Zorginstellingen werken met de meest gevoelige gegevens die er zijn: patiëntgegevens. Een datalek in de zorg heeft niet alleen juridische en financiële gevolgen, maar kan ook levensgevaarlijke situaties opleveren. Toch zie ik regelmatig dat zorginstellingen hun internetverbinding niet goed beveiligen. In dit artikel leg ik uit welke eisen er zijn en hoe je als zorginstelling voldoet aan AVG, NIS2 en andere regelgeving.
Waarom is internetbeveiliging in de zorg zo cruciaal?
De zorgsector is een van de meest aangevallen sectoren als het gaat om cybercrime. Waarom?
- Patiëntgegevens zijn waardevol — Op het darkweb zijn medische dossiers 10-50x meer waard dan creditcardgegevens
- Kritieke infrastructuur — Een cyberaanval kan levensreddende systemen platleggen
- Verouderde systemen — Veel zorginstellingen draaien nog op oude Windows-versies en legacy-software
- Veel toegangspunten — Artsen, verpleegkundigen, apothekers, verzekeraars - allemaal hebben ze toegang nodig
- Hoge tijdsdruk — In de zorg moet alles snel, waardoor security soms wordt overgeslagen
warning Cijfers die schrikken
- 93% van de zorginstellingen heeft in de afgelopen 3 jaar een datalek gehad
- Gemiddelde kosten van een datalek in de zorg: €10,1 miljoen
- 45% van de ransomware-aanvallen richt zich op de zorgsector
- Herstel na een cyberaanval duurt gemiddeld 287 dagen in de zorg
Wettelijke eisen voor internetbeveiliging in de zorg
1. AVG (Algemene Verordening Gegevensbescherming)
De AVG is de belangrijkste wet voor gegevensbescherming in Europa. Voor zorginstellingen zijn er extra strenge eisen omdat patiëntgegevens onder "bijzondere persoonsgegevens" vallen (artikel 9 AVG).
Wat betekent dit voor je internetverbinding?
- Versleuteling verplicht — Alle patiëntgegevens die over internet gaan moeten versleuteld zijn (TLS 1.3)
- Toegangscontrole — Alleen geautoriseerde personen mogen toegang hebben tot systemen met patiëntgegevens
- Logging en monitoring — Je moet kunnen aantonen wie wanneer toegang had tot welke gegevens
- Data minimalisatie — Blokkeer websites en diensten die niet nodig zijn voor de zorgverlening
- Meldplicht datalekken — Bij een datalek moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens
Boetes bij overtreding: Tot €20 miljoen of 4% van de wereldwijde jaaromzet (het hoogste bedrag geldt).
2. NIS2-richtlijn (vanaf oktober 2024)
De NIS2-richtlijn is de nieuwe Europese cybersecuritywet die ook voor veel zorginstellingen geldt. Vanaf oktober 2024 moeten "essentiële entiteiten" en "belangrijke entiteiten" in de zorgsector voldoen aan strenge cybersecurity-eisen.
Welke zorginstellingen vallen onder NIS2?
- Ziekenhuizen (alle ziekenhuizen met spoedeisende hulp)
- Laboratoria en diagnostische centra
- Apotheken en medicijndistributeurs
- Zorginstellingen met meer dan 50 medewerkers of €10 miljoen omzet
- Aanbieders van digitale gezondheidszorg (EPD-leveranciers, telehealth)
NIS2-eisen voor internetbeveiliging:
- Risicoanalyse — Jaarlijkse beoordeling van cybersecurity-risico's
- Incident response plan — Duidelijk plan voor cyberincidenten
- Business continuity — Backup-systemen en noodprocedures
- Supply chain security — Ook je leveranciers moeten veilig zijn
- Multi-factor authenticatie — Verplicht voor toegang tot kritieke systemen
- Netwerksegmentatie — Scheiding tussen verschillende netwerken
- Encryptie — Versleuteling van data in transit en at rest
3. NEN 7510 (norm voor informatiebeveiliging in de zorg)
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Hoewel het geen wet is, wordt naleving vaak wel geëist door verzekeraars en toezichthouders.
Belangrijke eisen uit NEN 7510:
- Risicoanalyse en beveiligingsplan
- Toegangscontrole en authenticatie
- Logging en monitoring
- Encryptie van gevoelige gegevens
- Beveiligde externe toegang (VPN of vergelijkbaar)
- Malware-bescherming
- Regelmatige security audits
Specifieke beveiligingseisen voor zorginstellingen
1. Bescherming van patiëntgegevens
Patiëntgegevens mogen nooit onversleuteld over internet worden verstuurd. Dit betekent:
- TLS-inspectie — Controleer wat er in versleuteld verkeer zit (met uitzondering van patiëntportalen)
- DLP (Data Loss Prevention) — Voorkom dat patiëntgegevens per ongeluk worden gedeeld
- Blokkeer onveilige diensten — Geen patiëntgegevens via WhatsApp, Gmail of andere consumer-diensten
- Secure file sharing — Gebruik alleen goedgekeurde platforms voor het delen van medische bestanden
2. Bescherming tegen malware en ransomware
Ransomware-aanvallen op ziekenhuizen kunnen levensgevaarlijk zijn. Zorg voor:
- Multi-layer beveiliging — DNS-filtering, TLS-inspectie, application filtering, file filtering
- Blokkeer bekende malware-bronnen — Tor, darkweb, illegale download-sites
- Email-filtering — 90% van de malware komt binnen via phishing-mails
- Patch management — Houd alle systemen up-to-date (ook legacy-systemen)
- Offline backups — Dagelijkse backups die niet via het netwerk bereikbaar zijn
3. Netwerksegmentatie
Scheiding tussen verschillende netwerken is cruciaal in de zorg:
- Medische apparatuur — Eigen netwerk voor MRI-scanners, beademingsapparaten, etc.
