Informatieveiligheid in de zorg

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202627 529Informatie- en Communicatietechnologie (ICT) inde ZorgNr. 353 BRIEF VAN DE MINISTER VAN VOLKSGEZONDHEID, WELZIJN ENSPORT Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 4 december 2025In deze brief leest u over de ontwikkelingen op het gebied van informatie-veiligheid van de zorgsector. Ik duid het dreigingsbeeld, recenteincidenten en de voortgang van de implementatie van de Cyberbeveili-gingswet (NIS2-richtlijn) in het zorgveld1. Ook ga ik in op de maatregelendie ik neem om het zorgveld te ondersteunen. Het is van groot belang hetniveau van informatieveiligheid in het zorgveld te verhogen en hiermeega ik samen met de zorgsector aan de slagIk doe drie toezeggingen af en reageer op drie moties:•De toezegging dat ik uw Kamer zou informeren over mijn visie opquantumveiligheid voor de zorg2.•De toezegging over verduidelijking van de financiële gevolgen van hetEU-actieplan cybersecurity voor ziekenhuizen en zorgaanbieders3.•De toezegging om een vervolg te geven aan het toepassen vanend-to-end-beveiliging bij de geprioriteerde gegevensuitwisselingenonder de Wet elektronische gegevensuitwisseling in de zorg (Wegiz)4.•De motie van Kamerlid Hertzberger over het steviger inzetten op denaleving van de NEN7510 en de stappen die hiervoor gezet worden5.•De motie van Kamerlid De Korte over de inzet van ethische hackers6.1Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie,tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking vanRichtlijn (EU) 2016/1148 (NIB-richtlijn).2Toezegging TZ202504-0863Toegezegd in Kamerstukken II 2024/25, 22 112, nr. 40564Toegezegd in Kamerstukken II 2023/24, 36 410 XVI, nr. 160 en Handelingen II 2023/24, nr. 95,item 8.5Kamerstuk 32 793, nr. 8636Kamerstuk 27 529, nr. 341 kst-27529-353ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3531 •De motie van Kamerlid De Korte over de opslag en benadering vanBSN-gegevens en gevoelige informatie7Zonder veiligheid geen vertrouwen, zonder vertrouwen geendatabeschikbaarheidOm de zorg voor iedereen goed, toegankelijk en betaalbaar te houden, isde beweging ingezet naar passende (hybride) zorg, gezondheid enpreventie. Cruciaal voor die beweging is digitalisering, gegevensuit-wisseling en databeschikbaarheid: de juiste gegevens, op het juistemoment, op de juiste plek. Met de Nationale visie en strategie voor hetgezondheidsinformatiestelsel (NVS) werkt het Ministerie van Volksge-zondheid, Welzijn en Sport (VWS) daarom aan databeschikbaarheid voorburgers, zorgverleners en de wetenschap.8Om databeschikbaarheid te bereiken, is onder andere vertrouwen nodigvan burgers, patiënten en zorgverleners in de veiligheid van gezondheids-gegevens. Voor dit vertrouwen moet de infrastructuur en techniek voorhet uitwisselen en beschikbaar maken van gezondheidsgegevensbetrouwbaar worden ingericht en veilig worden gebruikt.1. Dreigingen voor de zorgsector De dreiging van cyberaanvallen in de zorg neemt al jaren toe. Volgens deEuropese Commissie is de zorgsector een van de meest aangevallensectoren.9 Ook Z-CERT, expertisecentrum op het gebied van cyberbevei-liging in de zorg, ziet een toename van digitale aanvallen gericht opzorgaanbieders in Nederland in 2024. Steeds vaker zijn hierbij niet alleenzorgaanbieders zelf het doelwit, maar ook andere actoren in de zorgketen,zoals ICT-leveranciers. De bedreigingen in de zorgsector zijn divers. Zevariëren van dreigingen met malware, schadelijke software die systemenkan platleggen, tot social engineering, waarbij mensen gemanipuleerdworden