Verslag van een schriftelijk overleg over informatieveiligheid in de zorg (Kamerstuk 27529-353)

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202627 529Informatie- en Communicatietechnologie (ICT) inde ZorgNr. 359 VERSLAG VAN EEN SCHRIFTELIJK OVERLEGVastgesteld 11 mei 2026 De vaste commissie voor Volksgezondheid, Welzijn en Sport heeft eenaantal vragen en opmerkingen voorgelegd aan de Minister vanLangdurige Zorg, Jeugd en Sport over de brief van 4 december 2026 overinformatieveiligheid in de zorg (Kamerstuk 27 529, nr. 353).De vragen en opmerkingen zijn op 26 januari 2026 aan de Minister vanLangdurige Zorg, Jeugd en Sport voorgelegd. Bij brief van 11 mei 2026zijn de vragen beantwoord.De voorzitter van de commissie,MohandisAdjunct-griffier van de commissie,Sjerp kst-27529-359ISSN 0921 - 7371’s-Gravenhage 2026Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3591 InhoudsopgaveI.Vragen en opmerkingen vanuit de fracties2Vragen en opmerkingen van de leden van de D66-fractie2Vragen en opmerkingen van de leden van de VVD-fractie3Vragen en opmerkingen van de leden van de GroenLinks-PvdA-fractie4Vragen en opmerkingen van de leden van de PVV-fractie4Vragen en opmerkingen van de leden van de CDA-fractie5Vragen en opmerkingen van de leden van de BBB-fractie6II.Reactie van de Minister6 I. Vragen en opmerkingen vanuit de fracties Vragen en opmerkingen van de leden van de D66-fractieDe leden van de D66-fractie hebben met belangstelling kennisgenomenvan de brief van de Minister over de ontwikkelingen op het gebied vaninformatieveiligheid in de zorgsector. Deze leden onderschrijven het grotebelang van een veilig en betrouwbaar gezondheidsinformatiestelsel alsrandvoorwaarde voor goede, toegankelijke en toekomstbestendige zorg.De leden van de D66-fractie lezen in de brief dat het gebruik van cloud-diensten in de zorgsector steeds verder toeneemt en dat hiermee ook deafhankelijkheid van specifieke leveranciers groeit. Deze leden vragen of deMinister zicht heeft op de mate waarin de Nederlandse zorgsectorafhankelijk is van specifieke clouddiensten en leveranciers, in hetbijzonder waar het gaat om cruciale infrastructuur zoals ziekenhuizen enspoedzorg. Kan de Minister aangeven in hoeverre zorginstellingen in staatzijn om bij verstoringen of uitval van deze diensten zelfstandig te blijvenfunctioneren? Worden dergelijke scenario’s structureel getest, bijvoor-beeld via continuïteitsplannen of crisisoefeningen, en welke lessenworden daaruit getrokken?Deze leden begrijpen dat zorgaanbieders primair zelf verantwoordelijk zijnvoor hun risicobeoordelingen en leverancierskeuzes. Tegelijkertijd vragenzij of de Minister wil verkennen welke meer sturende en monitorenderollen voor het Rijk beschikbaar zijn om digitale afhankelijkheden in dezorg beter in beeld te brengen en te beheersen. Is de Minister bereid teonderzoeken of sectorbrede monitoring van kritieke afhankelijkhedenwenselijk is, en of bijvoorbeeld minimumeisen kunnen worden gesteldaan exit-strategieën en continuïteitsvoorzieningen bij het gebruik vanclouddiensten?De leden van de D66-fractie lezen in de brief dat het incident bij ClinicalDiagnostics voor de Inspectie Gezondheidszorg en Jeugd (IGJ) aanleidingis om laboratoria nadrukkelijker in het toezicht te betrekken en dateventuele specifieke risico’s die uit de lopende onderzoeken naar vorenkomen als aandachtspunt zullen worden meegenomen bij het toezicht inandere zorgsectoren. Deze leden benadrukken dat het hier gaat om eenzeer ernstig incident waarbij gevoelige gegevens zijn buitgemaakt. Zijvragen de Minister wat de huidige stand van zaken is van de onderzoekennaar dit incident en wanneer de Kamer hierover concreet zal wordengeïnformeerd. Ook vragen zij hoe wordt geborgd dat eventuele structurelekwetsbaarheden die hieruit naar voren komen niet vrijblijvend wordenopgevolgd, maar leiden tot duidelijke verbetermaatregelen.Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3592 Vragen en opmerkingen van de leden van de VVD-fractieDe leden van de VVD-fractie hebben met interesse kennisgenomen van debrief over de informatieveiligheid in de zorg. Ze hebben hierover enkelevragen.In de brief die de Minister op 4 december 2025 naar de Kamer heeftgestuurd, staan talloze bestuurlijke plannen omtrent dataveiligheid. Deleden van de VVD-fractie onderschrijven het belang van dataveiligheid,maar erkennen ook de diversiteit en complexiteit ervan. Kan de Ministerreflecteren op het diverse en complexe beleid omtrent dataveiligheid?Acht hij de huidige «versnippering» gewenst?De toegenomen veiligheidsdreiging moet volgens de leden van deVVD-fractie het hoofd worden geboden en zij zijn daarom verheugd telezen dat de Minister ambitieuze plannen heeft. Genoemde leden achtensamenwerking essentieel in het realiseren van deze plannen. Zij hebbenvoorkeur in het bieden van vroegtijdige duidelijkheid richting zorgorgani-saties over wat hen te wachten staat. Deze leden vragen of zorgorgani-saties nog duidelijkheid ervaren over het huidige en toekomstigedataveiligheidsbeleid. De leden van de VVD-fractie vragen verder of ervoor zorgorganisaties toegankelijke informatie beschikbaar is over hettoekomstige beleid. Wordt toekomstig beleid verwerkt in de bestaandeNEN normen?De leden van de VVD-fractie lezen dat de IGJ een grote rol krijgt in hetcontroleren van zorgorganisaties in het naleven van hun verplichtingenomtrent dataveiligheid. Deze leden lezen ook dat de IGJ hier meermiddelen voor krijgt, maar vragen of de IGJ deze middelen ook toereikendacht. Kan de Minister verduidelijken of hij overeenstemming had met deIGJ over de hoeveelheid extra financiële middelen?De Minister verwijst in de brief naar de invoering van de European HealthData Space-verordening (EHDS) bij het onderdeel «Bouwen aan een veiliggezondheidsinformatiestelsel». In hoeverre ligt de invoering hiervan opschema? Wat is de huidige verwachting van de invoeringsdatum? Deleden van de VVD-fractie vragen dit in verband met de nog steedsnadrukkelijke wens die zij hebben, gesteund door vrijwel het hele zorgvelden patiëntenorganisaties, om te komen tot een opt-out voor gegevens-deling voor de acute zorg en spoedeisende hulp. De Minister heeftaangegeven hiermee te willen wachten tot de inwerkingtreding van deEHDS. Is de Minister bereid, bij eventuele vertraging, de opt-out voor deacute zorg toch eerder mogelijk te maken? Genoemde leden merkendaarbij overigens op dat zij nog steeds van mening zijn dat de opt-outvoor de acute zorg op zo kort mogelijke termijn mogelijk moet zijn.Bij het onderdeel «Inspelen op gewijzigd dreigingsbeeld en technolo-gische ontwikkelingen» willen deze leden nog eens wijzen op de aange-nomen motie Bushoff/Bevers «Bezien of bij fusies en overnames vanuithet buitenland van digitale zorginfrastructuur vergelijkbare voorwaardengesteld kunnen worden als bij andere cruciale sectoren», Kamerstuk27 529, nr. 349. Kan de Minister aangeven of hij het met de leden van deVVD-fractie de mening deelt dat het verzoek in de motie ook onderdeel isvan de strategie ten aanzien de andere en grotere dreigingen die wewereldwijd zien op het gebied van dataveiligheid?Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3593 Vragen en opmerkingen van de leden van de GroenLinks-PvdA-fractieDe leden van de GroenLinks-PvdA-fractie hebben kennisgenomen van debrief over het thema van informatieveiligheid in de zorg. Zij hebben hierbijnog enkele vragen.De leden van de GroenLinks-PvdA-fractie lezen dat zorgaanbieders primairverantwoordelijk zijn voor hun informatiebeveiliging en dat de rol van deoverheid vooral ondersteunend en stimulerend is. Zij maken zich echterzorgen, gelet op de nieuwsberichten en casuïstiek waarbij de informatie-veiligheid niet op orde is. Acht de Minister het houdbaar om informatiebe-veiliging in de zorg hoofdzakelijk als een onderdeel van de bedrijfsvoeringvan individuele zorgaanbieders te blijven beschouwen, zeker gelet op hetfeit dat het falen van dergelijke systemen directe gevolgen heeft voorpatiënten en eventueel de (continuïteit van) zorg? Kan nader wordentoegelicht welke concrete rol u voor uzelf ziet weggelegd in hetvoorkomen en reageren op cyberaanvallen? Kan de Minister tevens naderreflecteren op de balans tussen de marktwerking in zorg-ICT en depublieke regie op informatieveiligheid, mede in het licht van ketenafhan-kelijkheden?De leden van de GroenLinks-PvdA-fractie lezen tevens dat er nogverschillende onderzoeken lopen naar de hack en het datalek bij ClinicalDiagnostics en dat toegezegd wordt dat de Kamer doorlopend op dehoogte wordt gehouden over deze situatie en de maatregelen die zijn, enmogelijk nog, worden getroffen. Kan nader worden toegelicht welkemaatregelen tot op heden zijn getroffen naar aanleiding van de hack?De leden van de GroenLinks-PvdA-fractie lezen dat de naleving van deNEN 7510 norm (de Nederlandse norm voor informatiebeveiliging in dezorg) al jaren tekortschiet, ondanks wettelijke verplichtingen en toezichtdoor de IGJ. Kan nader toegelicht worden hoeveel zorgaanbieders op ditmoment aantoonbaar wel voldoen aan NEN 7510, uitgesplitst naar sectoren omvang? Hoe reflecteert de Minister op het feit dat naleving pas nameerdere toezichtcycli en verbetertrajecten op niveau komt, terwijl erondertussen reële risico’s bestaan voor patiënten?De leden van de GroenLinks-PvdA-fractie lezen dat kleine zorgaanbiedersvaker moeite hebben met de naleving van de normen en verplichtingen.Kan nader toegelicht worden hoe wordt voorkomen dat kleine zorgaan-bieders onevenredig worden belast door de cumulatie van verplichtingenuit NEN normen, de Cyberbeveiligingswet (Cbw), de Wet elektronischegegevensuitwisseling in de zorg (Wegiz) en de European Health DataSpace-verordening (EHDS)? Kan tevens nader toegelicht worden hoe zijhierin ondersteund zouden kunnen worden?De leden van de GroenLinks-PvdA-fractie maken zich ten slotte ernstigezorgen over de grote afhankelijkheid van vaak niet-Europese cloud- enICT-leveranciers in de zorg. Zij hechten veel waarde aan digitaleautonomie, zeker in tijden van grote onzekerheid. Is de Minister bereidom, in lijn met eerdere Kameruitspraken, het gebruik van Europese enopen source-oplossingen actiever te stimuleren?Vragen en opmerkingen van de leden van de PVV-fractieDe leden van de PVV-fractie hebben kennisgenomen van de brief van deMinister over informatieveiligheid in de zorg en hebben hierover nogenkele vragen.Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3594 Wanneer ontvangt de Kamer verdere informatie over het onderzoek naarde hack bij het lab Clinical Diagnostics? Welke gevolgen heeft deCyberbeveiligingswet (Cbw) voor het zorgveld?De Minister heeft voor naleving van de NEN 7510 norm voor kleinerezorginstellingen een quickscan beschikbaar gesteld. In hoeverre wordtdaar gebruik van gemaakt? Hoe brengt de Minister kleinere instellingenvan het bestaan hiervan op de hoogte? Welke redenen geeft de IGJ voorondermaatse naleving van de normen? Verschillende die per zorgveld?De Minister gaat een verkenning doen naar het centraal en uniformbeschikbaar maken van hulpmiddelen voor informatiebeveiliging.Wanneer kan de Kamer hiervan resultaat verwachten?Vragen en opmerkingen van de leden van de CDA-fractieDe leden van de CDA-fractie hebben kennisgenomen van de brief van deMinister over informatieveiligheid in de zorg en hebben hierover nogenkele vragen.Naar aanleiding van paragraaf 2.2.1 Cyberbeveiligingswet (Cbw). De ledenvan de CDA-fractie constateren dat de Cyberbeveiligingswet (Cbw) groteimpact gaat hebben en veel zal vragen van organisaties, niet in het minstvan zorgaanbieders. Deze leden vragen of de Minister wil toelichten watde gevolgen zijn van de Cyberbeveiligingswet voor zorgaanbieders en ofer specifieke uitdagingen zijn in de implementatie voor zorgaanbieders.Zo ja, dan vragen deze leden hoe de Minister deze punten adresseert.Genoemde leden zijn benieuwd naar de ministeriële regeling voor dezorg, en vragen wanneer deze naar verwachting naar de Kamer komt enwelke elementen deze regeling bevat.Naar aanleiding van paragraaf 2.4 Toezicht. De leden van de CDA-fractielezen dat de IGJ constateert dat de naleving van NEN normen doorzorgaanbieders achterblijft. Los van de acties van de Minister omzorgaanbieders te ondersteunen vragen deze leden ook naar de rol van deIGJ. Zij vragen hoe de IGJ hiermee omgaat en of en zo ja, de IGJ extrainzet op handhaving of andere interventies. Ook vragen deze leden welkeandere sectoren, naast de ziekenhuiszorg, gehandicaptenzorg enouderenzorg aandacht krijgen van de IGJ.Naar aanleiding van paragraaf 3.2.1 Digitale autonomie. De leden van deCDA-fractie maken zich zorgen over de snel opvolgende geopolitiekeontwikkelingen, die het belang van digitale autonomie alleen maar meerbenadrukken. Zij vragen of de Minister dit deelt en zo ja, of het danvoldoende is de sector op te roepen dit in hun afwegingen mee te nemen.Zoals de Minister terecht aangeeft, is zorgverlening vaak kritieke dienst-verlening die niet kan wachten. Deze leden vragen daarom wat deMinister van VWS specifiek doet om bij zorg-IT-systemen digitaalautonomer te worden. Zij vragen of de Minister nader wil toelichtenwaarom hij niet een meer dwingend kader aan de sector wil meegeven.Zij vragen wat de Minister doet om in het cloudbeleid specifiek aandachtte besteden aan de zorgsector, vanwege het cruciale publieke belang.De leden van de CDA-fractie vragen tot slot naar het advies van deAutoriteit Consument & Markt (ACM) over het verbeteren van dezorg-ICT-markt. Deze leden vragen of de Minister deelt dat een betereICT-markt, met minder afhankelijkheid van enkele leveranciers ookbijdraagt aan informatieveiligheid in de zorg. Deze leden vragen of deMinister wil ingaan op de aanbevelingen van de ACM uit januari 2025.Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3595 Vragen en opmerkingen van de leden van de BBB-fractieDe leden van de BBB-fractie hebben kennisgenomen van de brief overinformatieveiligheid in de zorg. Genoemde leden hebben geen vragen aande Minister.II. Reactie van de Minister De leden van de D66-fractie hebben met belangstelling kennisgenomenvan de brief van de Minister over de ontwikkelingen op het gebied vaninformatieveiligheid in de zorgsector. Deze leden onderschrijven het grotebelang van een veilig en betrouwbaar gezondheidsinformatiestelsel alsrandvoorwaarde voor goede, toegankelijke en toekomstbestendige zorg.De leden van de D66-fractie lezen in de brief dat het gebruik van cloud-diensten in de zorgsector steeds verder toeneemt en dat hiermee ook deafhankelijkheid van specifieke leveranciers groeit. Deze leden vragen of deMinister zicht heeft op de mate waarin de Nederlandse zorgsectorafhankelijk is van specifieke clouddiensten en leveranciers, in hetbijzonder waar het gaat om cruciale infrastructuur zoals ziekenhuizen enspoedzorg. Kan de Minister aangeven in hoeverre zorginstellingen in staatzijn om bij verstoringen of uitval van deze diensten zelfstandig te blijvenfunctioneren? Worden dergelijke scenario’s structureel getest, bijvoor-beeld via continuïteitsplannen of crisisoefeningen, en welke lessenworden daaruit getrokken?Ik heb geen inzicht in de mate waarin de Nederlandse zorgsectorafhankelijk is van leveranciers of specifieke clouddiensten. Een te groteeenzijdige afhankelijkheid kan risico’s met zich brengen voor de continu-ïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk de risico’s in kaartte brengen. In de Kamerbrief