Op 15 augustus 2026 trad de Cyberbeveiligingswet in werking. De wet raakt naar schatting 1.600 tot 2.000 grotere zorgorganisaties: ziekenhuizen, ggz- en gehandicaptenzorginstellingen, grotere huisartsenpraktijken en leveranciers van EPD's, medische hulpmiddelen en medicijnen. NRC beschreef op 13 augustus wat de wet in de praktijk betekent.
Wat de wet in de praktijk verandert
De kern: bestuurders worden eindverantwoordelijk voor de cyberbeveiliging van hun organisatie én voor de beheersing van risico's bij hun leveranciers. Organisaties moeten zich registreren, incidenten verplicht melden en betrokkenen specifieker informeren over gelekte gegevens. Binnen twee jaar volgen bestuurders een verplichte training over digitale risico's. De IGJ krijgt meer toezichtsmogelijkheden, met de kanttekening dat boetes een laatste redmiddel zijn.
Volledige bescherming bestaat niet
Volgens NRC blijft volledige bescherming een illusie: naast aanvallen door cybercriminelen en statelijke actoren kunnen ook phishing, zwakke schakels in de leveranciersketen en fout uitgevoerde updates de continuïteit van zorg bedreigen. De wet dwingt daarmee scherpe keuzes af tussen cybersecurity, innovatie en zorgverlening.
Onze duiding: cybersecurity is een datavraagstuk
De Cyberbeveiligingswet dwingt zorgbestuurders om te weten wat ze hebben. Welke systemen bevatten patiëntgegevens? Welke leveranciers hebben toegang? Waar staan die gegevens? Zonder actueel inzicht in de eigen data-infrastructuur kun je geen risico's beheersen en dus geen incidenten binnen de wettelijke termijnen melden.
Dat inzicht bestaat in veel organisaties nog niet. De datalandkaart is vaak een verzameling losse Excel-bestanden aangevuld met tribal knowledge. Voor bestuurders die straks persoonlijk moeten kunnen aantonen dat ze in control zijn, is dat een blinde vlek.
Regie op data is de eerste beveiligingslaag
Cybersecurity begint daarom niet bij firewalls, maar bij regie op databeschikbaarheid. Wie weet welke gegevens waar staan, welke leveranciers erbij kunnen en welke afspraken gelden, kan gericht beveiligen. En kan het IGJ-verhaal aan zijn eigen bestuurskamer uitleggen zonder krampachtig te worden.
Bestuur en ICT: één portefeuille
De verplichte training helpt niet als losstaand vinkje. Wel als startpunt om databeheer, leveranciersmanagement en informatiebeveiliging als één portefeuille te behandelen. Wie de wet zo oppakt, gebruikt hem als aanleiding om bestuurlijk grip te krijgen op iets wat te lang bij de ICT-afdeling lag. Dat maakt de wet minder een compliance-last en meer een structureel bestuurlijk hulpmiddel.