Wat Betekent NIS2 Voor Zorginstellingen?

Een ziekenhuis dat zijn elektronisch patiëntendossier niet kan benaderen, staat binnen een uur stil. Operaties worden uitgesteld, medicatie moet op papier, en de spoedeisende hulp gaat op slot. Precies om die reden is NIS2 voor de zorg geen papieren exercitie: de gezondheidszorg valt onder de zeer kritieke sectoren van de Cyberbeveiligingswet.

Sinds 15 augustus 2026 geldt die wet in Nederland, als omzetting van de Europese NIS2-richtlijn. Ruim 8.000 organisaties vallen eronder, en zorginstellingen zijn daar een substantieel deel van. Voor bestuurders in de zorg roept dat concrete vragen op: welke verplichtingen gelden er, wie houdt toezicht, en hoe verhoudt dit zich tot de AVG die al jaren van toepassing is op patiëntgegevens?

Wat betekent NIS2 voor de zorg en voor een ziekenhuis?

De Cyberbeveiligingswet legt drie verplichtingen op: de zorgplicht, de meldplicht en de registratieplicht. Voor een ziekenhuis, een ggz-instelling of een grote zorgaanbieder betekent dit dat digitale veiligheid onderdeel wordt van de verantwoording aan een toezichthouder, net zoals kwaliteit van zorg dat al is.

Dat is een wezenlijke verschuiving. Waar informatiebeveiliging in de zorg lang een interne afweging was, is het nu een wettelijke norm met handhaving erachter. Onderschat daarbij niet dat NIS2 geen certificering is: u kunt zich er niet voor laten certificeren, u moet naleving aantonen met beleid, analyses en bewijs.

Waarom valt de zorg onder de zeer kritieke sectoren?

De gezondheidszorg staat in de bijlage van zeer kritieke sectoren, samen met onder meer energie, vervoer, drinkwater en digitale infrastructuur. De reden is dat uitval van zorg direct raakt aan de veiligheid en gezondheid van mensen, en dat er nauwelijks alternatieven zijn als een instelling wegvalt.

Of uw organisatie daadwerkelijk onder de wet valt, hangt naast de sector af van uw omvang. Zorginstellingen vanaf 50 medewerkers, of met een jaaromzet en balanstotaal boven 10 miljoen euro, komen in beeld. Een overzicht van de sectoren die onder NIS2 vallen helpt om ook uw dochterondernemingen en samenwerkingsverbanden juist te beoordelen.

Bent u een essentiële of een belangrijke entiteit?

Dat onderscheid bepaalt het toezichtregime en de maximale boete. Grote zorginstellingen vallen doorgaans in de categorie essentieel, kleinere aanbieders in de categorie belangrijk. De verplichtingen zelf zijn vrijwel gelijk, het verschil zit in hoe er wordt gehandhaafd.

Leg de uitkomst van deze beoordeling schriftelijk vast, inclusief onderbouwing. De vraag of u een essentiële of belangrijke entiteit bent, is een van de eerste die een toezichthouder stelt.

Welke rol heeft de IGJ als toezichthouder?

De Rijksinspectie Digitale Infrastructuur (RDI) is de algemene toezichthouder onder de Cyberbeveiligingswet, maar voor de zorg is de Inspectie Gezondheidszorg en Jeugd (IGJ) de sectorale toezichthouder. Dat is voor zorginstellingen een bekende partij, wat zowel voordelen als aandachtspunten heeft.

Het voordeel is dat de IGJ de sector kent en de samenhang ziet met kwaliteit en veiligheid van zorg. Het aandachtspunt is dat digitale veiligheid daarmee onderdeel wordt van hetzelfde toezichtdossier als uw zorginhoudelijke verantwoording.

Hoe verhoudt NIS2 zich tot de AVG bij patiëntgegevens?

NIS2 en de AVG bestaan naast elkaar en vervangen elkaar niet. De AVG beschermt de persoonsgegevens van uw patiënten, NIS2 beschermt de continuïteit en veiligheid van uw netwerk- en informatiesystemen. Bij een ransomware-incident in een ziekenhuis raakt u vrijwel altijd beide sporen tegelijk.

Praktisch betekent dit dat u met twee meldketens rekening houdt. Een significant incident meldt u bij het CSIRT en de bevoegde toezichthouder binnen 24 uur, gevolgd door een incidentmelding binnen 72 uur. Een datalek met persoonsgegevens meldt u volgens de AVG bij de Autoriteit Persoonsgegevens. Wie de samenloop tussen NIS2 en de AVG vooraf uitwerkt, verliest tijdens een crisis geen tijd aan de vraag wie wat waar meldt.

Wat doet u met medische apparatuur in het netwerk?

Medische apparatuur is het lastigste onderdeel van NIS2 in de zorg. Infuuspompen, beeldvormende systemen en laboratoriumapparatuur draaien vaak op verouderde besturingssystemen, zijn gecertificeerd als medisch hulpmiddel en mogen daardoor niet zomaar worden gepatcht of aangepast.

