AVG, compliance en juridische implicaties
De Algemene Verordening Gegevensbescherming (AVG) stelt strikte eisen aan organisaties die persoonsgegevens verwerken, met extra waarborgen voor bijzondere gegevens zoals gezondheidsinformatie. Bij een datalek gelden twee kernplichten:
- Meldplicht: binnen 72 uur melding doen bij de Autoriteit Persoonsgegevens, en, bij hoog risico, ook rechtstreeks de betrokken personen informeren.
- Passende maatregelen: zoals versleuteling, strikte toegangscontrole en periodieke audits.
Daarnaast moeten organisaties een verwerkingsregister bijhouden en in risicovolle gevallen een Data Protection Impact Assessment (DPIA) uitvoeren.
Het niet naleven van deze verplichtingen kan leiden tot forse sancties: boetes tot 20 miljoen euro of 4% van de jaaromzet, plus mogelijke civiele claims van gedupeerden.
Naast de AVG gelden ook Europese richtlijnen als de Digital Operations Resilience Act (DORA) en de Network and Information Security 2-richtlijn. Hierbij is NIS2 van toepassing op alle sectoren die als essentieel of belangrijk zijn bestempeld, waaronder energie, transport, gezondheidszorg, en financiële diensten. DORA is in het bijzonder gericht op de financiële sector. Beide zijn bedoeld om de digitale weerbaarheid in de EU te verbeteren nu de dreiging van cyberaanvallen op het wereldtoneel steeds groter wordt.
Het naleven van de letter van de wet is echter niet genoeg. Toezichthouders kijken ook naar de redelijkheid van de genomen maatregelen in relatie tot de aard en waarde van de data. Een zorginstelling die dossiers onversleuteld opslaat en onvoldoende authenticatie toepast, zal bij een incident moeilijk kunnen verdedigen dat zij ‘passende maatregelen’ heeft genomen.
Het Centrum voor Informatiebeveiliging en Privacybescherming (CIP) benadrukt in ‘De AVG ontrafeld voor toepassing in organisaties’ dat maatregelen proportioneel moeten zijn: redelijk in verhouding tot de soort gegevens, de stand van de techniek en de kosten. Maatregelen moeten aantoonbaar zijn onderzocht en beoordeeld op toereikendheid. Instellingen kunnen dan ook niet worden bestraft voor incidenten waar zij geen controle over hebben. Bepalen wat proportioneel is, blijft echter een uitdaging. Een belangrijk gegeven dat hierbij kan helpen is de waarde van gevoelige gegevens. Voor hoeveel worden deze verkocht op het dark web?
De waarde van datasets als risicokompas
Inzicht in de waarde van datasets helpt risicomanagers prioriteiten te stellen in hun beveiligingsbeleid. De waarde van data hangt af van verschillende variabelen, zoals het type gegevens, de manieren waarop de data kunnen worden ingezet voor fraude en hoe recent de informatie is. Datasets hebben minimaal twee waarden waar rekening mee moet worden gehouden:
- Criminele waarde: de opbrengst op het dark web.
- Claimwaarde: de potentiële schadevergoeding aan betrokkenen.
Voorbeelden laten zien dat claimwaardes vaak tientallen keren hoger liggen dan criminele waarden. Zo werden GGD-systemen voor €30–50 per set aan persoonlijke gegevens verkocht, terwijl de geëiste schadevergoeding per slachtoffer €1500 bedroeg. In de VS bleek uit een onderzoek dat de waarde van elektronische zorgdossiers op het dark web kan oplopen tot $1000, wat voor 1000 dossiers neerkomt op $1 miljoen criminele waarde tegenover $30 miljoen claimwaarde.
Door datasets in categorieën te plaatsen – van basisgegevens tot volledige medische dossiers – kan een organisatie gericht investeren:
- Basisgegevens: ca. €50.000 criminele waarde per 1000 records.
- + Financiële gegevens: ca. €250.000.
