Slechts één op de vier behaalt vereiste maturiteitsniveau
Rapport: cybersecurity in ziekenhuizen blijft ondermaats
Drie op de vier Belgische ziekenhuizen moeten dringend bijkomende stappen zetten om het vereiste maturiteitsniveau inzake cyberbeveiliging te bereiken. Dat blijkt uit het rapport Status of cybersecurity in Belgian Hospitals, opgesteld door Shield vzw in samenwerking met de FOD Volksgezondheid.
Toeval bestaat niet: net op de dag waarop Shield vzw haar rapport over cybersecurity in Belgische ziekenhuizen publiceerde, werd AZ Monica in Antwerpen slachtoffer van een cyberaanval. Dat incident onderstreept de kernboodschap van het rapport: de sector is zich wel bewust van cyberdreigingen, maar er is nog veel werk aan de winkel.
De analyse door Shield is gebaseerd op maturiteitsmetingen in meer dan vijftig ziekenhuizen verspreid over het hele land. Daaruit blijken grote verschillen in cybermaturiteit tussen ziekenhuizen. Slechts één op de vier ziekenhuizen behaalt al het vereiste niveau of zit daar dichtbij, Vooral kleinere en psychiatrische ziekenhuizen blijven achter door beperkte middelen en een tekort aan gespecialiseerde profielen.
Verschillen per type
Algemene ziekenhuizen scoren (op een theoretische maximumscore van 5) gemiddeld 1,66 op documentatie* en 2,23 op implementatie. "Hun hogere maturiteit kan grotendeels worden verklaard door grotere ICT- en beveiligingsteams, gestructureerde bestuursprocessen en meer geformaliseerde administratieve procedures", stelt het rapport. Deze ziekenhuizen zijn dan ook goed gepositioneerd om de minimaal vereiste maturiteitsdrempel (2,5 op 5 tegen april 2026) te halen, op voorwaarde dat de documentatie-inspanningen worden opgevoerd.
Psychiatrische ziekenhuizen vertonen een aanzienlijk lagere maturiteit, met een score van 1,30 voor documentatie en 2,04 voor implementatie. "Veel van deze ziekenhuizen werken met zeer beperkte ICT-personeelsbezetting, weinig of geen speciale beveiligingsfuncties en minder geformaliseerde bestuursstructuren", luidt de verklaring. Zonder gerichte ondersteuning lopen psychiatrische ziekenhuizen het grootste risico om de doelstellingen voor 2026 en 2027 niet te halen.
Universitaire ziekenhuizen scoren 1,79 op documentatie en 2,23 op implementatie, waarmee ze beter presteren dan andere soorten ziekenhuizen, met name op het gebied van documentatiekwaliteit. "Hun bredere governance-volwassenheid, grotere teams en meer gestandaardiseerde processen" zijn een verklaring. Ook op het vlak van reactie en herstel vormen ze een benchmark voor de sector.
Regionale verschillen
Ook regionaal zijn er verschillen: Vlaamse ziekenhuizen scoren gemiddeld beter dan Waalse en Brusselse. "Deze verschillen weerspiegelen verschillende onderliggende factoren", verduidelijkt het rapport. "Ziekenhuizen in Vlaanderen hebben over het algemeen grotere of meer gespecialiseerde digitale en beveiligingsteams, meer volwassen bestuursstructuren en een hoger niveau van operationele standaardisatie binnen netwerken."
"Ziekenhuizen in Brussel hebben te maken met grotere structurele beperkingen, waaronder beperkte middelen en een grotere organisatorische complexiteit, waardoor hun capaciteit om processen te formaliseren en documentatie bij te houden beperkt is. Wallonië bevindt zich tussen deze twee profielen in, met een matige implementatiecapaciteit maar nog steeds aanzienlijke uitdagingen op het gebied van documentatie."
Identificatie is een knelpunt
Van de vijf pijlers van cybersecurity is identificatie volgens het rapport het slechtst presterende domein, waarbij slechts 15,9% van de ziekenhuizen de vereiste volwassenheidsscore van 2,50 haalt. Dit domein omvat activabeheer, software- en gegevensinventarissen, risicobeoordeling, bestuursstructuren en gegevensclassificatie.
"Deze componenten bepalen of een ziekenhuis weet welke activa het bezit, welke risico's het loopt en wie verantwoordelijk is voor het beheer ervan", verduidelijkt het rapport.
De andere pijlers, Beschermen, Detecteren, Reageren en Herstellen, scoren duidelijk beter.
Roadmap voor cyberweerbaarheid
Voor elk ziekenhuis wordt nu een individuele roadmap uitgewerkt voor de komende 36 maanden, met duidelijke prioriteiten, geplande oplossingen en een inschatting van de benodigde inzet van mensen en budgetten. Deze individuele roadmaps worden samengebracht in een sectorale roadmap.
Jaarlijks is er 15 miljoen euro voor de versterking van cybersecurity in algemene en psychiatrische ziekenhuizen. Samen met de one shots van 2022 (20 miljoen euro) en 2024 (40 miljoen euro) werd sinds 2022 al 105 miljoen euro geïnvesteerd.
Shield vzw is een neutraal samenwerkingsplatform dat ziekenhuizen, ICT-dienstverleners en de overheid samenbrengt. In samenwerking met de FOD Volksgezondheid meet Shield systematisch de cybermaturiteit van ziekenhuizen. Dat gebeurt aan de hand van de Shield Library: een sectorbreed ontwikkelde set van processen, procedures en beleidsdocumenten, opgesteld door en voor Belgische ziekenhuizen. De Library is afgestemd op NIS2 en erkende standaarden zoals ISO/IEC 27001 en CyberFundamentals.
Het rapport is beschikbaar bij Shield vzw.
* 'Documentatie" is meer dan de schriftelijke neerslag van processen en beleid; het omvat ook het verankeren ervan in de organisatorische mentaliteit, ondersteund door geschikte tools, toewijzing van middelen en terugkerende onderhoudscycli.
