Cyberaanval op de zorg

Europa trekt aan de alarmbel

Het begint vaak onschuldig. Een “factuur” in de inbox, een bijlage die iemand tóch even opent, een update die nog een week kan wachten. Tot plots schermen zwart worden, telefoons overschakelen op noodprocedures en verpleegkundigen weer met papier en pen rondlopen alsof het 1998 is. In de zorg is dat geen vervelende IT-storing, maar een directe bedreiging voor de continuïteit van zorg – en dus voor patiënten.

Filip Ceulemans

Net daarom lanceerde de Europese Commissie begin 2025 een actieplan dat cyberveiligheid in ziekenhuizen niet langer als een technisch thema behandelt, maar als een essentieel onderdeel van patiëntveiligheid. Europa ziet de cijfers en vooral de impact: aanvallen worden frequenter, agressiever en professioneler. In 2023 werden door lidstaten 309 incidenten in de gezondheidssector gerapporteerd.

In de periode 2021-2023 bleek ransomware veruit het meest voorkomende patroon. Volgens het European Union Agency for Cybersecurity (ENISA) is ransomware goed voor 54% van de cyberaanvallen in de gezondheidssector. In 42% van de gevallen waren ziekenhuizen het doelwit. ENISA vreest dat deze trend zich de komende jaren zal verderzetten. Het verontrust het agentschap dat slechts iets meer dan een kwart van de instellingen in de gezondheidssector specifieke verdedigingsprogramma’s tegen ransomware heeft.

Geliefd doelwit

Waarom zijn ziekenhuizen zo’n geliefd doelwit? Wie met ziekenhuisdirecties praat, hoort dezelfde paradox: de zorg digitaliseert sneller dan ooit, maar de infrastructuur is zelden “nieuwbouw”. Elektronische patiëntendossiers, medische toestellen die aan het netwerk hangen, cloudtoepassingen, externe leveranciers die mee in de systemen werken. Het maakt de zorg efficiënter, maar ook kwetsbaarder.

Ransomwaregroepen weten dat maar al te goed. Ze gaan niet enkel achter data aan, maar vooral achter tijd. Een ziekenhuis kan een week offline zijn. Een spoedafdeling niet. En in dat spanningsveld groeit de druk om te betalen. Europa benoemt het zonder omwegen: cyberincidenten in de zorg kunnen leiden tot uitgestelde behandelingen en acute verstoringen van zorgprocessen.

Daar komt nog iets bij: de grens tussen klassieke IT en “operationele” technologie vervaagt. Een kwetsbaarheid in het kantoornetwerk kan plots doorsijpelen naar systemen die medische apparatuur ondersteunen, of naar gebouwbeheer. Wat vroeger gescheiden werelden waren, wordt één ecosysteem.

De onderliggende boodschap is duidelijk: als je pas handelt na een aanval, ben je te laat.

Het EU-actieplan: minder papier, meer praktijk

Wie “Europees actieplan” hoort, denkt al snel aan dikke rapporten en nieuwe verplichtingen. Dit Europees plan wil net praktisch zijn. Het is opgebouwd rond vier doelen – voorkomen, detecteren, reageren/herstellen en afschrikken – met een duidelijke onderliggende boodschap: als je pas handelt na een aanval, ben je te laat.

Centraal in de aanpak staat een nieuw steunpunt binnen ENISA: een European Cybersecurity Support Centre dat ziekenhuizen moet helpen met guidance, tools en ondersteuning. Geen extra laag bureaucratie, maar wel een plek waar kennis sneller gedeeld wordt en waar “best practices” worden gedeeld. Dat is geen overbodige luxe. Europa stelt vast dat het tekort aan securityprofielen nijpend is en haalt expliciet aan dat rekrutering van cybersecuritytalent voor veel ziekenhuizen een moeilijke oefening is.

Het actieplan rolt in stappen uit, met 2025 als startjaar voor consultaties, governance en de eerste instrumenten. De interessantste elementen voor ziekenhuisbesturen en ICT-verantwoordelijken zijn diegene die het verschil maken vóór en tijdens een incident.

1. “Hygiëne” als norm, niet als advies
Europa wil dat basismaatregelen (patching, back-ups en multi-factorauthenticatie) consequenter toegepast worden. Niet alleen via richtlijnen, maar ook via een kader om cybersecurityvolwassenheid te meten, én een jaarlijkse Europese maturity assessment voor de sector. Dat kan aanvoelen als extra druk, maar het is tegelijk een kans omdat het investeringen en prioriteiten bespreekbaar maakt in directiecomités.

2. Sneller alarmsignalen, minder verrassingen
Een tweede luik draait rond detectie en informatie-uitwisseling. Europa werkt aan een EU-brede early warning service, met waarschuwingen die ziekenhuizen sneller moeten bereiken. Daarnaast komt er een catalogus van “known exploited vulnerabilities” die relevant zijn voor zorgtechnologie en medische systemen, met als doel minder afhankelijk zijn van toevallige signalen en sneller kunnen ingrijpen waar het brandt.

3. Herstellen onder druk
Een ransomware-incident is zelden alleen een IT-probleem. Het is crisisbeheer: communicatie, triage, beslissen wat eerst terug moet, noodprocedures activeren, soms zelfs ethische keuzes. Daarom zet het plan in op ransomware-playbooks en grootschaliger oefeningen. Loopt het echt fout dan wil Europa ook een vangnet: een “Rapid Response Service” via de EU Cybersecurity Reserve, wanneer nationale capaciteit tekortschiet.

4. Geld en mensen: de zwakke plek aanpakken
Europa hint ook op financiële hefboommiddelen, zoals voucherprogramma’s die lidstaten kunnen inzetten om ziekenhuizen (zeker kleinere) te ondersteunen bij concrete beveiligingsmaatregelen. En er komen trainingsmodules voor zorgprofessionals: want in de praktijk begint beveiliging vaak bij gedrag op de werkvloer, niet bij firewalls.