, het verwijderen van malware en het terugzetten van back-ups vraagt gespecialiseerde expertise en tijd.
• Operationele stilstand: zolang systemen niet beschikbaar zijn, kunnen zorgverleners niet bij patiëntdossiers, wat directe zorgvertraging veroorzaakt.
• Juridische en compliancekosten: bij een datalek moeten organisaties voldoen aan meldplichten en kunnen zij te maken krijgen met onderzoeken door de Autoriteit Persoonsgegevens of de Inspectie Gezondheidszorg en Jeugd (IGJ).
• Boetes en aansprakelijkheid: schendingen van de AVG of de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) kunnen leiden tot aanzienlijke financiële sancties.
• Communicatie en crisismanagement: het informeren van patiënten, medewerkers en toezichthouders kost tijd en middelen.
• Reputatieschade: verlies van vertrouwen bij patiënten en verwijzers is moeilijk in euro’s uit te drukken, maar heeft wel degelijk financiële gevolgen op de langere termijn.

Bijzonder aan de zorgsector is dat een aanval niet alleen financiële schade veroorzaakt, maar ook directe risico’s voor de patiëntveiligheid met zich meebrengt. Dat maakt de werkelijke impact van een cyberaanval in de zorg groter dan in veel andere sectoren.

Hoe lang duurt het voordat een zorgorganisatie herstelt van een cyberaanval?

Het volledig herstel van een zorgorganisatie na een cyberaanval duurt gemiddeld enkele weken tot meerdere maanden. De exacte hersteltijd hangt af van de ernst van de aanval, de kwaliteit van de back-upinfrastructuur en de mate waarin een continuïteitsplan beschikbaar en getest is.

Organisaties zonder een actueel continuïteitsplan en zonder regelmatige testprocedures lopen aanzienlijk meer risico op langdurige uitval. De IGJ verwacht dan ook expliciet dat zorgaanbieders beschikken over een functionerend informatiebeveiligingsmanagementsysteem (ISMS), een continuïteitsplan hebben en dit regelmatig testen. Wie hieraan voldoet, herstelt sneller en met minder schade.

Een ransomware-aanval, waarbij systemen worden versleuteld totdat losgeld wordt betaald, kan weken van uitval veroorzaken. Zelfs na technisch herstel duurt het vaak langer voordat alle processen weer volledig draaien, medewerkers opnieuw zijn getraind en het vertrouwen van patiënten is hersteld.

 

 

Welke zorgorganisaties lopen het grootste risico op een cyberaanval?

Zorgorganisaties die veel persoonlijke gezondheidsinformatie verwerken, verouderde systemen gebruiken of onvoldoende beveiligingsmaatregelen hebben getroffen, lopen het grootste risico op een cyberaanval. Dat geldt voor een breed spectrum aan organisaties, van grote ziekenhuizen tot kleine thuiszorgaanbieders.

Volgens NEN 7510 vallen onder de risicogroep niet alleen zorginstellingen zelf, maar ook:

• ICT-leveranciers die systemen aan zorginstellingen leveren
• Zorgverzekeraars die medische gegevens verwerken
• Gemeenten met verantwoordelijkheid voor WMO en jeugdzorg
• Softwareontwikkelaars die zorgtoepassingen bouwen
• Andere ketenpartners die persoonlijke gezondheidsinformatie ontvangen of doorsturen

De zorgsector is aantrekkelijk voor cybercriminelen omdat medische gegevens bijzonder gevoelig zijn en organisaties vaak onder druk staan om snel te betalen om de zorgverlening te hervatten. Kleinere organisaties denken soms dat zij geen doelwit zijn, maar juist het ontbreken van adequate beveiliging maakt hen kwetsbaar.

Wat zijn de meest voorkomende oorzaken van een cyberaanval in de zorg?

De meest voorkomende oorzaken van een cyberaanval in de zorg zijn menselijke fouten, phishing, zwakke wachtwoorden en onveilige toegang tot systemen. Technische kwetsbaarheden in verouderde software spelen eveneens een grote rol, net als onvoldoende bewustzijn bij medewerkers over digitale veiligheid.

In de praktijk zien we dat aanvallers zorgorganisaties vaak binnenkomen via:

• Phishing e-mails: medewerkers klikken op een kwaadaardige link of bijlage, waarna aanvallers toegang krijgen tot het netwerk.
• Zwakke of hergebruikte wachtwoorden: zonder multifactorauthenticatie zijn accounts eenvoudig te compromitteren.
• Onbeveiligde externe toegang: thuiswerken en externe toegang tot patiëntensystemen vergroten het aanvalsoppervlak als dit niet goed is ingericht.
• Verouderde software: systemen die niet regelmatig worden bijgewerkt, bevatten bekende kwetsbaarheden die aanvallers actief uitbuiten.
• Onvoldoende netwerkscheiding: als één systeem is gecompromitteerd, kan een aanvaller zich eenvoudig lateraal door het netwerk bewegen.

NEN 7510 adresseert al deze risico’s met concrete beheersmaatregelen. De herziene NEN 7510:2024 besteedt daarbij extra aandacht aan actuele dreigingen zoals cloudomgevingen en bevat maatregelen rondom Zero Trust Principles, noodcommunicatie en externe incidentrapportage.

Hoe helpt ISO 27001 zorgorganisaties cyberrisico’s te beheersen?