over informatieveiligheid in de zorg van4 december 2025 ben ik verder ingegaan op het belang van digitaleautonomie. Ik roep de sector daarom op om in hun risicoafwegingen deafhankelijkheid van leveranciers mee te nemen. Het doen van eenrisicoanalyse is onderdeel van de norm voor informatieveiligheid in dezorg (NEN7510). Aan deze norm dienen zorginstellingen aantoonbaar tevoldoen. Bij het werken volgens de norm hoort ook het nemen vanmaatregelen om uitval (door bijvoorbeeld een cyberincident) tevoorkomen en de impact te beperken. Een belangrijk onderdeel van denorm is bovendien dat er plannen worden gemaakt voor bedrijfscontinu-ïteit bij onverwachte verstoringen of uitval en dat deze periodiek getest,geëvalueerd en verbeterd worden.Deze leden begrijpen dat zorgaanbieders primair zelf verantwoordelijk zijnvoor hun risicobeoordelingen en leverancierskeuzes. Tegelijkertijd vragenzij of de Minister wil verkennen welke meer sturende en monitorenderollen voor het Rijk beschikbaar zijn om digitale afhankelijkheden in dezorg beter in beeld te brengen en te beheersen. Is de Minister bereid teonderzoeken of sectorbrede monitoring van kritieke afhankelijkhedenwenselijk is, en of bijvoorbeeld minimumeisen kunnen worden gesteldaan exit-strategieën en continuïteitsvoorzieningen bij het gebruik vanclouddiensten?Ik deel uw zorgen voor wat betreft digitale afhankelijkheden in de zorg.Echter, het is en blijft de verantwoordelijkheid van de zorgaanbieder omhiervoor handelingsperspectieven op te stellen op basis van hunindividuele risicoafwegingen. Uit de verantwoordelijkheid van dezorgaanbieder volgt dat zij zelf de afwegingen zullen maken, passend bijde eigen context. Er bestaat hiervoor namelijk geen «quick fix» of «onesize fits all».Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3596 Bijzondere aandacht in het kader van digitale autonomie verdient derisicoanalyse bij de inzet van cloud-toepassingen, omdat die vaak zorgtvoor een grotere afhankelijkheid van leveranciers. De norm voorinformatiebeveiliging in de zorg (NEN7510) bevat beheersmaatregelenvoor het gebruik van clouddiensten. Waar overwogen wordt om cloud-toepassingen in te zetten of al ingezet zijn, adviseer ik om het Implementa-tiekader Risicoafweging Cloudgebruik1 voor de Rijksoverheid tegebruiken. De Rijksoverheid is daarnaast bezig met een herziening van hetRijkscloudbeleid naar aanleiding van recente geopolitieke ontwikkelingen.Na vaststelling van dit nieuwe Rijkscloud beleid zal ik de gesprekken metCumuluz, als uitvoeringsorganisatie van een landelijk dekkend netwerk,intensiveren om te komen tot een passende en proportionele vertalingvan dit rijksbeleid naar de zorg. Uitvoering en implementatie zal daarnatijd kosten, maar het is eerst van belang nieuwe en heldere kaders teschetsen.De leden van de D66-fractie lezen in de brief dat het incident bij ClinicalDiagnostics voor de Inspectie Gezondheidszorg en Jeugd (IGJ) aanleidingis om laboratoria nadrukkelijker in het toezicht te betrekken en dateventuele specifieke risico’s die uit de lopende onderzoeken naar vorenkomen als aandachtspunt zullen worden meegenomen bij het toezicht inandere zorgsectoren. Deze leden benadrukken dat het hier gaat om eenzeer ernstig incident waarbij gevoelige gegevens zijn buitgemaakt. Zijvragen de Minister wat de huidige stand van zaken is van de onderzoekennaar dit incident en wanneer de Kamer hierover concreet zal wordengeïnformeerd. Ook vragen zij hoe wordt geborgd dat eventuele structurelekwetsbaarheden die hieruit naar voren komen niet vrijblijvend wordenopgevolgd, maar leiden tot duidelijke verbetermaatregelen.De voormalig Staatsecretaris voor Jeugd, Preventie en Sport heeft in haarbrief van 2 september 20252 aan uw Kamer laten weten dat er doorverschillende partijen onderzoek wordt gedaan naar het datalek.Inmiddels heeft zij in haar brief van 5 februari 2026 laten weten dat er inopdracht van Bevolkingsonderzoek Nederland (BVO NL) onafhankelijkonderzoek is uitgevoerd naar de informatiebeveiliging binnen ClinicalDiagnostics (CD)3. Het onderzoek bestond uit een analyse van hetoperationele proces, de IT-systemen, datastromen en onderliggendeIT-infrastructuur van CD. Uit het onderzoeksrapport volgt dat op al diepunten tekortkomingen bestaan. De samenwerking met CD is nabekendwording van de hack opgeschort en is dat tot op heden nog steeds.CD is nu op basis van het rapport aan de slag om de informatiebeveiligingop orde te brengen. BVO NL zal de samenwerking met CD alleenhervatten wanneer de veiligheid van de data van de deelnemers onafhan-kelijk is vastgesteld. Daarnaast heb ik vernomen dat Inspectie Gezond-heidszorg en Jeugd (IGJ), de Autoriteit Persoonsgegevens (AP) en hetOpenbaar Ministerie (OM) ook onderzoek doen. Gezien hun onafhankelijkepositie, is het mij niet bekend wanneer deze onderzoeken gereed zijn. BijBVO NL is op basis van de recent afgeronde aanbesteding voor hetbevolkingsonderzoek darmkanker sprake van voortschrijdend inzicht overde mogelijkheden rond verdere dataminimalisatie. Het risico op eenomvangrijke hack bij contractpartijen was eerder geen onderdeel van hetrisicomanagementsysteem. BVO NL heeft dat nu wel als explicietonderdeel opgenomen.1Implementatiekader risicoafweging cloudgebruik, versie 1.1, (CIO Rijk – InterdepartementaleCommissie Bedrijfsvoering Rijksdienst), https://open.overheid.nl/documenten/ronl-734f947ec6465e4f75a56bed82fe64a1135f71a8/pdf (5 januari 2023)2Kamerstukken II, 2024/25, 32 761, nr. 3303Kamerstukken II, 2025/26, 32 793, nr. 391Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3597 De leden van de VVD-fractie hebben met interesse kennisgenomen van debrief over de informatieveiligheid in de zorg. Ze hebben hierover enkelevragen.In de brief die de Minister op 4 december 2025 naar de Kamer heeftgestuurd, staan talloze bestuurlijke plannen omtrent dataveiligheid. Deleden van de VVD-fractie onderschrijven het belang van dataveiligheid,maar erkennen ook de diversiteit en complexiteit ervan. Kan de Ministerreflecteren op het diverse en complexe beleid omtrent dataveiligheid?Acht hij de huidige «versnippering» gewenst?Ik erken dat informatieveiligheid een complex en divers vraagstuk is.Daarom heb ik ervoor gezorgd het beleid omtrent dataveiligheid zointegraal mogelijk te houden en hanteren we een normenkader bedoeldvoor de gehele zorgsector. In de Kamerbrief beschrijf ik de verschillendebeleidsinstrumenten, zoals bijvoorbeeld het programma dat bewust-wording stimuleert en het expertisecentrum Z-CERT dat ondersteunt bijincidenten. Op papier lijken dit strikt gescheiden onderwerpen enlosstaande dossiers, maar in de praktijk zijn de initiatieven met elkaarverbonden. De samenwerking tussen (van overheidswege gesubsidi-eerde) instellingen is prima, vanuit verschillende expertises vult menelkaar aan. Ik doel dan op partners op het thema van informatieveiligheidin de zorg, zoals bijvoorbeeld Z-CERT, het Nederlands NormalisatieInstituut (NEN), ECP, de koepels- en brancheorganisaties en de inspectiegezondheid en Jeugd (IGJ). Vanuit één kader en ambitie treden zij hetversnipperde zorgveld tegemoet.De toegenomen veiligheidsdreiging moet volgens de leden van deVVD-fractie het hoofd worden geboden en zij zijn daarom verheugd telezen dat de Minister ambitieuze plannen heeft. Genoemde leden achtensamenwerking essentieel in het realiseren van deze plannen. Zij hebbenvoorkeur in het bieden van vroegtijdige duidelijkheid richting zorgorgani-saties over wat hen te wachten staat. Deze leden vragen of zorgorgani-saties nog duidelijkheid ervaren over het huidige en toekomstigedataveiligheidsbeleid. De leden van de VVD-fractie vragen verder of ervoor zorgorganisaties toegankelijke informatie beschikbaar is over hettoekomstige