Een praktische uitleg van de directe verplichtingen, blijvende zorgnormen en keteneisen.
De kern: Niet iedere kleine zorgorganisatie valt rechtstreeks onder de Cyberbeveiligingswet. Toch heeft de wet invloed op vrijwel het hele zorg-mkb: rechtstreeks via wettelijke plichten, via NEN 7510 en andere zorgwetgeving, of indirect via opdrachtgevers en ketenpartners.
Waarom deze wet ook voor het zorg-mkb belangrijk is
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2. De wet is bedoeld om organisaties in kritieke sectoren weerbaarder te maken tegen cyberaanvallen, systeemuitval en andere digitale verstoringen. In de zorg gaat het niet alleen om privacy. Uitval van een cliëntdossier, medicatiesysteem, planningsapplicatie of digitale toegang kan de continuïteit en veiligheid van de zorg direct raken.
Voor mkb-organisaties is de eerste vraag daarom niet: ‘Zijn wij groot genoeg voor NIS2?’, maar: ‘Welke verplichtingen gelden voor ons en wat verwachten onze opdrachtgevers en ketenpartners?’ Die bredere blik voorkomt dat een organisatie zich ten onrechte buiten schot waant.
Valt uw organisatie rechtstreeks onder de Cbw?
Een organisatie moet eerst tot een aangewezen categorie behoren, zoals een zorgaanbieder in de zin van de Wkkgz, een EU-referentielaboratorium, een geneesmiddelenonderzoeker, een farmaceutische producent of een fabrikant van medische hulpmiddelen. Daarna gelden omvangscriteria.
| Situatie | Indeling | Betekenis |
| Minder dan 50 fte én niet boven beide financiële drempels | Meestal buiten Cbw | Geen Cbw-plichten, tenzij een uitzondering of aanwijzing geldt. Andere zorg- en privacyregels blijven wel gelden. |
| Minimaal 50 fte, óf bij minder dan 50 fte zowel > €10 mln omzet als > €10 mln balanstotaal | Belangrijke entiteit | Registratie-, zorg-, meld-, informatie- en bestuursplichten gelden. |
| 250 fte of meer, óf zowel > €50 mln omzet als > €43 mln balanstotaal | Essentiële entiteit | Dezelfde plichten, met daarnaast proactiever toezicht door de IGJ. |
Let op: concernstructuren, partnerondernemingen en verbonden ondernemingen kunnen de berekening beïnvloeden. Medewerkers en financiële gegevens moeten soms geheel of gedeeltelijk worden meegeteld. Fabrikanten van medische hulpmiddelen kunnen bovendien ongeacht hun omvang als belangrijke entiteit gelden. Een organisatie die door VWS wordt aangewezen of onder de Wet weerbaarheid kritieke entiteiten als kritiek geldt, kan automatisch essentieel zijn.
De vijf Cyberbeveligingswet-verplichtingen voor het middelgrote zorgbedrijf
1. Registratieplicht. Organisaties die onder de Cbw vallen, moeten zich via MijnNCSC registreren in het nationale entiteitenregister en hun gegevens actueel houden.
2. Zorgplicht. De organisatie voert een risicoanalyse uit en neemt passende en evenredige technische, operationele en organisatorische maatregelen. De zorgregeling verlangt aantoonbare aansluiting bij NEN 7510, NEN-ISO/IEC 27001 en 27002, of een aantoonbaar gelijkwaardig beschermingsniveau.
3. Meldplicht. Een significant incident moet zo snel mogelijk via MijnNCSC worden gemeld. De vroegtijdige waarschuwing moet in beginsel binnen 24 uur plaatsvinden. Daarna volgen aanvullende rapportages volgens de wettelijke termijnen.
4. Informatieplicht. Als een incident gevolgen heeft voor patiënten, cliënten, medewerkers of ketenpartners, moeten zij zo snel mogelijk worden geïnformeerd. Een eventuele datalekmelding aan de Autoriteit Persoonsgegevens staat hier los van.
5. Bestuurlijke verantwoordelijkheid. Het bestuur keurt de beveiligingsmaatregelen goed, ziet toe op de uitvoering en moet voldoende kennis hebben om cyberrisico’s te beoordelen. Een passende bestuurstraining is verplicht.
Wat valt praktisch onder de zorgplicht?
De zorgplicht is breder dan antivirussoftware of een externe ICT-beheerder. Het gaat om een samenhangend stelsel van maatregelen dat daadwerkelijk werkt. Voor het zorg-mkb zijn vooral de volgende onderdelen belangrijk:
- een actuele risicoanalyse waarin ook patiëntveiligheid en zorgcontinuïteit zijn meegenomen;
- duidelijke toegangsrechten, sterke authenticatie en tijdige intrekking van accounts;
- veilige back-ups die periodiek op herstel worden getest;
- procedures voor incidenten, datalekken, crisiscommunicatie en uitwijk;
- patchmanagement, logging, monitoring en beveiliging van mobiele apparaten;
- bewustwording en training van medewerkers en tijdelijke krachten;
- periodieke beoordeling van kritieke leveranciers en hun onderaannemers;
- een aantoonbare verbetercyclus met eigenaren, termijnen en bestuursrapportages.
Klein bedrijf en buiten de Cbw? Dan blijft veel verplicht
Een zorgaanbieder met minder dan 50 fte en beperkte omzet valt doorgaans niet rechtstreeks onder de Cbw. Dat betekent niet dat informatiebeveiliging vrijwillig wordt. Alle zorgaanbieders moeten op grond van de Wabvpz hun informatiebeveiliging volgens NEN 7510 inrichten. De IGJ houdt daarop toezicht. Voor jeugdhulpaanbieders gelden vanuit de Jeugdwet eisen rond ISO 27001 of een vergelijkbaar niveau. Daarnaast blijven de AVG, regels voor datalekken en contractuele eisen van opdrachtgevers van toepassing.