ISO 27001 helpt zorgorganisaties cyberrisico’s te beheersen door een systematisch kader te bieden voor het opzetten, implementeren en continu verbeteren van een informatiebeveiligingsmanagementsysteem (ISMS). Voor de zorgsector is NEN 7510 de sectorspecifieke uitwerking van dit internationale kader, aangevuld met zorgspecifieke beheersmaatregelen.

NEN 7510-1 is gebaseerd op ISO/IEC 27001 en stelt normatieve voorschriften voor het ISMS. NEN 7510-2 is de Nederlandse weergave van ISO/IEC 27002, aangevuld met zorgspecifieke eisen. Wie werkt volgens NEN 7510 bouwt daarmee tegelijkertijd aan een fundament dat grotendeels overeenkomt met ISO 27001, zonder dubbele auditlasten te hoeven dragen als beide certificaten worden nagestreefd.

Concreet helpt dit kader zorgorganisaties door:

• Risico’s structureel in kaart te brengen en te prioriteren via een risicoanalyse
• Beheersmaatregelen te documenteren in een Verklaring van Toepasselijkheid (VvT)
• Incidentprocedures te standaardiseren zodat snel en gecontroleerd kan worden gereageerd
• Medewerkers te trainen en bewust te maken van hun rol in informatiebeveiliging
• Via interne audits en management reviews continu te verbeteren

De herziene NEN 7510:2024 is afgestemd op ISO/IEC 27001:2022 en bevat aanvullende aandacht voor cloudomgevingen en actuele cyberdreigingen, wat de norm bijzonder relevant maakt voor de huidige digitale zorgomgeving.

Wanneer is het verplicht om een cyberincident te melden in de zorg?

Zorgorganisaties zijn verplicht een cyberincident te melden wanneer er sprake is van een datalek met persoonsgegevens. Dit moet binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens op grond van de AVG. Aanvullend stelt de NIS2-richtlijn, die naar verwachting in het tweede kwartaal van 2026 als de Cyberbeveiligingswet (Cbw) in de Nederlandse wetgeving wordt geïmplementeerd, dat incidenten binnen 24 uur moeten worden gemeld bij de relevante autoriteit.

NEN 7510 vereist op dit moment “tijdige” melding van incidenten, maar de herziene NEN 7510:2024 bevat al beheersmaatregelen die vooruitlopen op de strengere NIS2-eisen. Daartoe behoren maatregelen voor externe incidentrapportage en noodcommunicatie. Organisaties die werken volgens NEN 7510 voldoen daarmee al aan een groot deel van de NIS2-vereisten.

Naast de meldplicht bij de Autoriteit Persoonsgegevens geldt ook:

• Melding aan betrokkenen: als een datalek waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van patiënten, moeten zij direct worden geïnformeerd.
• Melding aan de IGJ: de Inspectie Gezondheidszorg en Jeugd verwacht dat zorgaanbieders incidenten die de patiëntveiligheid raken, actief communiceren.
• Interne documentatie: alle incidenten, ook degenen die niet extern hoeven te worden gemeld, moeten intern worden gedocumenteerd als onderdeel van het ISMS.

Het is verstandig om meldprocedures vooraf te documenteren en regelmatig te oefenen, zodat in een crisissituatie snel en correct kan worden gehandeld zonder kostbare tijd te verliezen.

Hoe Diks Process Support helpt met informatiebeveiliging in de zorg

Wij begrijpen dat informatiebeveiliging in de zorg meer vraagt dan een stapel beleidsdocumenten. Het gaat om aantoonbare beheersing van risico’s, naleving van wetgeving en het beschermen van patiënten. Wij begeleiden zorgorganisaties stap voor stap naar een werkend ISMS en, waar gewenst, naar NEN 7510 certificering.

Wat wij concreet voor je doen:

• GAP-analyse: we brengen in kaart waar je organisatie staat ten opzichte van NEN 7510:2024 en welke stappen nodig zijn.
• ISMS implementatie: we helpen bij het opstellen en actualiseren van beleid, procedures, risicobeoordelingen en de Verklaring van Toepasselijkheid.
• Interne audits: we organiseren en begeleiden interne audits zodat je altijd auditklaar bent.
• Training en bewustwording: we zorgen dat medewerkers begrijpen wat van hen wordt verwacht en hoe zij bijdragen aan informatieveiligheid.
• Certificeringsbegeleiding: we begeleiden je van intake tot aan het behalen van het certificaat, inclusief overgangsaudit voor organisaties die nog moeten transiteren naar NEN 7510:2024.
• NIS2 voorbereiding: we helpen je tijdig klaar te zijn voor de Cyberbeveiligingswet die in 2026 van kracht wordt.

Wil je weten waar je organisatie staat en wat er nodig is om cyberrisico’s structureel te beheersen? Neem contact op voor een vrijblijvend gesprek.

 

Gerelateerde artikelen

• Hoe voorkom ik dat medewerkers patiëntdata lekken?
• Wat als ik de februari 2027 deadline voor NEN 7510:2024 niet haal?
• ISO 27001 zelf implementeren of uitbesteden?
• Wat zijn de eisen voor leveranciersbeheer binnen ISO 9001?
• Wat zijn de kosten van één ernstig bedrijfsongeval?
• Hoe houd je veiligheidsafspraken levend in een drukke periode?
• Wat zijn de voordelen van ISO 27001 voor klanten?
• Wat is vergelijkbaar met ISO 27001?
• Hoe zorg ik voor continuïteit na een interim KAM opdracht?
• Welke ISO 27001 controls zijn verplicht?