Cyberbeveiligingswet voor zorgaanbieders
De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden - de Nederlandse implementatie van de Europese NIS2-richtlijn. Deze richtlijn heeft tot doel om een hoog gemeenschappelijk niveau van cyberbeveiliging in de Europese Unie te bereiken binnen sectoren die worden gezien als essentieel voor de maatschappij. Daarbij horen ook verschillende sectoren gerelateerd aan de zorg, waaronder zorgaanbieders.
De wet bevat verplichtingen rond informatiebeveiliging en incidentmelding. Specifieke regels voor de zorgsector op dit vlak zijn uitgewerkt in een ministeriële regeling. De Cbw introduceert daarnaast een stelsel van bestuurdersverantwoordelijkheid, ketenverantwoordelijkheid en actief toezicht dat cyberveiligheid definitief tot een onderwerp voor de bestuurskamer maakt.
In dit artikel bespreken wij de belangrijkste onderdelen van het nieuwe kader, specifiek voor zorgaanbieders.
Toepassingsbereik
Verschillende sectoren binnen de gezondheidszorg vallen binnen het bereik van de Cbw. Dit betreft onder meer zorgaanbieders. De wet werkt in de meeste gevallen met omvangscriteria, waardoor middelgrote en grote ondernemingen automatisch binnen het toepassingsbereik kunnen vallen. Organisaties die binnen het toepassingsbereik vallen, zijn verplicht zich bij het Nationaal Cyber Security Centrum (NCSC) te registreren.
Nadat toepassing van de wet is vastgesteld, dient te worden bepaald welk toezichtregime geldt. De Cbw maakt namelijk onderscheid tussen essentiële en belangrijke entiteiten. Voor essentiële entiteiten geldt in de regel een proactiever toezichtregime. Toezichthouders kunnen daar onder meer controles en onderzoeken uitvoeren zonder dat eerst een overtreding hoeft te worden vastgesteld. Voor belangrijke entiteiten bestaat het toezicht meer uit reactieve handhaving, waarbij toezichtmaatregelen vaak volgen naar aanleiding van signalen of incidenten.
Sectoroverzicht en omvangscriteria
Gelaagdheid in de regelgeving
Het juridisch kader bestaat uit verschillende lagen. Aan de basis staat de Europese NIS2-richtlijn. Deze richtlijn bevat de uitgangspunten voor cyberrisicobeheer, incidentmeldingen, toezicht, handhaving en bestuurdersverantwoordelijkheid.
Nederland heeft deze verplichtingen geïmplementeerd in de Cbw. De wet bevat de ruim omschreven kernverplichtingen en legt de bevoegdheden van toezichthouders vast.
Daaronder bevindt zich het Cyberbeveiligingsbesluit (Cbb). Het besluit werkt verschillende wettelijke verplichtingen verder uit. Denk aan onderdelen van de zorgplicht, registratievereisten, opleidingsverplichtingen voor bestuurders en de systematiek rond meldingen.
De meest gedetailleerde normen zijn vervolgens opgenomen in Ministeriële regelingen. Voor de zorgsector is dit de Cyberbeveiligingsregeling voor de zorg (Cbz).
Zorgplicht voor informatiebeveiliging
De voornaamste verplichting uit de Cbw is de zorgplicht ten aanzien van cyberveiligheid. De wet verplicht organisaties passende en evenredige technische, operationele en organisatorische maatregelen te nemen om risico's voor netwerk- en informatiesystemen te beheersen.
Het Cbb concretiseert deze verplichting verder door categorieën van maatregelen te benoemen die ten minste dienen te worden geïmplementeerd, waaronder incidentmanagement, bedrijfscontinuïteit, back-upvoorzieningen, crisismanagement, supply chain security, toegangsbeheer, authenticatie en beveiligingsbewustzijn.
De Cbz gaat vervolgens nog specifieker in op de informatiebeveiligingseisen die gelden voor de zorgsector. In dit verband wordt aansluiting gezocht bij bestaande normen voor informatiebeveiliging. Een organisatie die onder de Cbz valt moet:
- voldoen aan de specifiek voor zorginstellingen opgestelde norm NEN 7510;
- voldoen aan de meer algemene normen NEN-ISO-IEC 27001 en 27002; of
- aantoonbaar een beschermingsniveau hebben dat gelijkwaardig is aan dat van bovenstaande normen.