beleid. Wordt toekomstig beleid verwerkt in de bestaandeNEN normen?Ik ben het met de leden eens dat verbinding met het veld en samen-werking belangrijk is voor het tegengaan van digitale dreigingen. Daaromorganiseer ik elk kwartaal een overleg met koepels en branche organi-saties. In deze overleggen presenteer en toets ik mijn toekomstigebeleidsplannen. Ook haal ik informatie op binnen de deelsectoren van dezorg en worden ontwikkelingen en actualiteiten besproken. Daarnaastpubliceer ik op de website «data voor gezondheid» met grote regelmaatwat de (nieuwe) plannen zijn met betrekking tot het gezondheidsinforma-tiestelsel4. De plannen voor dataveiligheid zijn hier onderdeel van.Toekomstige ontwikkelingen en beleidsplannen worden tot slot meege-nomen in de ontwikkeling van de NEN normen. Om de paar jaar wordtbijvoorbeeld de NEN7510 herzien. De meest recente herziening vond eind2024 plaats.5 Bij de ontwikkeling van een herziene NEN norm zijnvertegenwoordigers van alle belanghebbende partijen nauw betrokken.Als belanghebbende is VWS aangesloten bij de herzieningswerkgroep. Bijde herziening wordt gekeken naar de huidige ontwikkeling en stand vanzaken, zoals actuele of nieuwe beleidsplannen van VWS.4Data voor gezondheid | Data voor gezondheid5https://www.nen.nl/nieuws/actueel/herziene-nen-7510-gepubliceerd-/Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3598 De leden van de VVD-fractie lezen dat de IGJ een grote rol krijgt in hetcontroleren van zorgorganisaties in het naleven van hun verplichtingenomtrent dataveiligheid. Deze leden lezen ook dat de IGJ hier meermiddelen voor krijgt, maar vragen of de IGJ deze middelen ook toereikendacht. Kan de Minister verduidelijken of hij overeenstemming had met deIGJ over de hoeveelheid extra financiële middelen?De IGJ heeft al een rol in het toezicht op informatiebeveiliging op basisvan de Wet aanvullende bepalingen verwerking persoonsgegevens in dezorg (Wabvpz). De IGJ krijgt ook een rol in het toezicht op (digitale)weerbaarheid op basis van de Cyberbeveiligingswet (Cbw) en de Wetweerbaarheid kritieke entiteiten (Wwke). Deze regelgeving bevindt zich inverschillende fasen van ontwikkeling en de rol van de IGJ is daar eenafgeleide van. Daarbij blijven de uitdagingen rondom weerbaarheid zichsteeds ontwikkelen.Overigens ben ik permanent in gesprek met de IGJ over de balans tussen(nieuwe) taken en beschikbare middelen.De Minister verwijst in de brief naar de invoering van de European HealthData Space-verordening (EHDS) bij het onderdeel «Bouwen aan een veiliggezondheidsinformatiestelsel». In hoeverre ligt de invoering hiervan opschema? Wat is de huidige verwachting van de invoeringsdatum? Deleden van de VVD-fractie vragen dit in verband met de nog steedsnadrukkelijke wens die zij hebben, gesteund door vrijwel het hele zorgvelden patiëntenorganisaties, om te komen tot een opt-out voor gegevens-deling voor de acute zorg en spoedeisende hulp. De Minister heeftaangegeven hiermee te willen wachten tot de inwerkingtreding van deEHDS. Is de Minister bereid, bij eventuele vertraging, de opt-out voor deacute zorg toch eerder mogelijk te maken? Genoemde leden merkendaarbij overigens op dat zij nog steeds van mening zijn dat de opt-outvoor de acute zorg op zo kort mogelijke termijn mogelijk moet zijn.Net als de leden van de VVD-fractie, vind ik het ook heel belangrijk dat ereen opt-out komt. Er wordt dan ook hard gewerkt aan het mogelijk makenvan een opt-out, waarbij gegevens breed kunnen worden uitgewisseld,maar waarbij burgers ook kunnen aangeven wanneer zij niet willen dathun gegevens worden gedeeld.Voor een opt-out in de acute zorg is eerder gewerkt aan een nationaalwetsvoorstel (Wogaz). In februari 2025 is de EHDS-verordening in werkinggetreden. De EHDS heeft qua reikwijdte grote overlap met de Wogaz. DeEHDS biedt de mogelijkheid om een opt-out-recht wettelijk in te regelenvoor alle zorgsectoren die onder de reikwijdte van de EHDS vallen,waaronder de acute zorg. Om te voorkomen dat er twee wetstrajecten methetzelfde doel gelijktijdig worden ontwikkeld, en mogelijk door elkaarheen gaan lopen, wordt alle aandacht gericht op de realisatie van deEHDS. Dit is ook met uw Kamer besproken in het commissiedebat van10 april 2025 en het tweeminutendebat van 4 september jl. De opt-outvoor de acute zorg (en alle andere zorgsectoren die onder de reikwijdtevan de EHDS vallen) zal dus gelijktijdig met de NederlandseEHDS-implementatiewetgeving tot stand komen. Ik ben voornemens omde deadline, namelijk maart 2029, hiervoor aan te houden. Op dit momentwordt gewerkt aan de vormgeving van de opt-out. Zoals mijn voorgangerin de Kamerbrief van januari 20266 heb toegezegd, zal ik de TweedeKamer na de zomer 2026 informeren over het gehele burgerrechtenstelselvan de EHDS, inclusief de opt-out. Ik werk daarnaast – samen met degehele spoedzorgketen – hard aan het realiseren van snelle en veilige6Kamerstukken II, 2025/26, 27 529, nr. 356Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3599 gegevensuitwisseling in de acute zorg door middel van het programmaMet Spoed Beschikbaar.Bij het onderdeel «Inspelen op gewijzigd dreigingsbeeld en technolo-gische ontwikkelingen» willen deze leden nog eens wijzen op de aange-nomen motie Bushoff/Bevers «Bezien of bij fusies en overnames vanuithet buitenland van digitale zorginfrastructuur vergelijkbare voorwaardengesteld kunnen worden als bij andere cruciale sectoren», Kamerstuk27 529, nr. 349. Kan de Minister aangeven of hij het met de leden van deVVD-fractie de mening deelt dat het verzoek in de motie ook onderdeel isvan de strategie ten aanzien de andere en grotere dreigingen die wewereldwijd zien op het gebied van dataveiligheid?Zoals eerder in de Kamerbrief is toegelicht nemen digitale dreigingen inde zorg wereldwijd toe. Daarom werk ik binnen Europa gezamenlijk aanhet versterken van de digitale weerbaarheid in de vitale sectoren,waaronder de gezondheidszorg. Ik werk samen met de Minister vanJustitie en Veiligheid (JenV) aan de implementatie van de Europese NIS2richtlijn in de Cyberbeveiligingswet. Daarnaast wordt door Minister vanJenV en de Minister van Economische Zaken nagegaan of de herzieningvan de Wet veiligheidstoets investeringen, fusies en overnames (Vifo)mogelijk gewijzigd moeten worden om te zorgen dat het aansluit op destelselwijziging m.b.t. vitale aanbieders en processen door het invoerenvan de Wet weerbaarheid kritieke entiteiten (Wwke).De leden van de GroenLinks-PvdA-fractie hebben kennisgenomen van debrief over het thema van informatieveiligheid in de zorg. Zij hebben hierbijnog enkele vragen.De leden van de GroenLinks-PvdA-fractie lezen dat zorgaanbieders primairverantwoordelijk zijn voor hun informatiebeveiliging en dat de rol van deoverheid vooral ondersteunend en stimulerend is. Zij maken zich echterzorgen, gelet op de nieuwsberichten en casuïstiek waarbij de informatie-veiligheid niet op orde is. Acht de Minister het houdbaar om informatiebe-veiliging in de zorg hoofdzakelijk als een onderdeel van de bedrijfsvoeringvan individuele zorgaanbieders te blijven beschouwen, zeker gelet op hetfeit dat het falen van dergelijke systemen directe gevolgen heeft voorpatiënten en eventueel de (continuïteit van) zorg?Ik herken uw zorgen, het is van groot belang de informatieveiligheid vande zorg te versterken om continuïteit van zorg te borgen. Het is en blijft zodat zorginstellingen hiervoor in de eerste plaats zelf verantwoordelijk zijn.Dit doen zij door het werken volgens de normen voor informatievei-ligheid. Toezicht op individuele zorginstellingen wordt steekproefsgewijsen risicogestuurd uitgevoerd door de Inspectie Gezondheid en Jeugd. Hetwerken volgens de normen is inherent onderdeel van de bedrijfsvoeringen zou net zo vanzelfsprekend moeten zijn als andere onderdelen, zoalsveiligheid van het gebouw en personeel. ICT-uitgaven of investeringenzouden dit belang moeten reflecteren. Ik heb hierin uitsluitend eenstelselverantwoordelijke rol en ondersteun het veld met hulpmiddelen omde digitale weerbaarheid te versterken. De rol van de zorgbestuurder is indeze cruciaal aangezien de bestuurder binnen de organisatie de priori-teiten stelt. Lang niet altijd heeft dataveiligheid de aandacht van zorgbe-stuurders gehad, die het verdient. Dat moet anders, juist vanwege depotentiële impact op burgers en de continuïteit van zorg. Niet voor nietsworden in de Cyberbeveiligingswet voor die instellingen die er ondergaan vallen harde eisen gesteld aan bestuurders.Kan nader worden toegelicht welke concrete rol u voor uzelf zietweggelegd in het voorkomen en reageren op cyberaanvallen?Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35910 In het voorkomen van cyberincidenten en het versterken van de informa-tieveiligheid neem ik een kaderstellende, toezichthoudende, stimulerendeen faciliterende rol. Ik ondersteun zorginstellingen bij het voorkomen vanincidenten door het verhogen van bewustzijn van zorgmedewerkers in hetprogramma Informatieveilig gedrag in de zorg. Een groot deel vancyberincidenten zijn mede veroorzaakt door menselijk handelen.Daarnaast bied ik hulpmiddelen aan om te voldoen aan de NEN7510, denorm voor informatiebeveiliging in de zorg. Deze norm schrijft organisato-rische, mensgerichte, fysieke en technologische beheersmaatregelen voordie de digitale weerbaarheid van een organisatie concreet verhogen. Ditmet het doel om dreigingen te voorkomen, detecteren of erop te reageren.Tot slot helpt het expertisecentrum cybersecurity in de zorg (Z-CERT)zorginstellingen in het voorkomen van incidenten door te monitoren eneventuele dreigingsinformatie te delen. Daarnaast biedt Z-CERT onder-steuning bij het beperken van de gevolgen wanneer er onverhoopt eenincident heeft plaatsgevonden.Kan de Minister tevens nader reflecteren op de balans tussen de markt-werking in zorg-ICT en de publieke regie op informatieveiligheid, mede inhet licht van ketenafhankelijkheden?Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaaktworden met hun ICT-leveranciers en daarmee voor het voldoen aan deNEN7510. In de NEN7510, de nationale wettelijke norm voor informatiebe-veiliging in de zorg, staat dat het verplicht is een risicobeoordeling uit tevoeren en digitale afhankelijkheden in kaart brengen is daar eenonderdeel van. Daarnaast verplicht de Cyberbeveiligingswet (Cbw)organisaties om hun leveranciersketen in kaart te brengen, en om aan deleveranciers in die keten informatiebeveiligingsnormen te stellen. Ik benme echter bewust dat (onder andere de kleinere) zorgaanbieders somsworstelen om het voldoen aan de NEN7510 af te dwingen bij leveranciers.Zowel de koepels als in sommige gevallen de verzekeraars helpen met hetorganiseren van vraag articulatie en daarmee inkoopmacht.De leden van de GroenLinks-PvdA-fractie lezen tevens dat er nogverschillende onderzoeken lopen naar de hack en het datalek bij ClinicalDiagnostics en dat toegezegd wordt dat de Kamer doorlopend op dehoogte wordt gehouden over deze situatie en de maatregelen die zijn, enmogelijk nog, worden getroffen. Kan nader worden toegelicht welkemaatregelen tot op heden zijn getroffen naar aanleiding van de hack?In de brief van 5 februari 2026 heeft de voormalig Staatssecretaris vanJeugd, Preventie en Sport u geïnformeerd over de resultaten van hetonderzoek dat in opdracht van Bevolkingsonderzoek Nederland (BVO NL)is uitgevoerd7. Daarnaast heb ik vernomen dat Inspectie Gezondheidszorgen Jeugd (IGJ), de Autoriteit Persoonsgegevens (AP) en het OpenbaarMinisterie (OM) ook onderzoek doen. Gezien hun onafhankelijke positie, ishet mij niet bekend wanneer deze onderzoeken gereed zijn. De samen-werking met Clinical Diagnostics (CD) is na bekendwording van de hackopgeschort en is dat tot op heden nog steeds. CD is nu op basis van hetrapport aan de slag om de informatiebeveiliging op orde te brengen.BVO NL zal de samenwerking met CD alleen hervatten wanneer deveiligheid van de data van de deelnemers onafhankelijk is vastgesteld. BijBVO NL is op basis van de recent afgeronde aanbesteding voor hetbevolkingsonderzoek darmkanker is sprake van voortschrijdend inzichtover de mogelijkheden rond verdere dataminimalisatie. Het risico op eenomvangrijke hack bij contractpartijen was eerder geen onderdeel van het7Kamerstukken II, 2025/26, 32 793, nr. 391Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35911 risicomanagementsysteem. BVO NL heeft dat nu wel als explicietonderdeel opgenomen.De leden van de GroenLinks-PvdA-fractie lezen dat de naleving van deNEN 7510 norm (de Nederlandse norm voor informatiebeveiliging in dezorg) al jaren tekortschiet, ondanks wettelijke verplichtingen en toezichtdoor de IGJ. Kan nader toegelicht worden hoeveel zorgaanbieders op ditmoment aantoonbaar wel voldoen aan NEN 7510, uitgesplitst naar sectoren omvang? Hoe reflecteert de Minister op het feit dat naleving pas nameerdere toezichtcycli en verbetertrajecten op niveau komt, terwijl erondertussen reële risico’s bestaan voor patiënten?Nederland kent een zeer groot aantal zorgaanbieders en de IGJ houdtdaarom noodzakelijkerwijs risicogestuurd en steekproefsgewijs toezichtop dit informatieveiligheid. De IGJ heeft geen volledig en betrouwbaarkwantitatief beeld van hoeveel zorgaanbieders aantoonbaar wél voldoenaan NEN 7510 (en kan dit door het grote aantal zorgaanbieders ook niethebben). Van sommige (kleinere) deelsectoren is er wel een meerbetrouwbaar beeld, hetzij omdat alle aanbieders in deze sector zijngeïnspecteerd, dan wel aantoonbaar beschikken over een certificaat in hetNEN-register. Zo voldoet het overgrote deel van de ziekenhuizeninmiddels aantoonbaar aan de norm8 en is ook de naleving in deambulancesector zeer hoog. In diverse andere sectoren heeft de IGJ deaandacht voor informatiebeveiliging de afgelopen jaren geïntensiveerd.Ik ben me bewust van de risico’s die gemoeid gaan met het niet voldoenaan de normen. De van toepassing zijnde NEN-normen verplichtenzorginstellingen om deze risico’s in kaart te brengen en om passendemaatregelen te nemen. Het voldoen aan de norm is een complexe taakmet een diverse hoeveelheid aan onderdelen. Dit kan niet in een korte tijdbewerkstelligd worden. Door middel van informele interventies probeertde IGJ te bereiken dat zorgaanbieders zelf actie ondernemen. Dit is in lijnmet de primaire verantwoordelijkheid die bij het veld ligt. Hoewel het tijdkost, zien we dat de cyclische aanpak van de IGJ werkt en dat verschil-lende sectoren verbeterde resultaten hebben laten zien. Ook is hetbelangrijk te benadrukken dat het duurzamer is om zorgaanbieders zelfmet verbeterplannen in actie te laten komen; dataveiligheid is immersnooit «af», het op gang brengen van een permanente verbetercyclus leidtop langere termijn tot een hoger niveau van dataveiligheid.De leden van de GroenLinks-PvdA-fractie lezen dat kleine zorgaanbiedersvaker moeite hebben met de naleving van de normen en verplichtingen.Kan nader toegelicht worden hoe wordt voorkomen dat kleine zorgaan-bieders onevenredig worden belast door de cumulatie van verplichtingenuit NEN normen, de Cyberbeveiligingswet (Cbw), de Wet elektronischegegevensuitwisseling in de zorg (Wegiz) en de European Health DataSpace-verordening (EHDS)? Kan tevens nader toegelicht worden hoe zijhierin ondersteund zouden kunnen worden?De genoemde kaders of wetgevingstrajecten zijn gezamenlijk belangrijkevoorwaarden om te komen tot een goed functionerend en integraalgeorganiseerd gezondheidsinformatiestelsel. Ze zijn en