De nieuwe wet maakt digitale weerbaarheid nadrukkelijk tot een bestuursverantwoordelijkheid. Wat moet uw zorgorganisatie doen?
In het kort: De Cyberbeveiligingswet en de Cyberbeveiligingsregeling voor de zorg zijn op 15 augustus 2026 in werking getreden. Voor organisaties die onder de wet vallen, gelden direct verplichtingen voor registratie, risicobeheersing, incidentmelding en bestuurlijke aansturing.
Cyberveiligheid is geen IT-vraagstuk meer
De zorg kan niet zonder digitale systemen. Elektronische cliënt- en patiëntendossiers, medicatieoverzichten, planningssoftware en gegevensuitwisseling zijn onderdeel van het primaire proces. Een cyberincident raakt daardoor niet alleen privacy en bedrijfsvoering, maar kan ook de continuïteit en veiligheid van de zorg rechtstreeks bedreigen.
Met de Cyberbeveiligingswet (Cbw) is de Europese NIS2-richtlijn in Nederland ingevoerd. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen en geldt voor essentiële en belangrijke organisaties in achttien sectoren, waaronder de gezondheidszorg. De kernboodschap is helder: digitale weerbaarheid moet aantoonbaar, structureel en bestuurlijk geborgd zijn.
Voor welke zorgorganisaties geldt de Cyberbeveligingswet?
De Cbw geldt niet automatisch voor iedere organisatie die zorg of ondersteuning aanbiedt. Zorgaanbieders in de zin van de Wkkgz vallen binnen de sector gezondheidszorg wanneer zij aan de wettelijke omvangscriteria voldoen. Ook onder meer EU-referentielaboratoria, geneesmiddelenonderzoekers, farmaceutische producenten en bepaalde fabrikanten van medische hulpmiddelen kunnen binnen de reikwijdte vallen.
Organisaties moeten zelf vaststellen of zij onder de wet vallen. Daarbij spelen het aantal medewerkers, de jaaromzet en het balanstotaal een rol. Grote organisaties worden doorgaans als ‘essentieel’ aangemerkt en middelgrote organisaties als ‘belangrijk’. Voor essentiële entiteiten kan de IGJ proactief toezicht houden; bij belangrijke entiteiten vindt toezicht in beginsel plaats wanneer er aanwijzingen zijn dat verplichtingen niet worden nageleefd.
Belangrijke entiteit. Een zorgorganisatie valt in beginsel onder de Cbw wanneer zij minimaal 50 fte in dienst heeft. Heeft zij minder dan 50 fte, dan valt zij alsnog onder de wet wanneer zowel de jaaromzet meer dan € 10 miljoen bedraagt als het balanstotaal meer dan € 10 miljoen bedraagt. Zolang de organisatie niet aan de criteria voor een essentiële entiteit voldoet, wordt zij als belangrijk aangemerkt.
Essentiële entiteit. Een zorgorganisatie geldt in beginsel als essentieel bij 250 fte of meer. Heeft zij minder medewerkers, dan geldt zij ook als essentieel wanneer zowel de jaaromzet meer dan € 50 miljoen bedraagt als het balanstotaal meer dan € 43 miljoen bedraagt.
De berekening kan ingewikkelder zijn bij concernstructuren, partnerondernemingen, verbonden ondernemingen of meerdere vestigingen. Medewerkers en financiële gegevens moeten dan mogelijk geheel of gedeeltelijk worden meegeteld. Gebruik daarom bij twijfel de officiële beslisboom of laat de kwalificatie juridisch toetsen.Voor essentiële entiteiten kan de IGJ proactief toezicht houden. Bij belangrijke entiteiten vindt toezicht in beginsel achteraf plaats, bijvoorbeeld na een incident of wanneer er aanwijzingen zijn dat de wettelijke verplichtingen niet worden nageleefd
Let op: organisaties die uitsluitend jeugdhulp of maatschappelijke ondersteuning aanbieden, vallen volgens de toelichting op de zorgregeling niet als zorgaanbieder onder deze zorgsector. Zij kunnen mogelijk wel via een andere categorie of sector onder de Cbw vallen. Een zorgvuldige toets blijft dus nodig.
Lees ook: Wat moet het MKB in de zorg regelen vanwege de Cyberbeveiligingswet?
De vijf belangrijkste verplichtingen
1. Registratieplicht. Organisaties die onder de Cbw vallen, registreren zich in het nationale entiteitenregister via MijnNCSC.
2. Zorgplicht. De organisatie brengt cyberrisico’s in kaart en neemt passende en evenredige technische, operationele en organisatorische maatregelen.
3. Meldplicht. Significante incidenten worden via MijnNCSC gemeld. De vroegtijdige waarschuwing moet in beginsel binnen 24 uur worden gedaan; daarna volgen nadere rapportages volgens de wettelijke termijnen.
4. Informatieplicht. Wanneer een incident gevolgen heeft voor bijvoorbeeld patiënten, medewerkers of ketenpartners, moeten betrokkenen zo snel mogelijk worden geïnformeerd.