Dat betekent niet dat u niets kunt doen. De aanpak verschuift van patchen naar beheersen:

• Inventarisatie. Weet welke apparatuur op het netwerk staat, met welk besturingssysteem en met welke verbindingen naar buiten.
• Segmentatie. Plaats medische apparatuur in afgeschermde netwerkzones, gescheiden van kantoorautomatisering.
• Compenserende maatregelen. Beperk verkeer, monitor afwijkend gedrag en werk met strikte toegangscontrole waar patchen niet kan.
• Leverancierafspraken. Leg vast wie verantwoordelijk is voor updates en binnen welke termijn kwetsbaarheden worden verholpen.
• Risicoregistratie. Documenteer bewust geaccepteerde risico’s, met onderbouwing en goedkeuring van het bestuur.

Vooral netwerkscheiding levert veel op. Een uitgewerkte aanpak voor netwerkbeveiliging en segmentatie zorgt dat een besmetting op een werkplek niet doorloopt naar de apparatuur op de afdeling.

Hoe borgt u de continuïteit van zorgprocessen?

Bedrijfscontinuïteit, back-upbeheer en crisisbeheer vormen samen een van de tien maatregelgebieden uit artikel 21. In de zorg vertaalt dit zich naar de vraag hoe lang u zorg kunt blijven leveren zonder uw kernsystemen, en hoe u terugvalt op alternatieve werkwijzen.

Werk daarbij vanuit zorgprocessen, niet vanuit systemen. Bepaal per proces wat de maximaal aanvaardbare uitvalduur is, welke informatie u minimaal nodig heeft en welke papieren of offline terugvaloptie er is. Test die terugval ook echt, want een bedrijfscontinuïteitsplan dat nooit is geoefend, geeft schijnzekerheid tijdens een echte uitval.

Wat vraagt NIS2 van uw ketenpartners?

Zorg is ketenzorg, en dat geldt ook digitaal. U wisselt gegevens uit met huisartsen, laboratoria, apotheken en regionale samenwerkingsverbanden, en u leunt op leveranciers voor het EPD, de hosting en het beheer. Beveiliging van de toeleveringsketen is daarom een expliciet maatregelgebied.

Breng in kaart welke partijen kritiek zijn voor uw zorgverlening, welke beveiligingseisen u aan hen stelt en hoe u controleert dat zij die naleven. Neem die eisen op in contracten en verwerkersovereenkomsten. De verplichtingen rond de beveiliging van de toeleveringsketen vragen om aantoonbare afspraken, niet om vertrouwen op basis van een langdurige relatie.

Veelgestelde vragen over NIS2 in de zorg

1. Valt elk ziekenhuis onder NIS2?

De gezondheidszorg is een zeer kritieke sector, maar de omvangsdrempel bepaalt of u onder de wet valt. Organisaties vanaf 50 medewerkers, of met een jaaromzet en balanstotaal boven 10 miljoen euro, komen in aanmerking. Ziekenhuizen voldoen daar vrijwel altijd aan en gelden doorgaans als essentiële entiteit met proactief toezicht.

2. Wie houdt toezicht op NIS2 in de zorg?

De Rijksinspectie Digitale Infrastructuur is de algemene toezichthouder onder de Cyberbeveiligingswet. Voor de zorgsector treedt de Inspectie Gezondheidszorg en Jeugd op als sectorale toezichthouder. Incidenten meldt u bij het CSIRT en de bevoegde toezichthouder, waarbij het NCSC een centrale rol vervult in de nationale coördinatie.

3. Vervangt NIS2 de AVG voor patiëntgegevens?

Nee, beide regelingen gelden naast elkaar. De AVG richt zich op de bescherming van persoonsgegevens, NIS2 op de veiligheid en continuïteit van netwerk- en informatiesystemen. Bij een incident met patiëntgegevens kunt u zowel een melding onder NIS2 als een datalekmelding bij de Autoriteit Persoonsgegevens moeten doen.

4. Hoe gaat NIS2 om met medische apparatuur die niet gepatcht kan worden?

NIS2 schrijft geen specifieke techniek voor, maar vraagt om passende maatregelen op basis van risico. Als patchen niet kan vanwege certificering als medisch hulpmiddel, kiest u compenserende maatregelen: netwerksegmentatie, strikte toegangscontrole, monitoring en vastgelegde afspraken met de leverancier over kwetsbaarheden.

5. Moet het bestuur van een zorginstelling zelf iets doen?

Ja. Artikel 20 bepaalt dat het bestuur de maatregelen goedkeurt, toezicht houdt op de uitvoering en aantoonbaar scholing volgt over cyberrisico’s. Bij essentiële entiteiten kan een bestuurder bij ernstige nalatigheid tijdelijk uit een leidinggevende functie worden geschorst. Delegeren aan de IT-afdeling neemt die verantwoordelijkheid niet weg.

Conclusie

Voor zorginstellingen verandert NIS2 vooral de bewijslast. De zorgsector werkte al met continuïteitsplannen en informatiebeveiliging, maar nu moet u tegenover de IGJ kunnen laten zien dat maatregelen zijn afgewogen, goedgekeurd en getoetst. De grootste inspanning zit meestal niet in nieuwe techniek, maar in het ordenen en vastleggen van wat er al gebeurt.

Begin met de scope en de risicoanalyse, werk daarna toe naar beleid, continuïteit en ketenafspraken, en houd het bestuur vanaf dag één aan tafel. Het NIS2 compliance pakket geeft die volgorde, en de 176 NIS2 document templates leveren de beleidsstukken en registraties die u nodig heeft om naleving aantoonbaar te maken. Een vergelijking van de beschikbare pakketten en prijzen laat zien welke variant bij de omvang van uw instelling past.