NIS2 · Sector gezondheidszorg

NIS2 voor de zorg

Wat de Cyberbeveiligingswet betekent voor zorgorganisaties

Een ziekenhuis dat plat ligt, kan geen patiënten helpen. Daarom valt de gezondheidszorg sinds 15 augustus 2026 onder de Cyberbeveiligingswet. Het goede nieuws: wie NEN 7510 op orde heeft, heeft al een stevige basis. Hier leest u wat er verder van u verwacht wordt.

Zorg in het kort

Sector

Bijlage 1: zeer kritiek

Entiteit

Essentieel of belangrijk

Toezichthouder

Inspectie Gezondheidszorg en Jeugd (IGJ)

Melden

Via mijn.ncsc.nl, hulp van Z-CERT

Welke zorgorganisaties vallen onder NIS2?

In de zorg gaat het om meer dan alleen ziekenhuizen. Deze organisaties vallen eronder als zij de omvangsgrens halen.

Zorgaanbieders, zoals ziekenhuizen, ggz-instellingen, verpleeghuizen en klinieken
EU-referentielaboratoria
Organisaties die onderzoek en ontwikkeling doen naar geneesmiddelen
Farmaceutische bedrijven
Fabrikanten van medische hulpmiddelen, onder dezelfde zorgregeling

Twijfelt u? Doe de gratis check →

Goed om te weten

Omvang
U valt eronder vanaf 50 fte, of met een jaaromzet én balanstotaal boven € 10 miljoen. Veel huisartsen, tandartsen en kleine praktijken vallen er daardoor niet direct onder.

Alleen jeugdhulp of Wmo?
De regeling gebruikt de definitie van zorgaanbieder uit de Wkkgz. Organisaties die alleen jeugdhulp of maatschappelijke ondersteuning bieden, vallen er niet onder.

Aanwijzing door de minister
De minister kan zorgorganisaties aanwijzen, ook als ze kleiner zijn. Die gelden dan als essentieel.

Twee keer melden
Een datalek meldt u bij de Autoriteit Persoonsgegevens. Een significant incident onder de Cbw meldt u via het NCSC. De AP en de IGJ delen die meldingen niet met elkaar.

Waarom de zorg een doelwit is

Zorgorganisaties combineren gevoelige gegevens met systemen die altijd moeten werken. Dat maakt ze aantrekkelijk voor afpersers.

Gevoelige gegevens

Medische dossiers zijn voor criminelen veel waard. Dat maakt afpersing lonend.

Veel gekoppelde apparaten

Van infuuspomp tot scanner: medische apparatuur hangt aan het netwerk en draait soms op software die lastig te updaten is.

Een lange keten

EPD-leveranciers, labs, apotheken en regionale samenwerkingen delen gegevens. Een incident bij één partij raakt de hele keten.

Uit de praktijk

Ierse gezondheidsdienst HSE, 2021

In mei 2021 legde ransomware vrijwel alle IT van de Ierse gezondheidsdienst plat. Afspraken en behandelingen werden wekenlang uitgesteld en het herstel duurde maanden. De aanvallers kwamen binnen via een phishingmail die al twee maanden eerder was geopend.

Wat de wet van zorgorganisaties vraagt

De Cyberbeveiligingsregeling voor de Zorg werkt de wet uit voor uw sector. Dit zijn de vier kernverplichtingen.

Zorgplicht

De zorgregeling, gepubliceerd op 14 augustus 2026, sluit aan bij NEN 7510. Wie die norm goed toepast, voldoet al aan een groot deel van de zorgplicht.
Lees meer over de zorgplicht →

Meldplicht

Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. De melding gaat door naar de IGJ en het CSIRT voor de zorg.
Lees meer over de meldplicht →

Registreren in het entiteitenregister

U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
Lees meer over de registratieplicht →

Verantwoordelijkheid van het bestuur

De raad van bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt verplicht een cybertraining. Bestuurders kunnen persoonlijk worden aangesproken.
Lees meer over toezicht →

Samenhang met NEN 7510 en de AVG

In de zorg bestaat al veel regelgeving. De Cbw bouwt daarop voort.

NEN 7510

Al verplicht voor zorginformatiesystemen en de basis waarop de zorgregeling voortbouwt. Het fundament van uw aanpak.

AVG

Blijft gewoon gelden. Een datalek meldt u nog steeds bij de Autoriteit Persoonsgegevens, naast een eventuele Cbw-melding.

ISO 27001

Farmaceutische bedrijven en fabrikanten werken vaak met ISO 27001. Ook dat is een sterke basis voor de zorgplicht.

Zo pakt u NIS2 aan in de zorg

Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.

Stel vast of u eronder valt

Check uw omvang en het soort zorg dat u levert, volgens de definitie uit de Wkkgz.

Registreer bij het NCSC

Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl.

Leg NEN 7510 naast de Cbw

Zoek de gaten, vaak bij ketenbeveiliging, de rol van het bestuur en het meldproces.

Oefen het melden

Zorg dat iedereen weet wat er binnen 24 uur moet gebeuren, en waar u meldt bij de AP en het NCSC.

Bekijk ook andere sectoren

Zorg die veilig blijft draaien

Wij helpen u NEN 7510 en de Cyberbeveiligingswet te verbinden tot één werkbare aanpak.