Informatiebeveiliging in de zorg: van veilige technologie naar veilig werken

3 dagen geleden

5 minuten om te lezen

Waarom mens, proces en inhoud samen bepalen of cybersecurity ook in de dagelijkse zorgpraktijk standhoudt

Bestuurders weten inmiddels dat cybersecurity belangrijk is. De uitdaging is dat belangrijk vinden iets anders is dan het succesvol implementeren en borgen. Zorgorganisaties investeren massaal in NEN 7510, ISMS'en, awareness-programma's, SOC-diensten en technische beveiligingsmaatregelen. Toch worden ziekenhuizen, laboratoria en zorgleveranciers geraakt door cyberincidenten. De conclusie is daarom ongemakkelijk maar noodzakelijk:

De informatiebeveiligingsuitdaging is veel minder een technisch of procedureel vraagstuk; de werkelijke kwetsbaarheid is het samenspel van Inhoud, Proces en Mens of zoals Poiesz het in de jaren negentig al benoemde: Capaciteit, Gelegenheid en Motivatie. De combinatie van de gedragswetenschappelijke theorie van Poiesz en de bewezen Make Strategy Work (MSW)-methodiek van IG&H , waarin juist de samenhang tussen Inhoud, Proces en Mens centraal staat, maakt dit een krachtige kapstok om het gewenste gedrag mee te bereiken.

Cybersecurity heeft een fundamentele ontwikkeling doorgemaakt

Tien jaar geleden werd informatiebeveiliging vaak gezien als een IT-vraagstuk, dat met een wachtwoord, een firewall en een spamfilter zonder acties van de gebruikers kon worden opgelost. Vandaag is cybersecurity een bestuurlijke verantwoordelijkheid met inzet vanuit meerdere afdelingen zoals IT, HRM, Gebouwbeheer en Internal Audit. Dat is logisch. Vrijwel alle primaire zorgprocessen zijn inmiddels afhankelijk van digitale interacterende systemen:

Elektronische patiëntendossiers
Laboratoriumsystemen
Medische apparatuur
Medicatieketens
Zorgportalen

Wanneer deze systemen uitvallen, ontstaat niet alleen financiële en reputatieschade, maar ook risico's voor patiëntveiligheid. De dreiging dat de systemen uitvallen neemt toe. Het Nationaal Cyber Security Centrum (NCSC-NL) stelt dat ransomware een blijvende en ernstige dreiging vormt voor organisaties, waarbij naast versleuteling ook steeds vaker gegevens worden gestolen voor afpersing.

Verder concludeert Z-CERT in het Cybersecuritybeeld Zorg dat de zorgsector expliciet rekening moet houden met langdurige uitval van digitale systemen en dat ransomware nog steeds één van de meest ontwrichtende dreigingen voor de zorg vormt.

De praktijk laat zien waarom dit urgent is

Casus 1: Synnovis en de NHS

In juni 2024 werd laboratoriumdienstverlener Synnovis getroffen door een ransomwareaanval. Hierdoor werden laboratoriumdiensten ernstig verstoord binnen delen van de NHS in Londen. Meer dan 11.000 afspraken en behandeltrajecten werden geraakt en gestolen data werd later openbaar gemaakt.

De belangrijkste lessen: 1) Niet het ziekenhuis zelf bleek de zwakste schakel, maar een cruciale ketenpartner. 2) Cybersecurity is daarmee geen organisatievraagstuk meer, maar een ketenvraagstuk.

Casus 2: Ascension Health

In mei 2024 werd Ascension Health, één van de grootste zorgorganisaties in de Verenigde Staten, getroffen door ransomware. De aanval leidde tot verstoringen van zorgprocessen, uitval van systemen en een terugval naar papieren processen. Uiteindelijk bleken ongeveer 5,6 miljoen personen geraakt door het datalek. Ook hier lag de grootste impact niet bij de techniek zelf.

De echte schade zat in: 1) verstoring van zorgverlening, 2) vertraging van diagnostiek, 3) verminderde beschikbaarheid van patiëntinformatie, 4) druk op zorgprofessionals.

Casus 3: Aanvallen op Nederlandse zorgleveranciers

Volgens het Cybersecuritybeeld Zorg van Z-CERT werden in 2025 meerdere zorgleveranciers succesvol aangevallen. Z-CERT noemt daarbij expliciet de ransomwareaanval op Clinical Diagnostics Nederland als voorbeeld van de groeiende ketenafhankelijkheid binnen de zorg.