worden zovormgegeven dat zij op elkaar aansluiten en elkaar versterken. Dit volgtonder meer uit de Nationale Visie en Strategie voor het Gezondheidsinfor-matiestelsel (NVS), waarin het creëren van samenhang een van decentrale doelen is. Die samenhang komt concreet tot uitdrukking in de8Ziekenhuizen maken stevige inhaalslag met informatiebeveiliging | Inspectie Gezondheidszorgen JeugdTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35912 genoemde kaders en wetstrajecten. Hieronder noem ik enkelevoorbeelden.Zo is er ten eerste verband tussen de NEN7510 en de Cyberbeveili-gingswet (Cbw). Daarbij teken ik aan dat de Cbw niet voor alle zorgaan-bieders van toepassing is. De Cbw is uitsluitend van toepassing wanneereen FTE-eis of een omzet eis wordt gehaald.9 Door te voldoen aan deeisen in de NEN7510 wordt voldaan aan een groot deel van de eisen dievoortkomen uit de zorgplicht van de Cbw. Ik onderneem verschillendeacties om kleine zorgaanbieders daarbij te ondersteunen. Ik biedhulpmiddelen aan om te voldoen aan de NEN7510, onder andere voorbijvoorbeeld kleinere organisaties die de NEN7510 voor het eerstimplementeren. Ik stel daarnaast voor kleinere zorgaanbieders eeninstrument beschikbaar om te bepalen welke maatregelen (nog) genomenmoeten worden voor informatieveiligheid. Tot slot verstrek ik middelenaan het programma informatie veilig gedrag in de zorg. De zorgorgani-saties die aan de slag gaan binnen het programma Informatieveiliggedrag geven hiermee een concrete invulling aan verschillendeparagrafen uit de NEN7510.Ten tweede stuur ik bij de implementatie van de European Health DataSpace (EHDS) op een zo goede mogelijke aansluiting hierop vanbestaande nationale wetgeving, zoals de Wegiz. Waar Nederland al werkteaan het verbeteren van elektronische gegevensuitwisseling en de kadersdaarvoor onder de Wegiz, is op Europees niveau de EHDS ontwikkeld, dieeen wettelijk kader biedt voor databeschikbaarheid in de zorg. Nederlandheeft actief bijgedragen om deze kaders zoveel mogelijk op elkaar te latenaansluiten. VWS hanteert daarom bij de verdere uitwerking van beleid,regelgeving en de meerjarenagenda de geprioriteerde categorieën van deEHDS als basis, aangevuld met nationale doelen die hiermee in lijn zijn enrelevant zijn voor de Nederlandse zorgpraktijk.Kleine zorgaanbieders worden tot slot op meerdere manieren onder-steund binnen de implementatieprogramma’s voor geprioriteerdegegevensuitwisselingen onder de WEGIZ. Een voorbeeld daarvan is hetimplementatieprogramma eOverdracht. Naast het onderdeel KickstartIB&P10 is binnen het programma eOverdracht expliciet aandacht voor hunspecifieke behoeften. Zo is er in overleg met het zorgveld voor gekozenom de scope van de algemene maatregel van bestuur (AMvB) eOver-dracht in eerste instantie te laten gelden voor zorgaanbieders van 11 ofmeer FTE binnen de VVT, MSZ en GHZ. Kleinere zorgaanbieders krijgenvervolgens langer de tijd om te voldoen aan de AMvB eOverdracht.Tevens wordt met ECD-leveranciers gekeken wat er aanvullend benodigdis voor kleine zorgaanbieders. Kleine zorgaanbieders kunnen reedsondersteund worden met het implementeren van de eOverdracht. Deaanpak van het programma waarbij zorgaanbieders in natura middels eenpool van projectleiders, en dus kennis en capaciteit worden ondersteund,is ook voor kleine zorgaanbieders zeer passend. Tenslotte is VWS ingesprek met BVKZ en ZorgthuisNL om te onderzoeken of er aanvullendnog meer nodig is voor kleine zorgaanbieders.De leden van de GroenLinks-PvdA-fractie maken zich ten slotte ernstigezorgen over de grote afhankelijkheid van vaak niet-Europese cloud- enICT-leveranciers in de zorg. Zij hechten veel waarde aan digitaleautonomie, zeker in tijden van grote onzekerheid. Is de Minister bereidom, in lijn met eerdere Kameruitspraken, het gebruik van Europese enopen source-oplossingen actiever te stimuleren?9Cyberbeveiligingswet (Cbw) | Data voor gezondheid10Kickstart IB&P voor organisaties in de langdurige zorg – Samen werken aan eOverdrachtTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35913 Ik deel deze zorgen, de huidige geopolitieke situatie maakt het noodza-kelijk om voor kritieke maatschappelijke functies, zoals de zorg sector,autonomie vraagstukken in de risicoafwegingen nadrukkelijk mee tenemen. In de brief van mijn voorganger aan uw Kamer van 4 december2025 is de sector dan ook opgeroepen om in hun risicoafwegingen deafhankelijkheid van leveranciers mee te nemen. Voor de inzet vanspecifieke technologie kan en wil ik geen dwingend kader aan de sectorvoorschrijven. Aangezien de zorgaanbieder in de eerste plaats zelfverantwoordelijk is voor zijn informatieveiligheid, zal die ook zelf deafwegingen moeten maken, passend bij de eigen context. Er bestaat hiergeen «quick fix» of «one size fits all». VWS ziet natuurlijk wel in welkeinvloed zij heeft op de sector en daarmee als goed voorbeeld kan dienen.Zo heeft de toenmalige Minister van VWS uw Kamer eerder in dekamerbrieven van 30 maart 202511 en 12 maart 202512 geïnformeerd datbij delen van het Gezondheid informatie stelsel een hoge mate vanopensourcewerken wordt toegepast. Voor het GIS geldt dat deze alsdigitale publieke infrastructuur volgens een hoge mate van opensource-werken zal worden ontwikkeld. De Rijksoverheid is daarnaast bezig meteen herziening van het Rijkscloudbeleid naar aanleiding van recentegeopolitieke ontwikkelingen. Na vaststelling van dit nieuwe Rijkscloudbeleid zal ik de gesprekken met Cumuluz, als uitvoeringsorganisatie vaneen landelijk dekkend netwerk, intensiveren om te komen tot eenpassende en proportionele vertaling van dit rijksbeleid naar de zorg.Uitvoering en implementatie zal daarna tijd kosten, maar het is eerst vanbelang nieuwe en heldere kaders te schetsen.De leden van de PVV-fractie hebben kennisgenomen van de brief van deMinister over informatieveiligheid in de zorg en hebben hierover nogenkele vragen.Wanneer ontvangt de Kamer verdere informatie over het onderzoek naarde hack bij het lab Clinical Diagnostics?In de brief van 5 februari 2026 heeft de voormalig Staatssecretaris vanJeugd, Preventie en Sport u geïnformeerd over de resultaten van hetonderzoek dat in opdracht van Bevolkingsonderzoek Nederland (BVO NL)is uitgevoerd13. Daarnaast heb ik vernomen dat Inspectie Gezond-heidszorg en Jeugd (IGJ), de Autoriteit Persoonsgegevens (AP) en hetOpenbaar Ministerie (OM) ook onderzoek doen. Gezien hun onafhankelijkepositie, is het mij niet bekend wanneer deze onderzoeken gereed zijn.Welke gevolgen heeft de Cyberbeveiligingswet (Cbw) voor het zorgveld?De Cyberbeveiligingswet verplicht organisaties die essentiële ofmaatschappelijk belangrijke diensten leveren – waaronder veel organi-saties uit de zorgsector – om hun digitale weerbaarheid aantoonbaar oporde te hebben. Dit betekent het aantoonbaar beveiligen van netwerk- eninformatiesystemen, het beheersen van cyberrisico’s en het voorbereidzijn op digitale incidenten en het melden van significante cyberincidenten.Organisaties die onder de Cbw vallen zijn verplicht melding te maken vansignificante incidenten in het portaal van het Nationaal CybersecurityCentrum (NCSC). Het Cyber Security Incident Response Team voor dezorg (Z-CERT) en de Inspectie Gezondheid en Jeugd zijn ook aangeslotenop dit portaal.11Kamerstukken II, 2024.25, 27 529, nr. 32512Kamerstukken II, 2024.25, 27 529, nr. 33113Kamerstukken II, 2025/26, 32 793, nr. 391Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35914 De Minister heeft voor naleving van de NEN 7510 norm voor kleinerezorginstellingen een quickscan beschikbaar gesteld. In hoeverre wordtdaar gebruik van gemaakt? Hoe brengt de Minister kleinere instellingenvan het bestaan hiervan op de hoogte?Vanaf medio december 2024 is de