- EPD-systemen — Gescheiden netwerk voor elektronische patiëntendossiers
- Kantoornetwerk — Voor administratie en niet-kritieke systemen
- Gastnetwerk — Voor patiënten en bezoekers (volledig gescheiden)
- IoT-apparaten — Slimme thermostaten, camera's, etc. in eigen netwerk
Hoe CleanInternet.nl zorginstellingen helpt
CleanInternet.nl is speciaal ontworpen voor organisaties met hoge beveiligingseisen, zoals zorginstellingen. Zo helpen we je voldoen aan alle eisen:
✓ AVG-compliant out-of-the-box
- Alle verkeer wordt versleuteld (TLS 1.3)
- Uitgebreide logging van alle internetactiviteit
- Data Loss Prevention om lekkage te voorkomen
- Privacy by design - geen tracking, geen advertenties
✓ NIS2-ready
- Multi-layer security (5 lagen bescherming)
- Real-time threat intelligence
- Incident response dashboard
- Supply chain security (blokkeer onveilige leveranciers)
✓ NEN 7510-conform
- Risicogebaseerde filtering
- Role-based access control
- Uitgebreide audit logs
- Regelmatige security updates
verified_user Praktijkvoorbeeld: huisartsenpraktijk
Een huisartsenpraktijk met 8 artsen en 12 medewerkers stapte over naar CleanInternet.nl na een phishing-incident waarbij bijna patiëntgegevens waren gelekt.
Resultaat na 6 maanden:
- 0 security-incidenten (voorheen 2-3 per maand)
- 127 geblokkeerde malware-pogingen
- 43 geblokkeerde phishing-aanvallen
- 100% AVG-compliant volgens externe audit
- €15.000 bespaard op cybersecurity-verzekering
Checklist: is jouw zorginstelling veilig?
Gebruik deze checklist om te controleren of je internetverbinding voldoet aan de eisen:
Basis beveiliging
- ☐ Alle verkeer is versleuteld (TLS 1.3 of hoger)
- ☐ Multi-factor authenticatie voor alle medewerkers
- ☐ Automatische malware-scanning op alle downloads
- ☐ DNS-filtering tegen phishing en malware
- ☐ Regelmatige security updates en patches
AVG-compliance
- ☐ Data Loss Prevention (DLP) actief
- ☐ Logging van alle toegang tot patiëntgegevens
- ☐ Encryptie van data in transit en at rest
- ☐ Privacy impact assessment uitgevoerd
- ☐ Verwerkersovereenkomsten met alle leveranciers
NIS2-compliance
- ☐ Jaarlijkse risicoanalyse uitgevoerd
- ☐ Incident response plan aanwezig en getest
- ☐ Business continuity plan met backup-procedures
- ☐ Supply chain security geïmplementeerd
- ☐ Netwerksegmentatie tussen kritieke en niet-kritieke systemen
Zorg-specifiek
- ☐ Gescheiden netwerk voor medische apparatuur
- ☐ Blokkering van consumer-diensten voor patiëntgegevens
- ☐ Whitelist voor goedgekeurde medische portalen
- ☐ 24/7 monitoring van kritieke systemen
- ☐ Regelmatige security awareness training voor personeel
Veelgemaakte fouten in de zorg
Deze fouten zie ik vaak bij zorginstellingen:
- Alleen endpoint security — Antivirus op de computer is niet genoeg, je hebt ook netwerkbeveiliging nodig
- Geen netwerksegmentatie — Medische apparatuur in hetzelfde netwerk als kantoorcomputers is vragen om problemen
- Zwakke wachtwoorden — "Ziekenhuis2024!" is geen veilig wachtwoord, gebruik MFA
- Verouderde systemen — Windows 7 en Windows Server 2008 zijn niet meer veilig, upgrade!
- Geen logging — Als je niet weet wat er gebeurt, kun je ook niet bewijzen dat je compliant bent
- Consumer-diensten voor patiëntgegevens — WhatsApp en Gmail zijn niet AVG-proof voor medische communicatie
- Geen security awareness — 90% van de datalekken begint met een menselijke fout
Conclusie: veiligheid is geen luxe, maar een verplichting
Als zorginstelling heb je een wettelijke en morele plicht om patiëntgegevens te beschermen. De eisen worden steeds strenger (AVG, NIS2, NEN 7510), en de boetes bij overtredingen zijn enorm. Maar belangrijker nog: een datalek kan levensgevaarlijke situaties opleveren en het vertrouwen van patiënten beschadigen.
De goede nieuws? Met de juiste internetverbinding en beveiligingsmaatregelen is het helemaal niet zo moeilijk om compliant te zijn. CleanInternet.nl neemt het grootste deel van de technische complexiteit uit handen, zodat jij je kunt focussen op waar je goed in bent: zorg verlenen.
Wil je weten of jouw zorginstelling voldoet aan alle eisen? Neem contact op voor een gratis security scan en advies op maat.