Hier zien we opnieuw hetzelfde patroon: 1) de techniek faalt in de keten, 2) het probleem manifesteert zich in de zorgverlening, 3) de gevolgen worden uiteindelijk gevoeld door patiënten.

photo of doctor sitting at desk, holding tablet in hand with superimposed layer of cybersecurity icons

Waarom veel beveiligingsprogramma's vastlopen

Bestuurders investeren vaak in techniek, beleid en compliance. Dat zijn noodzakelijke voorwaarden, maar geen voldoende voorwaarden. Vanuit de theorie van Poiesz ontstaat gedrag alleen wanneer drie factoren aanwezig zijn: 1) Motivatie, 2) Capaciteit en 3) Gelegenheid. Met een belangrijke aanvulling: wanneer één factor ontbreekt dan komt verandering niet van de grond. Vertalen we dit naar de MSW-methodiek van IG&H dan ontstaat een krachtig sturingsmodel, waarbij ook alle drie de factoren aandacht moeten krijgen:

Poeisz	MSW	Centrale vraag
Motivatie	Mens	Willen mensen veranderen?
Capaciteit	Inhoud	Weten mensen wat moet gebeuren?
Gelengenheid	Proces	Kunnen en mogen zij heit uitvoeren?

Informatiebeveiliging succesvol implementeren met Make Strategy Work

1. Inhoud: zorgen dat het klopt

Hier ligt de basis van het ISMS, maar ook een groot risico als de inhoud te abstract blijft om mee aan de slag te gaan. Informatiebeveiligingsstrategie is daarmee niet zomaar een document, maar een plan om succes te borgen.

Blijf daarom niet hangen in termen als cyberweerbaarheid, risicogestuurd werken, compliance en digitale veiligheid, maar voeg handelingsperspectief toe. Spreek over concrete risico's, duidelijke maatregelen, proceseigenaarschap, prioriteiten, KPI’s en een roadmap met leermomenten. Daarmee ontstaat niet alleen een antwoord op de vraag waarom, maar ook wat er moet gebeuren

2. Proces: zorgen dat het werkt

Veel sybprogramma’s en verbetercycli lopen vast omdat een goed proces ontbreekt. Het proces is niet alleen een planning, maar juist het creëren van gelegenheid voor medewerkers om ermee aan de slag te gaan. Het volgene van een e-learning, het reflecteren op een cyberincident of het serieus reviewen van risico’s en maatregelen. Op alle vlakken heb ik bij organisaties gezien dat het erbij in schiet. Niet bewust, maar in de prioritering sneeuwt het onder . . . tot het moment dat er iets gebeurt en dan vragen we ons af: “hoe heeft dit kunnen gebeuren?”

Het borgen van executiekracht betekent het concretiseren en onderhouden van mandaten, proces- en risicoeigenaren identificeren en ruimte maken voor de invulling van deze rol, maar ook vlotte besluitvorming borgen en voldoende change-capaciteit beschikbaar stellen om het morgen beter te doen dan vandaag. Niet eenmalig, maar continu beter.

3. Mens: creëren van motivatie

Objectief gezien, vind eigenlijk iedereen privacy en informatiebeveiliging belangrijk. Tegelijkertijd staan maar weinig 's morgens op met de ambitie om NEN 7510-maatregelen te implementeren. De verbinding met de persoonlijke purpose van de individu ontbreekt vaak doordat de echte connectie met de dagelijkse zorgpraktijk ontbreekt. Succesvolle organisaties maken daarom duidelijk dat informatiebeveiliging over patiëntveiligheid, continuïteit van zorg, betrouwbaarheid en professionele verantwoordelijkheid gaat. Het doel is niet compliant te zijn aan de NEN7510, maar het voorkomen dat het zorgproces door een cyberincident wordt geraakt. Dit perspectief ondersteunt eigenaarschap en succesvol gedrag.

Waarom de Make Strategy Work werkt . . .

Succesvol gedrag ontstaat volgens Poiesz door de factoren Motivatie, Gelegenheid en Capaciteit te vermenigvuldigen. Make Strategy Work doet dit door Inhoud, Proces en Mens te vermenigvuldigen. De triade wordt hiermee opgerekt en groeit in balans, waardoor het succes ook toeneemt.

Het resultaat is een bredere aanpak die zich niet richt op het afvinken van een lijstje of het behalen van een certificaat, maar op daadwerkelijke gedrags- en organisatieverandering. En dat is precies wat informatiebeveiliging in de zorg nodig heeft.

Van veilige technologie naar veilig werken

De grootste uitdaging voor zorgorganisaties is niet langer het ontbreken van beveiligingstechnologie. De grootste uitdaging is het succesvol realiseren van verandering, waarbij succes ontstaat wanneer:

mensen gemotiveerd zijn (Mens);
de strategie helder en uitvoerbaar is (Inhoud);
de organisatie de juiste randvoorwaarden creëert (Proces).

Of anders gezegd: Informatiebeveiliging wordt pas duurzaam succesvol wanneer organisaties niet alleen zorgen dat het veilig is, maar ook dat het veilig werkt en veilig omarmd wordt.