Quickscan informatiebeveiligingbeschikbaar als onderdeel van de Kickstart Informatiebeveiliging enPrivacy (Kickstart IB&P). De Kickstart IB&P is onderdeel van het implemen-tatieprogramma eOverdracht en bedoeld om met name zorgorganisatiesbinnen de langdurige zorg te ondersteunen. Het is een middel diezorgorganisaties zelfstandig of met ondersteuning van een team vanexperts kunnen invullen. De uitkomsten geven snel inzage in de status vanelf belangrijke elementen uit de NEN7510 norm. De quickscan is bij uitstekgeschikt voor kleine zorgorganisaties (tot 100 fte) en kan zelfstandig doorhen worden doorlopen of onder begeleiding van het Kickstart-team. In deperiode van 1 januari 2025 tot 1 februari 2026 is de quickscan 189 keergedownload. In het geval zorgorganisaties ervoor kiezen om de quickscanonder begeleiding te doorlopen, worden de vervolgacties directgezamenlijk geformuleerd en opgepakt onder begeleiding van hetKickstart IB&P-team. Uit de praktijk blijkt dat juist kleine zorgorganisatiesbehoefte hebben aan deze vorm van volledige ondersteuning tijdens eentraject om hun informatiebeveiliging te verhogen.Er wordt op verschillende manieren gewerkt aan het onder de aandachtbrengen van de methode bij (kleine) zorgaanbieders. Kickstart IB&P isbijvoorbeeld ontwikkeld in afstemming met verschillende zorgorgani-saties, partners als NEN en Z-CERT, brancheverenigingen als ActiZ,ZorgthuisNL, BVKZ en VGN. Via de websites en nieuwsbrieven van dezepartijen wordt de Kickstart onder de aandacht gebracht bij hun leden ofdeelnemers. Ook wordt het bereik vergroot via LinkedIn en deelname aanvakbeurzen zoals de Zorg & ICT beurs en het Mobile Healthcare Festival.Tevens is het team betrokken bij het analyse- en vervolgtraject van deInspectie Gezondheidszorg en Jeugd (IGJ) op hun rapport van juli 2025inzake toezicht op de informatiebeveiliging van kleinere zorgaanbieders.Ook verzorgt het Kickstart-team in samenwerking met thuiszorg bracheor-ganisatie ZorgthuisNL webinars speciaal gericht op kleine zorgorgani-saties. Daarnaast promoten de NEN-community en Digital Trust Center(DTC) het programma actief en zoekt het team voortdurend aansluiting bijregionale samenwerkingsorganisaties zoals regionale samenwerkingsor-ganisatie (RSO) Trijn en RSO Gelderse Vallei.Welke redenen geeft de IGJ voor ondermaatse naleving van de normen?Verschillende die per zorgveld?Er kunnen diverse redenen zijn waarom zorgaanbieders nog verbete-ringen moeten doorvoeren om volledig en aantoonbaar aan de gesteldenormen te voldoen. Verbeterpunten die de IGJ in haar toezicht tegenkomtzijn onder andere: meer bekendheid met de wettelijke verplichtingen,meer deskundigheid op het gebied van informatiebeveiliging, meergevoel van urgentie bij het bestuur, voldoende beschikbare middelen,voldoende interne monitoring (bv. ontbreken van audits) en meer inzichtin de risico’s van onvoldoende informatiebeveiliging. De IGJ kan nietkwantitatief aangeven in welke verhouding deze verbeterpunten zichvoordoen per zorgveld.De Minister gaat een verkenning doen naar het centraal en uniformbeschikbaar maken van hulpmiddelen voor informatiebeveiliging.Wanneer kan de Kamer hiervan resultaat verwachten?Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35915 Ik ga hier het komende jaar mee aan de slag en hiervoor kom ik uiterlijk inhet derde kwartaal van 2026 met een strategie.De leden van de CDA-fractie hebben kennisgenomen van de brief van deMinister over informatieveiligheid in de zorg en hebben hierover nogenkele vragen.Naar aanleiding van paragraaf 2.2.1 Cyberbeveiligingswet (Cbw). De ledenvan de CDA-fractie constateren dat de Cyberbeveiligingswet (Cbw) groteimpact gaat hebben en veel zal vragen van organisaties, niet in het minstvan zorgaanbieders. Deze leden vragen of de Minister wil toelichten watde gevolgen zijn van de Cyberbeveiligingswet voor zorgaanbieders en ofer specifieke uitdagingen zijn in de implementatie voor zorgaanbieders.Zo ja, dan vragen deze leden hoe de Minister deze punten adresseert.Genoemde leden zijn benieuwd naar de ministeriële regeling voor dezorg, en vragen wanneer deze naar verwachting naar de Kamer komt enwelke elementen deze regeling bevat.De Cyberbeveiligingswet verplicht zorgaanbieders hun digitaleweerbaarheid aantoonbaar te verhogen, met een zorgplicht en eenmeldplicht voor significante cyberincidenten. De zorgplicht houdt in datorganisaties die vallen onder de Cbw hun informatiebeveiliging verplichtop orde moeten hebben en zelf een risicobeoordeling uit te voeren. Opbasis hiervan dienen zij passende maatregelen te nemen om digitalerisico’s te beperken en incidenten te voorkomen. De Cyberbeveiligingswetstelt dat een Cyber Security Incident Response Team (CSIRT) onder-steuning verleent voorafgaand en tijdens een incident aan de organisatieswaarop de wet van toepassing is. Het expertisecentrum cybersecurity inde zorg, Z-CERT, is het CSIRT voor de entiteiten in de zorg en de wettelijketaken van Z-CERT worden vastgelegd in de ministeriële regeling voor desector zorg.De organisaties die onder de Cbw vallen zijn ervoor verantwoordelijk dathun rechtstreekse toeleveranciers de cyberbeveiliging op orde hebben. Deorganisatie kan aan de toeleveranciers verzoeken om mitigerendemaatregelen te nemen om de bestaande cyber risico’s te beheersen. Voorzorgaanbieders liggen specifieke uitdagingen in het borgen vanvoldoende capaciteit en expertise op het gebied van cyberbeveiliging, hetinrichten van goed werkende incident- en meldprocessen en hetmeenemen van toeleveranciers en ICT-dienstverleners in de keten.In de uitwerking van de ministeriële regeling voor het zorgveld worden desectorspecifieke vereisten nader ingevuld. Er wordt ten eerste aangeslotenbij de NEN7510 (norm voor informatiebeveiliging in de zorg) omaantoonbaar aan de zorgplicht te voldoen. Daarnaast worden er sector-specifieke drempelwaarden uitgewerkt voor het melden van significanteincidenten en wordt verduidelijkt welke categorieën zorgaanbieders onderde wet vallen. De Cyberbeveiligingswet en daarmee ook de ministeriëleregeling voor de sector zorg zal, afhankelijk van parlementaire besluit-vorming, in het tweede kwartaal van 2026 inwerking treden.Naar aanleiding van paragraaf 2.4 Toezicht. De leden van de CDA-fractielezen dat de IGJ constateert dat de naleving van NEN normen doorzorgaanbieders achterblijft. Los van de acties van de Minister omzorgaanbieders te ondersteunen vragen deze leden ook naar de rol van deIGJ. Zij vragen hoe de IGJ hiermee omgaat en of en zo ja, de IGJ extrainzet op handhaving of andere interventies. Ook vragen deze leden welkeandere sectoren, naast de ziekenhuiszorg, gehandicaptenzorg enouderenzorg aandacht krijgen van de IGJ.Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35916 De IGJ houdt risicogestuurd en steekproefsgewijs toezicht op informatie-beveiliging binnen de gehele sector gezondheidszorg. Daarnaast kunnenmeldingen een aanleiding vormen om onderzoek te doen. In de afgelopenjaren is het toezicht op informatiebeveiliging geïntensiveerd en heeft deIGJ hierover diverse rapportages gepubliceerd14. De afgelopen periodeheeft de IGJ specifieke doelgroepen uitgelicht, waaronder de zieken-huiszorg, zelfstandige klinieken, huisartsendienstenstructuren, gehandi-captenzorg en ouderenzorg. Maar ook in andere sectoren als de eerste-lijnszorg, geestelijke gezondheidzorg en jeugdhulpaanbieders houdt deIGJ toezicht op informatiebeveiliging. De IGJ houdt toezicht op informatie-beveiliging door middel van het afleggen van inspectiebezoeken bijzorgaanbieders of door middel van het uitsturen van vragenlijsten gerichtop informatiebeveiliging en de mate waarin naleving van de norm kanworden aangetoond. De IGJ blijft daarbij steeds kijken welke andere ofaanvullende interventies per sector nodig zijn. Dit vindt ook plaats opbasis van overleg met koepelorganisaties. Daar waar de IGJ constateertdat een zorgaanbieder niet aantoonbaar voldoet aan de NEN 7510, vraagtde IGJ om verbeterplannen en de uitvoering daarvan. De IGJ volgt deverbeterplannen bij zorgaanbieders totdat deze aanbieders kunnenaantonen te werken volgens de norm NEN 7510.Naar aanleiding van paragraaf 3.2.1 Digitale autonomie. De leden van deCDA-fractie maken zich zorgen over de snel opvolgende geopolitiekeontwikkelingen, die het belang van digitale autonomie alleen maar meerbenadrukken.Zij vragen of de Minister dit deelt en zo ja, of het dan voldoende is desector op te roepen dit in hun afwegingen mee te nemen. Zoals deMinister terecht aangeeft, is zorgverlening vaak kritieke dienstverleningdie niet kan wachten.Ik deel uw zorgen voor wat betreft digitale afhankelijkheden in de zorg.Echter, het is en blijft de verantwoordelijkheid van de zorgaanbieder omhiervoor handelingsperspectieven op te stellen naar aanleiding op basisvan hun individuele risicoafwegingen. Bovendien bevat de norm voorinformatiebeveiliging in de zorg (NEN7510) beheersmaatregelen voor hetgebruik van clouddiensten. Alle zorgaanbieders zijn verplicht aantoonbaarte voldoen aan deze norm. Om te voldoen aan deze norm dient eenorganisatie de risico’s behorend bij het gebruik van clouddiensten in kaartte hebben gebracht en dient deze ook eventueel benodigde mitigerendemaatregelen te nemen.Deze leden vragen daarom wat de Minister van VWS specifiek doet om bijzorg-IT-systemen digitaal autonomer te worden.Ik deel uw zorgen voor wat betreft digitale afhankelijkheden in de zorg.Echter, het is en blijft de verantwoordelijkheid van de zorgaanbieder omhiervoor handelingsperspectieven op te stellen op basis van hun14Professionele digitale zorg vraagt van ziekenhuizen steeds opnieuw evalueren en verbeteren,Inspectie Gezondheidszorg en Jeugd (IGJ), https://www.igj.nl/site/binaries/sitecontent/collections/documents/2021/12/21/professionele-digitale-zorg-vraagt-vanziekenhuizen-steeds-opnieuw-evalueren-en-verbeteren/73298_IGJ_Factsheet_TG.pdf (21december 2021)Gehandicaptenzorg worstelt met digitale vormen van zorg, Inspectie Gezondheidszorg enJeugd (IGJ), https://www.igj.nl/site/binaries/site-content/collections/documents/2023/06/16/publicatie-gehandicaptenzorg-worstelt-met-digitale-vormen-van-zorg/Gehandicaptenzorg+worstelt+met+digitale+vormen+van+zorg.pdf (16 juni 2023)Zeer grote zorgaanbieders ouderenzorg hebben digitale zorg op orde, informatiebeveiligingmoet beter (IGJ), Zeer grote zorgaanbieders ouderenzorg hebben digitale zorg op orde,informatiebeveiliging moet beter | Inspectie Gezondheidszorg en Jeugd (IGJ), https://www.igj.nl/documenten/2025/06/05/digitale-zorg-bij-zeer-grote-zorgaanbieders (5 juni 2025)Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35917 individuele risicoafwegingen. Uit de verantwoordelijkheid van dezorgaanbieder volgt dat zij zelf de afwegingen zullen maken, passend bijde eigen context. Er bestaat hiervoor namelijk geen «quick fix» of «onesize fits all». De Rijksoverheid is daarnaast bezig met een herziening vanhet Rijkscloudbeleid naar aanleiding van recente geopolitieke ontwikke-lingen. Na vaststelling van dit nieuwe Rijkscloud beleid zal ik degesprekken met Cumuluz, als uitvoeringsorganisatie van een landelijkdekkend netwerk, intensiveren om te komen tot een passende enproportionele vertaling van dit rijksbeleid naar de zorg. Uitvoering enimplementatie zal daarna tijd kosten, maar het is eerst van belang nieuween heldere kaders te schetsen.Zij vragen of de Minister nader wil toelichten waarom hij niet een meerdwingend kader aan de sector wil meegeven.Ik kan en wil geen dwingend kader voorschrijven aan de zorgsector. Uit deverantwoordelijkheid van de zorgaanbieder volgt dat zij zelf deafwegingen zullen moeten maken, passend bij de eigen context.Zij vragen wat de Minister doet om in het cloudbeleid specifiek aandachtte besteden aan de zorgsector, vanwege het cruciale publieke belang.In het kader van digitale autonomie verdient de risicoanalyse bij de inzetvan cloud-toepassingen bijzondere aandacht omdat die vaak zorgt vooreen grotere afhankelijkheid van leveranciers. Waar overwogen wordt omcloud toepassingen in te zetten of al ingezet zijn, adviseer ik om daarvoorhet Implementatiekader Risicoafweging Cloudgebruik15 voor de Rijks-overheid te gebruiken. Dit is een algemeen kader. Dit kader is nietspecifiek toegepast op de zorg, maar generiek toepasbaar. Voor hetgebruik van de cloud is dit in het bijzonder van belang, aangezien er nogweinig alternatieven beschikbaar zijnDe leden van de CDA-fractie vragen tot slot naar het advies van deAutoriteit Consument & Markt (ACM) over het verbeteren van dezorg-ICT-markt. Deze leden vragen of de Minister deelt dat een betereICT-markt, met minder afhankelijkheid van enkele leveranciers ookbijdraagt aan informatieveiligheid in de zorg. Deze leden vragen of deMinister wil ingaan op de aanbevelingen van de ACM uit januari 2025.De afhankelijkheid van enkele zorg-ICT-leveranciers kan nadelige gevolgenhebben voor de continuïteit van zorg. Zorgaanbieders zijn in de eersteplaats zelf verantwoordelijk voor de informatieveiligheid. Dit is onderdeelvan de bedrijfsvoering en zou net zo vanzelfsprekend moeten zijn alsandere onderdelen, zoals brandveiligheid van het gebouw en personeel.ICT-uitgaven of investeringen zouden dit belang moeten reflecteren.Zorgaanbieders bepalen welke maatregelen genomen moeten worden enmoeten zorgen dat ze de juiste eisen stellen aan hun zorg-ICT-leveranciers.Ik vraag hier in een brief aan koepels en zorgbestuurders die in novembergestuurd is aandacht voor.Op 20 januari 2026 is de Tweede Kamer geïnformeerd over de Voortgangdatabeschikbaarheid in de zorg16. Bij het onderwerp continuïteit van zorg,staat dat ICT-diensten en -infrastructuur steeds vaker cruciaal zijn voor decontinuïteit van zorg. Ik werk daarom aan verschillende initiatieven om decontinuïteit van zorg-ICT te versterken.15Implementatiekader risicoafweging cloudgebruik, versie 1.1, (CIO Rijk – InterdepartementaleCommissie Bedrijfsvoering Rijksdienst), https://open.overheid.nl/documenten/ronl-734f947ec6465e4f75a56bed82fe64a1135f71a8/pdf (5 januari 2023)16Kamerstukken II, 2025/2026, 27 529, nr. 355Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35918 Bij het onderdeel Stand van zaken zorg-ICT-markt van de brief overVoortgang databeschikbaarheid in de zorg, wordt nader ingegaan op hetadvies van de ACM. In januari vorig jaar heeft de ACM een brief gestuurdaan de toenmalige Minister van VWS over de geslotenheid vanICT-systemen, de nadelen hiervan voor de zorg en ook de beperkingenvan de instrumenten die de ACM tot haar beschikking heeft om hiertegenop te treden. Vanwege de urgentie van de genoemde problematiekadviseert de ACM om data-openheid wettelijk af te dwingen. Aan de ACMis geantwoord dat de mogelijkheden worden onderzocht voor verplicht-stelling van databeschikbaarheid en open datastandaarden. Dit sluit aanbij de motie van het lid Bushoff17, waarin verzocht wordt ICT-leveranciersin de zorg de komende jaren verplicht worden gebruik te maken van opendatastandaarden. In mijn brief «stand van zaken landelijk dekkendnetwerk» die ik voor het commissiedebat digitale zorg (gepland op21 mei) naar uw Kamer zal sturen, zal ik hier dieper op ingaan.Vragen en opmerkingen van de leden van de BBB-fractieDe leden van de BBB-fractie hebben kennisgenomen van de brief overinformatieveiligheid in de zorg. Genoemde leden hebben geen vragen aande Minister.17Kamerstukken II, 2024/25, 27 529, nr. 348Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35919