De IGJ constateerde bovendien dat kleine zorgaanbieders in de praktijk moeite hebben met NEN 7510 door regeldruk, personeelstekorten en beperkte capaciteit. Juist daarom is een risicogestuurde aanpak belangrijk: begin bij de processen waarvan uitval de grootste gevolgen heeft en leg vervolgens aantoonbaar vast wat is geregeld, getest en verbeterd.
De indirecte invloed: strengere eisen vanuit de keten
Ook mkb-leveranciers die zelf niet onder de Cbw vallen, merken de wet. Zorgorganisaties die wél onder de wet vallen, moeten de risico’s van hun leveranciers en dienstverleners beheersen. Zij zullen vaker informatie, contractuele garanties en bewijs van beveiligingsmaatregelen vragen. Alleen leverancier zijn van een Cbw-organisatie maakt een bedrijf niet automatisch Cbw-plichtig, maar de commerciële en contractuele gevolgen kunnen aanzienlijk zijn.
Mkb-organisaties kunnen vragen verwachten over:
- NEN 7510– of ISO 27001-compliance;
- termijnen voor het melden van incidenten en kwetsbaarheden;
- back-up, herstel, beschikbaarheid en uitwijk;
- onderaannemers, gegevenslocaties en toegangsbeheer;
- periodieke audits, assuranceverklaringen of andere bewijsstukken;
- beëindiging van dienstverlening en veilige overdracht van gegevens.
Wanneer is een incident significant?
oor de zorg noemt de sectorspecifieke regeling concrete drempels. Een incident is onder meer significant wanneer een kritisch bedrijfsproces langer dan vier uur geheel of gedeeltelijk stil ligt, cruciale systemen zijn gecompromitteerd of vernietigd, bedrijfsgevoelige informatie is aangetast, bijzondere persoonsgegevens of BSN-nummers vermoedelijk door kwaadwillend handelen zijn geraakt, of het incident leidt tot blijvend letsel, ziekenhuisopname of overlijden. Ook een incident dat zulke gevolgen kan veroorzaken, kan meldplichtig zijn.
Een werkbare aanpak voor het zorg-mkb
Een werkbare aanpak begint met het vaststellen en documenteren of de organisatie rechtstreeks onder de Cyberbeveiligingswet valt. Breng vervolgens de kritieke zorgprocessen, informatiesystemen, gegevensstromen en leveranciers in kaart. Een nulmeting op basis van NEN 7510 geeft inzicht in de huidige beveiliging en helpt om verbetermaatregelen te prioriteren op basis van de mogelijke gevolgen voor cliënten en de continuïteit van zorg. Leg daarnaast duidelijk vast wie binnen het bestuur verantwoordelijk is, hoe over risico’s en incidenten wordt gerapporteerd en op welke wijze besluiten worden genomen.
Werk één samenhangend incidentproces uit waarin meldingen op grond van de Cyberbeveiligingswet, de afhandeling van datalekken, de communicatie met betrokkenen en de continuïteit van de zorg op elkaar aansluiten. Test periodiek of back-ups daadwerkelijk kunnen worden hersteld en of uitwijkvoorzieningen en bereikbaarheid ook in een realistisch crisisscenario functioneren. Maak afspraken met ICT-leveranciers concreet, meetbaar en controleerbaar en beoordeel regelmatig of zij deze nakomen. Zorg ten slotte voor aantoonbaarheid door verslagen, testresultaten, gevolgde trainingen, risicoacceptaties en uitgevoerde verbetermaatregelen zorgvuldig vast te leggen.
Van regeldruk naar beheersbare stappen
Voor het zorg-mkb kan de hoeveelheid wet- en regelgeving overweldigend lijken. Toch hoeven Cbw, NEN 7510, AVG en continuïteitsmanagement geen losse projecten te zijn. Eén goed ingericht risicomanagement- en verbeterproces kan meerdere verplichtingen tegelijk ondersteunen. De sleutel is om niet te beginnen bij documenten, maar bij de risico’s voor cliënten, medewerkers en het primaire zorgproces.
Ondersteuning door Zorg Assist Management
Zorg Assist Management ondersteunt zorg- en welzijnsorganisaties bij het bepalen van de wettelijke reikwijdte, het uitvoeren van risicoanalyses en nulmetingen, de praktische toepassing van NEN 7510, governance, beleid en procedures, leveranciersmanagement, bewustwording en voorbereiding op toezicht.
Wij zijn Zorg Assist Management en ondersteunen zorg- & welzijnsorganisaties bij: aanbesteden, kwaliteit, IGJ inspectierapporten, beleid & strategie, detacheren op management niveau, zorg-administratie & indiceren, externe vertrouwenspersonen en bij het vinden & aanvragen van subsidies. Nieuwsgierig naar ons? Bel of mail ons en wij maken graag een vrijblijvende afspraak, om wederzijds te bespreken wat wij voor elkaar kunnen betekenen: 085 444 4970 / info@zam.nu
Bronnen
Rijksoverheid – Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
Data voor gezondheid – Zorgsector en de Cyberbeveiligingswet
IGJ – Toezicht op cyberbeveiliging
IGJ – Toezicht op informatiebeveiliging
Staatscourant 2026, 28763 – Cyberbeveiligingsregeling voor de zorg
