NIS2 · Sector gezondheidszorg

    NIS2 voor de zorg

    Wat de Cyberbeveiligingswet betekent voor zorgorganisaties

    Een ziekenhuis dat plat ligt, kan geen patiënten helpen. Daarom valt de gezondheidszorg sinds 15 augustus 2026 onder de Cyberbeveiligingswet. Het goede nieuws: wie NEN 7510 op orde heeft, heeft al een stevige basis. Hier leest u wat er verder van u verwacht wordt.
    Do the free check
    Contact us

    Zorg in het kort

    Sector

    Bijlage 1: zeer kritiek

    Entiteit

    Essentieel of belangrijk

    Toezichthouder

    Inspectie Gezondheidszorg en Jeugd (IGJ)

    Melden

    Via mijn.ncsc.nl, hulp van Z-CERT

    Welke zorgorganisaties vallen onder NIS2?

    In de zorg gaat het om meer dan alleen ziekenhuizen. Deze organisaties vallen eronder als zij de omvangsgrens halen.
    • Zorgaanbieders, zoals ziekenhuizen, ggz-instellingen, verpleeghuizen en klinieken
    • EU-referentielaboratoria
    • Organisaties die onderzoek en ontwikkeling doen naar geneesmiddelen
    • Farmaceutische bedrijven
    • Fabrikanten van medische hulpmiddelen, onder dezelfde zorgregeling
    Twijfelt u? Doe de gratis check →

    Goed om te weten

    Omvang
    U valt eronder vanaf 50 fte, of met een jaaromzet én balanstotaal boven € 10 miljoen. Veel huisartsen, tandartsen en kleine praktijken vallen er daardoor niet direct onder.

    Alleen jeugdhulp of Wmo?
    De regeling gebruikt de definitie van zorgaanbieder uit de Wkkgz. Organisaties die alleen jeugdhulp of maatschappelijke ondersteuning bieden, vallen er niet onder.

    Aanwijzing door de minister
    De minister kan zorgorganisaties aanwijzen, ook als ze kleiner zijn. Die gelden dan als essentieel.

    Twee keer melden
    Een datalek meldt u bij de Autoriteit Persoonsgegevens. Een significant incident onder de Cbw meldt u via het NCSC. De AP en de IGJ delen die meldingen niet met elkaar.

    Waarom de zorg een doelwit is

    Zorgorganisaties combineren gevoelige gegevens met systemen die altijd moeten werken. Dat maakt ze aantrekkelijk voor afpersers.

    Gevoelige gegevens

    Medische dossiers zijn voor criminelen veel waard. Dat maakt afpersing lonend.

    Veel gekoppelde apparaten

    Van infuuspomp tot scanner: medische apparatuur hangt aan het netwerk en draait soms op software die lastig te updaten is.

    Een lange keten

    EPD-leveranciers, labs, apotheken en regionale samenwerkingen delen gegevens. Een incident bij één partij raakt de hele keten.
    Uit de praktijk

    Ierse gezondheidsdienst HSE, 2021

    In mei 2021 legde ransomware vrijwel alle IT van de Ierse gezondheidsdienst plat. Afspraken en behandelingen werden wekenlang uitgesteld en het herstel duurde maanden. De aanvallers kwamen binnen via een phishingmail die al twee maanden eerder was geopend.

    Wat de wet van zorgorganisaties vraagt

    De Cyberbeveiligingsregeling voor de Zorg werkt de wet uit voor uw sector. Dit zijn de vier kernverplichtingen.

    Duty of care

    De zorgregeling, gepubliceerd op 14 augustus 2026, sluit aan bij NEN 7510. Wie die norm goed toepast, voldoet al aan een groot deel van de zorgplicht.
    Lees meer over de zorgplicht →

    Duty to report

    Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. De melding gaat door naar de IGJ en het CSIRT voor de zorg.
    Lees meer over de meldplicht →

    Registreren in het entiteitenregister

    U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
    Lees meer over de registratieplicht →

    Verantwoordelijkheid van het bestuur

    De raad van bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt verplicht een cybertraining. Bestuurders kunnen persoonlijk worden aangesproken.
    Lees meer over toezicht →

    Samenhang met NEN 7510 en de AVG

    In de zorg bestaat al veel regelgeving. De Cbw bouwt daarop voort.

    NEN 7510

    Al verplicht voor zorginformatiesystemen en de basis waarop de zorgregeling voortbouwt. Het fundament van uw aanpak.

    AVG

    Blijft gewoon gelden. Een datalek meldt u nog steeds bij de Autoriteit Persoonsgegevens, naast een eventuele Cbw-melding.

    ISO 27001

    Farmaceutische bedrijven en fabrikanten werken vaak met ISO 27001. Ook dat is een sterke basis voor de zorgplicht.

    Zo pakt u NIS2 aan in de zorg

    Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.
    1

    Stel vast of u eronder valt

    Check uw omvang en het soort zorg dat u levert, volgens de definitie uit de Wkkgz.
    2

    Registreer bij het NCSC

    Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl.
    3

    Leg NEN 7510 naast de Cbw

    Zoek de gaten, vaak bij ketenbeveiliging, de rol van het bestuur en het meldproces.
    4

    Oefen het melden

    Zorg dat iedereen weet wat er binnen 24 uur moet gebeuren, en waar u meldt bij de AP en het NCSC.
    Plan een NIS2 assessment

    Veelgestelde vragen over NIS2 en de zorg

    Meestal niet, omdat de meeste praktijken onder de 50 fte en € 10 miljoen blijven. Bij grotere huisartsenorganisaties of zorggroepen tellen de cijfers van de hele organisatie. NEN 7510 blijft hoe dan ook gelden.

    Het is een sterke basis, want de zorgregeling sluit er bewust bij aan. Registratie, meldplicht en de rol van het bestuur regelt u wel apart.

    De Inspectie Gezondheidszorg en Jeugd (IGJ). Zij kijkt naar de zorgplicht, de meldplicht en de registratieplicht.

    Z-CERT is het expertisecentrum voor cybersecurity in de zorg en voert in de praktijk de CSIRT-taken voor de sector uit. U kunt er terecht voor waarschuwingen en hulp bij incidenten.

    Bekijk ook andere sectoren

    Energy
    ICT-dienstverleners
    Transport
    Banking
    Digital infrastructure
    Drink- and wastewater
    Government
    Gemeenten
    Alle sectoren

    Zorg die veilig blijft draaien

    Wij helpen u NEN 7510 en de Cyberbeveiligingswet te verbinden tot één werkbare aanpak.
    Contact us
    Do the free check