Lang was digitale weerbaarheid een kwestie van goed bestuur. Sinds 15 augustus 2026 is het een wettelijke plicht. Op die datum trad de Cyberbeveiligingswet in werking. De wet raakt ruim 8.000 organisaties in achttien sectoren, waaronder de gezondheidszorg.

Concreet: je registreert je organisatie, neemt aantoonbaar maatregelen tegen risico's en meldt een significant incident binnen 24 uur. Hoe zwaar het regime is, hangt af van je categorie. Universitair medische centra, grote algemene ziekenhuizen en topklinische ziekenhuizen gelden als essentiële entiteit; kleinere zorginstellingen kunnen als belangrijke entiteit worden aangemerkt. Voor essentiële entiteiten loopt de boete op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, en zijn bestuurders daar persoonlijk op aanspreekbaar.

Daar komt de sectorale norm bovenop. NEN 7510 is de norm voor informatiebeveiliging in de zorg en is in 2024 herzien. Certificeren is voor ziekenhuizen niet verplicht, maar wie gecertificeerd is en dat wil blijven, moet uiterlijk 20 februari 2027 over naar de nieuwe versie. Daarmee is OT-veiligheid in ziekenhuizen verschoven van goed voornemen naar aantoonbare verplichting.

Het ziekenhuis draait op oude, verbonden techniek

Bij OT, operationele technologie, denken veel mensen aan fabrieken en productielijnen. Het is de verzamelnaam voor techniek die een fysiek proces aanstuurt of bewaakt. Ook een modern ziekenhuis draait daar grotendeels op.

Gebouwbeheersystemen regelen de klimaatbeheersing, toegangscontrole bepaalt wie waar naar binnen mag, noodstroominstallaties waarborgen de energievoorziening en medische apparatuur wisselt continu gegevens uit. Dat maakt beheer efficiënter en levert waardevolle data op, maar waar die installaties vroeger op zichzelf stonden, praten ze nu met cloudplatformen, dashboards en externe leveranciers. De scheidslijn tussen IT en OT vervaagt, en het digitale aanvalsoppervlak groeit mee.

Tegelijk gaat die techniek veel langer mee dan kantoorautomatisering. Waar een IT-systeem doorgaans na drie tot vijf jaar wordt vervangen, gaat operationele technologie tien tot dertig jaar mee. Veel installaties zijn ontworpen in een tijd dat ze nooit met een extern netwerk zouden praten; beveiliging zat niet in het ontwerp.

Zo'n omgeving op niveau brengen is dan ook zelden een project van maanden. Hoe lang het duurt, hangt vooral af van de omgeving zelf: hoe groot die is, hoe eenvoudig je er wijzigingen in kunt doorvoeren en of installaties überhaupt offline mogen. In een ziekenhuis, waar apparatuur nauwelijks stil mag liggen, loopt dat al snel over meerdere jaren. Ondertussen ontstaan er steeds nieuwe kwetsbaarheden, doordat nieuwe software aan bestaande installaties wordt gekoppeld en leveranciers toegang op afstand krijgen.

De grootste risico's zitten vaak niet waar je ze verwacht

Cyberincidenten ontstaan lang niet altijd door geavanceerde hackers. In de praktijk is de basis vaak onvoldoende op orde. Veel organisaties hebben geen volledig overzicht van de technische assets in hun gebouwen. Het is niet altijd duidelijk welke softwareversies draaien, welke installaties met het netwerk verbonden zijn of welke leveranciers toegang hebben voor onderhoud op afstand. Je kunt immers niet beveiligen wat je niet kent.

Daar komt bij dat leveranciers regelmatig toegang nodig hebben om storingen op te lossen of software-updates uit te voeren. Functioneel is dat efficiënt, maar zonder duidelijke afspraken over toegangsrechten en netwerksegmentatie ontstaat onbedoeld een extra ingang voor cybercriminelen.