Zorgaanbieders moesten op grond van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) al voldoen aan NEN 7510, en zullen dus in behoorlijke mate al voorbereid zijn op de informatiebeveiligingseisen die volgen uit de Cbw, Cbb en Cbz. Het toepassingsbereik van de Cbw is echter breder dan dat van de Wabvpz: waar de Wabvpz zorgaanbieders verplicht om te voldoen aan NEN 7510 wat betreft hun zorginformatiesystemen en uitwisselingssystemen, geldt de verplichting op grond van de Cbw voor alle netwerk- en informatiesystemen die een organisatie gebruikt. Het gaat dus niet langer enkel om elektronische patiëntendossiers en uitwisselingssystemen, maar bijvoorbeeld ook over systemen waarin de zorgaanbieder de eigen HR-gegevens bewaart.
Sectorale drempels voor meldplichtige incidenten
Ook de meldplicht kent dezelfde gelaagde structuur. In de Cbw is bepaald dat significante incidenten moeten worden gemeld aan de bevoegde autoriteiten, het aangewezen Computer Security Incident Response Team (CSIRT) en (in gevallen) ontvangers van de diensten. De wet schrijft daarbij voor dat meldingen gefaseerd plaatsvinden via een vroegtijdige waarschuwing, een incidentmelding en een eindrapport.
De vraag wanneer sprake is van een "significant incident" wordt echter niet uitsluitend in de wet zelf beantwoord.
Het Cbb bevat algemene criteria om te bepalen wanneer een incident als significant kwalificeert. Daarbij wordt onder meer gekeken naar het aantal getroffen gebruikers of afnemers van de dienst, de duur van het incident, de geografische spreiding van de verstoring, de mate waarin de continuïteit van de dienstverlening is aangetast en de omvang van de economische of maatschappelijke gevolgen. Vervolgens geven ministeriële regelingen per sector nadere invulling aan deze criteria, zo ook de Cbz.
Hier vindt u het complete overzicht van criteria voor significante incidenten binnen de zorgsector.
| Operationeel | Kritisch bedrijfsproces ligt langer dan 4 uur gedeeltelijk of geheel stil |
|---|---|
| Systemen | Voor de dienstverlening of productie cruciale netwerk- en informatiesystemen aangetast of vernietigd |
| Informatie | Integriteit/vertrouwelijkheid/beschikbaarheid bedrijfsgevoelige informatie aangetast |
| Persoonsgegevens | Bijzondere persoonsgegevens of BSN gecompromitteerd door kwaadwillende handeling |
| Persoonlijk letsel | Blijvend letsel, ziekenhuisopname of overlijden |
| Schade bij andere organisaties | Het incident heeft (mogelijk) gevolgen voor andere entiteiten, in de vorm van aanzienlijke materiële of immateriële schade |
De Cbz bepaalt dat een incident onder meer als 'significant' kwalificeert, wanneer als gevolg van het incident de vertrouwelijkheid van bijzondere persoonsgegevens (zoals gegevens over de gezondheid) of burgerservicenummers wordt aangetast als gevolg van een vermoedelijk kwaadwillende handeling, of als sprake is van blijvend letsel, ziekenhuisopname of overlijden van een persoon. De meldplicht uit de Cbw komt daarbij bovenop andere eventuele wettelijke meldplichten, zoals de meldplicht aan de Autoriteit Persoonsgegevens bij een datalek, of de meldplicht aan de Inspectie Gezondheidszorg en Jeugd (IGJ) bij een calamiteit.
Daarnaast kan onder meer sprake zijn van een significant incident bij onderbrekingen in kritische bedrijfssystemen, of aantasting van de integriteit, vertrouwelijkheid of beschikbaarheid van bedrijfsgevoelige informatie. Het is daarom aan te raden om, voordat een mogelijk meldplichtig incident plaatsvindt, te beoordelen welke systemen en informatie voor uw organisatie hieronder vallen.
