Voor bestuurders gaat het daarbij niet over firewalls, antivirussoftware of technische maatregelen. Het gaat over patiëntveiligheid, continuïteit van zorg en crisisbeheersing. Wat gebeurt er als het EPD uitvalt? Kunnen zorgverleners blijven werken zonder digitale ondersteuning? Moeten wij zorg afschalen? Zijn zorgverleners voldoende voorbereid om onder afwijkende omstandigheden zorg te verlenen? En hoe gaan we om met patiënten die acute zorg nodig hebben wanneer essentiële systemen niet beschikbaar zijn?

Deze vragen laten zien dat cyberbeveiliging vooral een vraagstuk is van risicomanagement en goed bestuur. Organisaties die goed zijn voorbereid onderscheiden zich niet door de hoeveelheid technische maatregelen die zij hebben getroffen, maar door hun inzicht in risico's, afhankelijkheden en de mogelijke impact van een cyberincident op de zorgverlening.

Vijf vragen die iedere zorgbestuurder zichzelf nu zou moeten stellen

In gesprekken met raden van bestuur en raden van toezicht komen steeds dezelfde vragen terug. Organisaties die goed zijn voorbereid op de Cyberbeveiligingswet kunnen deze vragen overtuigend beantwoorden.

1. Weten wij welke systemen cruciaal zijn voor de continuïteit van zorg?

Veel zorgorganisaties beschikken over een overzicht van hun IT-landschap. Minder vaak is duidelijk welke systemen daadwerkelijk essentieel zijn voor de zorgverlening.

Wat gebeurt er als morgen het EPD niet beschikbaar is? Kunnen operaties doorgaan? Hoe lang kan  betrouwbare zorg worden geleverd zonder digitale ondersteuning? Wat zijn de gevolgen als de telefonie uitvalt of medische apparatuur niet meer toegankelijk is?

De grootste uitdaging blijkt vaak niet het ontbreken van technische maatregelen, maar het ontbreken van inzicht in de gevolgen van verstoringen. Bestuurders die weten welke processen en systemen essentieel zijn, kunnen gerichter prioriteiten stellen en beter onderbouwde investeringsbeslissingen nemen.

2. Is cyberbeveiliging een onderwerp van de bestuurder of van de IT-afdeling?

Cybersecurity wordt van oudsher vaak gezien als een verantwoordelijkheid van ICT. Vanuit uitvoering is dat begrijpelijk, maar vanuit governance niet langer voldoende.

Iedere zorginstelling heeft een eigen risicoprofiel. Wat voor de ene organisatie een acceptabel risico is, kan voor een andere organisatie direct gevolgen hebben voor patiëntveiligheid of de continuïteit van zorg. Daarom moeten cyberrisico's regelmatig aan de bestuurstafel worden besproken.

Bestuurders moeten inzicht hebben in de belangrijkste risico's en hierover bewuste keuzes maken. Accepteren wij een risico, of nemen wij aanvullende maatregelen? Welke investeringen zijn noodzakelijk en welke niet? Juist deze afwegingen maken cyberbeveiliging tot een bestuurlijk vraagstuk.

3. Hebben wij voldoende zicht op onze leveranciers en ketenafhankelijkheden?

Zorgorganisaties zijn steeds afhankelijker van cloudplatformen, softwareleveranciers, medische apparatuur en externe ICT-dienstverleners. Tegelijkertijd blijkt in de praktijk dat veel organisaties niet precies weten welke leveranciers essentieel zijn voor de continuïteit van zorg.

De Cyberbeveiligingswet vraagt daarom nadrukkelijk aandacht voor risico's in de toeleveringsketen. Van bestuurders wordt verwacht dat zij niet alleen inzicht hebben in de weerbaarheid van de eigen organisatie, maar ook in die van hun belangrijkste leveranciers.

Een eenvoudige maar krachtige vraag is daarbij: welke leverancier mag morgen niet uitvallen omdat anders de patiëntenzorg direct wordt geraakt?

4. Zijn wij voorbereid op een cybercrisis?

Vrijwel iedere zorgorganisatie beschikt over noodplannen en incidentprocedures. Toch blijkt tijdens crisisoefeningen vaak dat de belangrijkste uitdagingen niet technisch zijn, maar bestuurlijk.

Wanneer schalen wij de zorg af? Wie neemt dat besluit? Welke risico's accepteren wij tijdelijk om de zorgverlening voort te zetten? Wanneer informeren wij patiënten, Raad van Toezicht, externe toezichthouders en andere stakeholders?

Regelmatige scenario-oefeningen helpen om die vragen vooraf te beantwoorden. Ze maken zichtbaar hoe snel medewerkers handelen, hoe effectief de besluitvorming verloopt en of de organisatie in staat is om de continuïteit van zorg te waarborgen wanneer systemen uitvallen. Organisaties die regelmatig oefenen zijn aantoonbaar beter voorbereid wanneer een daadwerkelijk incident zich voordoet.

