NIS2 in de zorg: wat betekent de Cyberbeveiligingswet voor bestuur en toezicht?

Valt iedere zorgorganisatie onder NIS2?

Nee.

Of de Cyberbeveiligingswet geldt, hangt onder meer af van:

• wettelijke sector- en entiteitsdefinitie;
• aard van de dienstverlening;
• omvang;
• eventuele uitzonderingen of specifieke aanwijzing.

Gebruik voor een eerste beoordeling de officiële zelfevaluatie en laat twijfel juridisch/inhoudelijk controleren.

Bepaal eerst of de organisatie onder de Cbw valt

Wat verandert er als de organisatie onder de Cbw valt?

Dan spelen onder meer:

• registratieplicht;
• zorgplicht;
• meldplicht bij significante incidenten;
• bestuurlijke verantwoordelijkheid;
• trainingsplicht voor uitvoerende bestuurders;
• toezicht en handhaving.

Voor bestuur vind ik vooral de combinatie van zorgplicht en governance relevant.

De wet vraagt niet alleen maatregelen.

Het bestuur moet voldoende kennis hebben om die maatregelen en de onderliggende risico's te beoordelen.

Wat maakt zorgcontext bijzonder?

De impact van digitale verstoring kan snel verder gaan dan productiviteitsverlies.

Denk bijvoorbeeld aan:

• beschikbaarheid van cliënt-/patiëntinformatie;
• planning en roosters;
• medicatie- of behandelprocessen;
• medische of zorgtechnologie;
• communicatie;
• ketenpartners;
• toegang tot gebouwen of systemen;
• continuïteit van dienstverlening.

Daarom zou ik in een boardroomsessie niet beginnen bij “hebben we antivirus?”.

Ik zou vragen:

welke zorgprocessen kunnen we het kortst missen?

De trainingsplicht voor zorgbestuurders

Als de organisatie een essentiële of belangrijke entiteit onder de Cyberbeveiligingswet is, geldt voor uitvoerende bestuurders de wettelijke trainingsplicht.

De training behandelt op strategisch niveau:

• soorten cyberrisico's;
• risicomanagement;
• risicobeoordeling;
• de maatregelgebieden uit de zorgplicht.

Na deelname is een certificaat nodig met de gegevens die het Cyberbeveiligingsbesluit voorschrijft.

RvT/RvC vallen volgens de RDI buiten die specifieke trainingsplicht.

Voor zorgtoezicht blijft kennis uiteraard relevant om bestuur en continuïteit goed te kunnen beoordelen.

Welke vragen zou ik als zorgbestuurder stellen?

1. Welke zorgprocessen zijn digitaal kritiek?

Maak concreet wat er gebeurt bij uitval van:

• dossier;
• planning;
• telefonie;
• netwerk;
• cloud;
• medische koppeling;
• leverancier.

2. Welke leveranciers zijn onmisbaar?

Zorgorganisaties werken vaak met veel gespecialiseerde leveranciers.

Vraag:

• wie heeft toegang;
• wie beheert;
• welke cloudketen zit erachter;
• wat is hersteltermijn;
• welke assurance is beschikbaar.

3. Kunnen we bij uitval veilig doorwerken?

Continuïteit gaat verder dan back-up.

Zijn noodprocedures bruikbaar?

Zijn die geoefend?

Weet personeel wat te doen?

4. Welke informatie krijgt het bestuur?

Een technische lijst met kwetsbaarheden is onvoldoende.

Bestuur wil weten:

• impact;
• prioriteit;
• eigenaar;
• restrisico;
• herstel;
• besluit.

5. Welke informatie krijgt de RvT?

Voor toezicht wil ik een compact beeld van:

• toprisico's;
• incidenten;
• herstelvermogen;
• leveranciersafhankelijkheden;
• audits;
• grote openstaande verbeteringen;
• risicoacceptatie.

NIS2 en bestaande zorgkaders

Veel zorgorganisaties werken al met informatiebeveiligingsnormen, kwaliteitskaders en privacyverplichtingen.

Dat bestaande werk is waardevol.

De Cyberbeveiligingswet hoeft dus niet als volledig los programma te worden benaderd.

De bestuurlijke vraag is:

welke bestaande beheersing kunnen we aantoonbaar gebruiken, en waar vraagt de Cbw aanvullende aandacht?

Vermijd in dit artikel absolute claims over gelijkwaardigheid tussen NEN 7510, ISO 27001 en de Cbw. Ze hebben verschillende doelen en juridische status.

Leveranciers en de zorgketen

Een ECD/EPD, cloudplatform of gespecialiseerde applicatie kan een groot deel van het risicoprofiel bepalen.

Voor kritieke leveranciers wil ik zien:

• beveiligingsafspraken;
• incidentmelding;
• herstel;
• assurance;
• onderaannemers;
• toegang;
• exit.

Lees hoe je grip krijgt op de NIS2 supply chain

Wat bespreek je in een boardroomsessie voor zorg?

Een goede sessie zou ik richten op de eigen zorgcontext.

Bijvoorbeeld:

• kritieke zorgprocessen;
• scenario van uitval;
• leveranciers;
• informatiepositie van bestuur;
• RvT-vragen;
• restrisico;
• wettelijke trainingseisen.

Daarmee wordt NIS2 minder abstract.

Mijn uitgangspunt

De Cyberbeveiligingswet is voor zorgbestuur geen technische checklist.

Het is een extra reden om digitale continuïteit en cyberrisico op hetzelfde niveau te behandelen als andere risico's die de kwaliteit en beschikbaarheid van zorg kunnen raken.

Begin met scope.

Bepaal daarna welke processen, leveranciers en beslissingen bestuurlijk relevant zijn.

Wil je dit in een zorgspecifieke sessie bespreken, bekijk dan de NIS2 Boardroom Training en vermeld bij aanvraag dat het om de zorg-/sociaal-domeinvariant gaat.

Bekijk de NIS2 Boardroom Training

Bronnen

Gebruik actuele officiële bronnen:

• Rijksoverheid: Cyberbeveiligingswet sinds 15 augustus 2026;
• Cyberbeveiligingswet / Cyberbeveiligingsbesluit;
• bevoegde sectorale overheidsinformatie voor gezondheidszorg;
• RDI voor algemene governance/training waar relevant.

Controleer vóór publicatie of er inmiddels specifieke sectorale zorgregelgeving of guidance is gepubliceerd en link die waar passend.