- + Lichte medische gegevens: ca. €500.000.
- Volledige zorgdossiers: ca. €1.000.000.
Deze kwantificering helpt risicomanagers om beveiligingsbudgetten toe te wijzen op basis van reëel financieel en reputatierisico.
Naar duurzame weerbaarheid
Digitale weerbaarheid in de zorg vergt een geïntegreerde aanpak. Technische maatregelen blijven cruciaal: netwerksegmentatie, multifactor-authenticatie, versleuteling van data in rust en tijdens transport, en real-time monitoring op verdachte activiteiten. Toch vormen techniek en beleid samen slechts de helft van het verhaal: gedrag en cultuur zijn minstens zo belangrijk.
Governance en rolverdeling
Een Chief Information Security Officer (CISO) kan als spil fungeren, met mandaat om zowel technische als beleidsmatige aspecten te coördineren. Onafhankelijkheid en directe rapportagelijnen naar het bestuur zijn hierbij essentieel. De combinatie met een Functionaris Gegevensbescherming (FG) waarborgt scheiding tussen uitvoerende en toezichthoudende taken.
- Bewustzijn en cultuur
Structurele security awareness-programma’s, aangevuld met ‘ethical hacking’-aanvallen zoals realistische phishingtests en social engineering-simulaties, vergroten de alertheid. Medewerkers moeten zich daarnaast altijd veilig voelen om incidenten te melden, zonder angst voor repercussies.
- Ketenbeveiliging
Zorginstellingen opereren zelden geïsoleerd. Leveranciers en partners moeten aantoonbaar voldoen aan vergelijkbare beveiligingsnormen (NEN 7510, ISO 27001) en regelmatig worden getoetst. Datalekken ontstaan vaak in de keten, buiten de directe controle van de hoofdorganisatie.
- Oefenen en leren
Crisis- en scenario-oefeningen, inclusief simulaties van ransomware-aanvallen en losgeldeisen, helpen bestuur en management om voorbereid beslissingen te nemen. Elk incident – ook bij andere organisaties – biedt kansen om te leren en maatregelen aan te scherpen.
Conclusie
De recente hack in de zorgsector is geen op zichzelf staand incident, maar onderdeel van een bredere trend waarin data het nieuwe goud is – voor organisaties én criminelen. De combinatie van hoge datasetwaardes, maatschappelijke afhankelijkheid en menselijke kwetsbaarheid maakt de zorg tot een bijzonder risicovolle sector.
Voor risicomanagers ligt hier een duidelijke opdracht:
- Begrijp welke data de hoogste waarde vertegenwoordigt.
- Borg AVG-compliance én effectieve technische en organisatorische maatregelen.
- Investeer in bewustzijn, training en een sterke governance-structuur.
- Betrek leveranciers actief bij beveiligingsafspraken.
Digitale weerbaarheid is geen project met een einddatum, maar een continu proces van verbeteren, anticiperen en reageren. Alleen door techniek, beleid en menselijk gedrag in samenhang te versterken, kunnen zorginstellingen het vertrouwen van patiënten behouden en hun maatschappelijke rol veilig blijven vervullen.
[1] https://www.autoriteitpersoonsgegevens.nl/documenten/rapportage-datalekken-2024
[2] https://icthealth.nl/nieuws/meer-ai-in-de-zorg-verouderde-it-belemmert-vooruitgang?utm_source=chatgpt.com
[3] https://www.agconnect.nl/tech-en-toekomst/zorg/verouderde-ict-kost-zorgpersoneel-uren-aan-productiviteit?utm_source=chatgpt.com
[4] https://icthealth.nl/magazine/editie-03-2023/zorgsector-moet-afrekenen-met-risicos-bij-leveranciers?utm_source=chatgpt.com
5 https://www.igj.nl/onderwerpen/ehealth/documenten/rapporten/2025/06/05/digitale-zorg-bij-zeer-grote-zorgaanbieders