5. Kunnen wij aantonen dat wij als bestuur in control zijn?

Cyberdreigingen veranderen voortdurend. Daarom is cyberweerbaarheid geen eenmalig project, maar een continu proces van beoordelen, oefenen en verbeteren.

Bestuurders hebben onder de Cyberbeveiligingswet een zorgplicht om passende maatregelen te laten nemen en zich voldoende te laten informeren over cyberrisico's. Daarbij horen periodieke risicoanalyses, bestuurlijke rapportages, scenario-oefeningen en het ontwikkelen van kennis en vaardigheden op het gebied van cyberrisicomanagement.

In control zijn gaat niet over perfecte beveiliging. Het gaat over inzicht, aantoonbare besluitvorming en het vermogen om onderbouwde keuzes te maken wanneer incidenten zich voordoen.

Drie misverstanden die wij regelmatig tegenkomen

Cybersecurity is een probleem van de IT-afdeling
Technologie kan worden uitbesteed, bestuurlijke verantwoordelijkheid niet. Juist de gevolgen van digitale verstoringen voor patiëntenzorg, bedrijfsvoering en reputatie vragen om actieve betrokkenheid van bestuurders.

 Wij zijn geen interessant doelwit voor cybercriminelen
Zorginstellingen behoren juist tot de organisaties waar de impact van verstoringen groot is. Uitval van zorgprocessen kan direct gevolgen hebben voor patiënten en medewerkers, waardoor zorginstellingen aantrekkelijk blijven voor cybercriminelen.

 Wij zijn gecertificeerd, wij zijn klaar voor de Cyberbeveiligingswet
Certificeringen vormen een waardevolle basis, maar bieden geen garantie dat een organisatie voldoende is voorbereid op bestuurlijke vraagstukken zoals crisisbeheersing, continuïteit, ketenafhankelijkheden en toezicht.

Het bestuurlijke dilemma waar veel organisaties mee worstelen

Cyberbeveiliging kent een eigen vaktaal en een voortdurend veranderend dreigingsbeeld. Bestuurders krijgen tijd, tot 2 jaar na ingang van de Cyberbeveiligingswet, om hun kennis verder te ontwikkelen en een training te volgen, maar cybercriminelen wachten niet. Zij zoeken continu naar nieuwe manieren om zorgprocessen te verstoren of financieel gewin te behalen. Cyberweerbaarheid is daarom geen eenmalig project maar een continu proces van beoordelen, oefenen, verbeteren en bijsturen. De centrale bestuurlijke vraag blijft daarbij steeds dezelfde: wat betekent een nieuwe cyberdreiging voor de veiligheid van onze patiënten, kunnen wij de continuïteit van zorg blijven garanderen en hoe bereiden wij onze organisatie vandaag voor op de calamiteiten van morgen? Organisaties die deze vragen structureel blijven stellen en bespreken, zijn aantoonbaar beter voorbereid op toekomstige verstoringen.

15 augustus is geen einddatum, maar een startpunt

De invoering van de Cyberbeveiligingswet is geen eindpunt, maar het begin van een structurele aandacht voor digitale weerbaarheid binnen het bestuur.

Cybercriminelen blijven hun werkwijze aanpassen en zoeken voortdurend naar nieuwe mogelijkheden om zorgprocessen te verstoren of financieel gewin te behalen. Daarom is het belangrijk dat bestuurders zich niet alleen richten op bekende dreigingen, maar zich ook regelmatig laten informeren over nieuwe ontwikkelingen, risico's en scenario's.

De belangrijkste vraag voor zorgbestuurders is uiteindelijk niet of cybersecurity belangrijk is. Die discussie ligt inmiddels achter ons. De vraag is of de organisatie ook tijdens een cyberincident veilige en continue zorg kan blijven leveren.

En juist daar begint bestuurlijk leiderschap.

Hoe staat uw organisatie ervoor?

Een Aon NIS2 Gap Analyse helpt bestuurders inzicht te krijgen in cyberrisico's, afhankelijkheden, governance en verbeterkansen. Daarmee wordt de analyse niet alleen een hulpmiddel voor naleving van de Cyberbeveiligingswet, maar vooral een instrument voor beter risicomanagement en sterkere zorgcontinuïteit. Aanvullend biedt een Aon NIS2 Board Training bestuurders en toezichthouders praktische kennis over hun verantwoordelijkheden onder de Cyberbeveiligingswet. Tijdens deze interactieve sessie komen onderwerpen aan bod zoals bestuurlijke aansprakelijkheid, risicomanagement, ketenafhankelijkheden, crisisbeheersing, governance en de rol van het bestuur tijdens cyberincidenten. Door praktijkvoorbeelden en discussies leren bestuurders beter onderbouwde besluiten te nemen over cyberrisico's, patiëntveiligheid en de continuïteit van zorgMeer informatie vindt u op Aon NIS2 Informatie.

Voor vragen kunt u contact opnemen met Stan Rodenburg (Stan.Rodenburg@aon.nl) of Frank Ruijgrok (Frank.Ruijgrok@aon.nl).

 
Dit artikel is geschreven door Aon.