Belangrijk is dat volgens de Cbz niet alleen sprake is van een significant incident als dat incident de in de voornoemde criteria omschreven gevolgen heeft, maar ook als er een reële kans is dat een incident die gevolgen kan veroorzaken. Met andere woorden: het risico op een bepaald gevolg kan voldoende zijn om te leiden tot een meldplicht, ook als dat risico zich nog niet heeft verwezenlijkt.
Bestuurdersverantwoordelijkheid en -aansprakelijkheid
Een belangrijke verandering ten opzichte van het eerdere wettelijke kader is de rol van bestuurders. Waar cybersecurity voorheen vaak werd gezien als een aangelegenheid van IT-afdelingen en securityteams, legt de Cbw expliciet verantwoordelijkheden neer bij het hoogste leidinggevende orgaan van de organisatie.
De Cbw legt de volgende verplichtingen neer bij bestuurders:
- goedkeuring van de cyberrisicobeheersmaatregelen van de organisatie;
- actief toezicht op de uitvoering en naleving van deze maatregelen;
- het beschikken over voldoende kennis en deskundigheid om cyberrisico’s te begrijpen en te beoordelen; en
- het volgen van passende opleiding en training op het gebied van cyberveiligheid.
Concreet betekent dit dat bestuurders die deze verplichtingen niet nakomen persoonlijk aansprakelijk kunnen worden gesteld. Toezichthouders kunnen bestuurders onder omstandigheden tijdelijk schorsen in hun functie. Daarnaast zullen toezichthouders bij controles steeds vaker beoordelen of besluiten rondom cyberrisico's aantoonbaar op bestuursniveau zijn besproken, vastgelegd en geëvalueerd. Het ontbreken van adequate documentatie hierover kan leiden tot handhavingsmaatregelen.
Leveranciersketen onderdeel van compliance
In de Cbw is veel aandacht voor de toeleveringsketen. De wet gaat ervan uit dat cyberrisico's zich niet beperken tot de eigen systemen van een organisatie. Cloudproviders, SaaS-leveranciers, managed service providers en andere leveranciers maken integraal onderdeel uit van het risicoprofiel van de onderneming.
De wet verlangt dat organisaties ook rekening houden met risico's die voortvloeien uit leveranciersrelaties en afhankelijkheden binnen de keten.
In de praktijk betekent dit dat cyberbeveiliging steeds vaker een contractueel vraagstuk wordt. Organisaties zullen in overeenkomsten met leveranciers onder meer afspraken moeten vastleggen over: beveiligingsnormen en certificeringen waaraan de leverancier moet voldoen, meldverplichtingen bij incidenten die de afnemer raken, medewerking aan audits en controles door de afnemer of diens toezichthouder, continuïteits- en exitregelingen bij beëindiging van de dienstverlening, en aansprakelijkheidsregelingen voor schade als gevolg van beveiligingsincidenten. Organisaties moeten kunnen aantonen dat zij niet alleen hun eigen beveiliging, maar ook die van kritieke leveranciers adequaat hebben beoordeeld.
Toezicht
De IGJ hield al toezicht op informatiebeveiliging bij zorgaanbieders. Die taak wordt nu uitgebreid: de IGJ gaat toezicht houden op de naleving van de verplichtingen uit de Cbw voor alle entiteiten in de zorgsector die daaronder vallen, en krijgt daarbij het volledige Cbw-handhavingsinstrumentarium tot haar beschikking. Dit betekent onder meer dat de IGJ bij essentiële entiteiten proactief onderzoeken kan starten, en de naleving van de Cbw door belangrijke entiteiten kan onderzoeken bij signalen of vermoedens van een overtreding.
De boetebedragen bij overtreding van de zorgplicht of meldplicht zijn voor essentiële entiteiten maximaal €10 miljoen of 2% van de wereldwijde jaaromzet, en voor belangrijke entiteiten ligt het maximum op €7 miljoen of 1,4% van de wereldwijde jaaromzet. Daarnaast kunnen bestuursleden een bestuurlijke boete van €25.000 opgelegd krijgen, als ze de op hen rustende verplichtingen niet naleven.
Meer informatie of advies
Wilt u meer weten of van gedachten wisselen over de Cyberbeveiligingswet en de nieuwe kaders voor informatiebeveiliging, meldplichten en bestuurdersaansprakelijkheid? Neem dan contact met ons op, wij gaan graag met u in gesprek.