5. Bestuurlijke verantwoordelijkheid. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt een passende training om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen.
NEN 7510 wordt het praktische fundament
De Cyberbeveiligingsregeling voor de zorg sluit bewust aan op bestaande normen. De maatregelen moeten aantoonbaar voldoen aan NEN 7510, aan NEN-ISO/IEC 27001 en 27002, of een aantoonbaar gelijkwaardig beschermingsniveau bieden. Voor veel zorgaanbieders is NEN 7510 al bekend; nieuw is vooral de scherpere wettelijke context, de meldplicht en de expliciete rol van het bestuur.
Dat betekent ook dat een beleidsdocument of certificaat alleen niet voldoende is. De IGJ kijkt naar de daadwerkelijke werking: zijn risicoanalyses actueel, worden maatregelen uitgevoerd, zijn verantwoordelijkheden duidelijk, worden leveranciers gecontroleerd en kan de organisatie aantonen dat zij leert van incidenten?
Wanneer is een incident significant?
De zorgregeling noemt concrete situaties. Een incident is onder meer significant wanneer een kritisch bedrijfsproces langer dan vier uur geheel of gedeeltelijk stil ligt, cruciale systemen zijn gecompromitteerd of vernietigd, bedrijfsgevoelige informatie is aangetast, bijzondere persoonsgegevens of BSN-nummers vermoedelijk door kwaadwillend handelen zijn geraakt, of het incident leidt tot blijvend letsel, ziekenhuisopname of overlijden. Ook een incident dat zulke gevolgen kán veroorzaken, kan meldplichtig zijn.
Een Cbw-melding staat los van een eventuele datalekmelding bij de Autoriteit Persoonsgegevens. Eén incident kan dus meerdere meld- en informatieverplichtingen activeren. Zorg daarom voor één geoefend incidentproces waarin bestuur, ICT, privacy, communicatie, kwaliteit en zorginhoud samenwerken.
Ook leveranciers horen bij uw risicobeheersing
De wet kijkt nadrukkelijk naar de toeleveringsketen. Zorgorganisaties blijven verantwoordelijk voor de beveiligingsrisico’s rond ICT-leveranciers en andere dienstverleners. Goede afspraken in een contract zijn een begin, maar niet het eindpunt. Vraag aantoonbaarheid, spreek incidentmelding en herstel af, controleer periodiek en leg vast hoe continuïteit wordt geborgd wanneer een leverancier uitvalt.
Wat kunt u nu doen?
Bepaal en documenteer of uw organisatie onder de Cbw valt en of zij als essentieel of belangrijk geldt.
Registreer de organisatie via MijnNCSC wanneer de wet van toepassing is.
Laat bestuur en management een passende cyberbeveiligingstraining volgen en leg toezicht en besluitvorming vast.
Voer een actuele risicoanalyse en nulmeting uit tegen NEN 7510 of een gelijkwaardig kader.
Controleer het incidentrespons- en continuïteitsplan, inclusief de 24-uursmelding, escalatielijnen en oefeningen.
Beoordeel leverancierscontracten en de aantoonbare beveiliging van kritieke ketenpartners.
Maak een verbeterplan met eigenaren, deadlines en bewijsstukken; behandel informatiebeveiliging periodiek in de bestuurscyclus.
Van verplichting naar goede zorg
De Cyberbeveiligingswet vraagt meer dan technische beveiliging. Zij vraagt om duidelijke governance, actuele risico’s, geoefende processen en aantoonbare verbetering. Dat past bij wat goede zorgorganisaties al nastreven: betrouwbare dienstverlening, veilige gegevensverwerking en continuïteit voor cliënten en patiënten.
Niks doen is geen optie. Wie nu overzicht creëert en verantwoordelijkheden goed belegt, voorkomt dat cyberveiligheid pas aandacht krijgt tijdens een incident of inspectiebezoek.
Ondersteuning door Zorg Assist Management
Zorg Assist Management ondersteunt zorg- en welzijnsorganisaties bij het praktisch organiseren van informatiebeveiliging, waaronder NEN 7510, risicoanalyses, beleid en procedures, governance, bewustwording en voorbereiding op audits of toezicht. Onze aanpak is pragmatisch: niet alleen vastleggen wat moet, maar zorgen dat het in de dagelijkse praktijk werkt.
Wij zijn Zorg Assist Management en ondersteunen zorg- & welzijnsorganisaties bij: aanbesteden, kwaliteit, IGJ inspectierapporten, beleid & strategie, detacheren op management niveau, zorg-administratie & indiceren, externe vertrouwenspersonen en bij het vinden & aanvragen van subsidies. Nieuwsgierig naar ons? Bel of mail ons en wij maken graag een vrijblijvende afspraak, om wederzijds te bespreken wat wij voor elkaar kunnen betekenen: 085 444 4970 / info@zam.nu
Bronnen
Rijksoverheid – Cyberbeveiligingswet en Wwke vanaf 15 augustus 2026 van kracht
IGJ – Toezicht op cyberbeveiliging
Staatscourant 2026, 28763 – Cyberbeveiligingsregeling voor de zorg