Twee weken binnen, en niemand die het merkt

Dit soort aanvallen gebeurt dagelijks. Een aanvaller komt binnen via een verbinding die bedoeld was voor onderhoud op afstand. Er valt niets uit, er gaat geen alarm af, de zorg draait door. Pas veertien dagen later valt op dat er iets niet klopt. In die twee weken heeft de aanvaller het netwerk in kaart gebracht en toegang gekregen tot systemen ver buiten de installatie waar hij begon. De techniek faalde niet; er keek niemand mee. Zonder structurele monitoring blijft OT-veiligheid in ziekenhuizen blind voor dit type aanval.

Dat het daarna hard kan gaan, liet het Antwerpse ziekenhuis AZ Monica zien. Na een cyberaanval in januari 2026 gingen alle servers preventief uit. Patiëntendossiers waren onbereikbaar, geplande operaties gingen niet door en zeven patiënten moesten worden overgeplaatst. Een dag later kon nog maar 30 procent van de geplande zorg doorgaan. Z-CERT, het expertisecentrum voor cyberveiligheid in de zorg, waarschuwt zorginstellingen dan ook om rekening te houden met langdurige uitval.

Dezelfde discipline als bij fysieke veiligheid

Net als bij safety draait cybersecurity niet om één maatregel, maar om een samenhangende aanpak waarin techniek, processen en mensen elkaar versterken. Die discipline kennen ziekenhuizen al: voor stookinstallaties, elektra en brandbeveiliging bestaan vaste inspectieregimes, en niemand vraagt of die inspectie dit jaar nodig is. Digitale veiligheid verdient dezelfde vanzelfsprekendheid: periodiek, aantoonbaar en met een eigenaar.

Een GAP-analyse, een vergelijking tussen de huidige en gewenste situatie, maakt zichtbaar waar de grootste kwetsbaarheden zitten en welke verbeteringen de meeste impact hebben. Van daaruit werk je stap voor stap aan een weerbare omgeving: het segmenteren van IT- en OT-netwerken, het beperken van toegangsrechten, het veilig inrichten van remote toegang en het structureel beheren van kwetsbaarheden. In een slim ingericht ziekenhuis zit die beveiliging vanaf het ontwerp in de installatie.

Oefenen voorkomt paniek

Geen enkel ziekenhuis kan uitsluiten dat zich ooit een cyberincident voordoet. Daarom is het minstens zo belangrijk om voorbereid te zijn op wat er gebeurt als systemen daadwerkelijk uitvallen. Wie neemt de regie? Welke processen moeten als eerste worden hersteld? Kunnen kritieke afdelingen blijven functioneren als digitale systemen tijdelijk niet beschikbaar zijn?

Steeds meer organisaties oefenen dit met tabletop-sessies, waarin een incident aan tafel wordt doorgespeeld zonder dat er iets echt uitvalt. Net als een brandoefening laten die simulaties zien of procedures werken en of verantwoordelijkheden duidelijk zijn. Vrijblijvend is dat niet meer: met een meldtermijn van 24 uur moet je binnen een dag weten wat er speelt, wie beslist en wie meldt. Dat lukt alleen als je het een keer hebt gedaan.

OT-veiligheid in ziekenhuizen begint met inzicht

De zorg digitaliseert in hoog tempo, en iedere nieuwe digitale verbinding brengt nieuwe verantwoordelijkheden met zich mee. Digitale veiligheid kan daarom niet langer uitsluitend een zaak van de IT-afdeling zijn. Het raakt de continuïteit van zorg, de beschikbaarheid van kritieke installaties en uiteindelijk de veiligheid van patiënten.

Toch heeft lang niet elke bestuurder volledig zicht op de digitale risico's in de eigen organisatie. In sectoren met een lange toezichtstraditie, zoals de financiële, is dat beeld scherper. Dat is de kloof die de nieuwe wet wil dichten.

De eerste stap hoeft niet ingewikkeld te zijn: inzicht in de aanwezige OT-systemen, de belangrijkste risico's en de onderlinge afhankelijkheden. Vanuit dat vertrekpunt kun je gericht prioriteiten stellen. Want uiteindelijk gaat OT-veiligheid in ziekenhuizen niet alleen over het beschermen van systemen. Het gaat over het beschermen van de zorg die iedere dag op die systemen vertrouwt.