tot het vrijgeven van gevoelige gegevens. Het dreigingslandschapis ook in ontwikkeling. De technologie waarmee aanvallen wordenuitgevoerd, is steeds geavanceerder. En er zijn verschillende kwaadwil-lende groepen die de aanvallen uitvoeren.Tot nu toe zijn kwaadwillenden vooral uit op geld. De Autoriteit Persoons-gegevens (AP) meldt in haar jaarlijkse datalekkenreportage een verdub-beling aan datadiefstallen door cybercriminelen.10 De buitgemaakte dataworden vaak verkocht aan derden. Daarnaast blijft het gebruik vanransomware een van de grootste dreigingen in de zorgsector.11 Hierbijworden systemen of gegevens versleuteld tot er wordt betaald.Door geopolitieke ontwikkelingen zijn aanvallen door statelijke actorenniet uit te sluiten. In het «Cybersecuritybeeld Nederland» staat dat dezeactoren hun activiteiten intensiveren en hun capaciteiten verbreden.12 Ook7Kamerstuk 24 170, nr. 3748Kamerstukken II 2022/23, 27 529, nr. 292 en Nationale strategie voor het gezondheidsinforma-tiestelsel, oktober 2024.9«European Action Plan on the Cybersecurity of Hospitals and Healthcare Providers», EuropeseCommissie, https://ec.europa.eu/newsroom/dae/redirection/document/111664 (15 januari 2025)10Rapportage datalekken 2024, Autoriteit Persoonsgegevens, https://www.autoriteitpersoonsgegevens.nl/documenten/rapportage-datalekken-2024 (3 juli 2025)11Cybersecurity Dreigingsbeeld voor de zorg 2024, Z-CERT, https://z-cert.nl/assets/uploads/Actueel/DEF_Z-CERT_CyberDreigingsbeeldvoordezorg-LR.pdf. (12 februari 2025)12Cybersecuritybeeld Nederland 2024, Nationaal Coördinator Terrorismebestrijding en Veiligheid(NCTV), https://www.nctv.nl/documenten/2024/10/28/cybersecuritybeeld-nederland-2024,(28 oktober 2024) https://www.nctv.nl/documenten/2025/07/23/dreigingslandschap-vitale-infrastructuurTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3532 de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) steltdat statelijke actoren en hacktivisten met cyberaanvallen een dreigingvormen voor de vitale infrastructuur van Nederland.13 Digitalisering vande zorgsector biedt veel kansen, maar vergroot ook het risico op cyberin-cidenten – dat benadrukt onder andere de Europese Commissie.Twee ontwikkelingen: kansen én risico’sHet gebruik van de cloud - het opslaan en gebruiken van data entoepassingen via externe servers – kan zorgen voor betere toeganke-lijkheid, schaalbaarheid en kostenefficiëntie. Steeds vaker wordenbijvoorbeeld zorgaanbieder-informatiesystemen (XIS’en) of elektronischepatiëntendossiers (EPD’s) in de cloud ondergebracht. Tegelijkertijd neemtde afhankelijkheid van de aanbieders van clouddiensten toe. Bovendien isde cloud steeds vaker het doelwit van cyberaanvallen.Ook kunstmatige intelligentie (AI) kan – als het juist wordt ingezet –bijdragen aan maatschappelijke vraagstukken die spelen in zorg enwelzijn. Maar kwaadwillenden kunnen het ook gebruiken om bijvoorbeeldgerichte en moeilijk te filteren phishingmails te maken – waarbij oplichterszich voordoen als betrouwbare organisaties of personen om gegevens loste krijgen. Daarnaast maakt AI het mogelijk om snel nieuwe en geavan-ceerde malware te ontwikkelen, waar criminele organisaties en vijandigestaten dankbaar gebruik van maken.De dreiging is reëelCyberaanvallen hebben gevolgen voor de vertrouwelijkheid, beschik-baarheid en juistheid van gezondheidsgegevens. Daardoor kan eencyberaanval de continuïteit van zorgverlening in gevaar brengen. Dit heeftdirect impact op de burger. Een recent voorbeeld is de hack bij het labClinical Diagnostics in juli dit jaar. Dat hierbij gezondheidsgegevensbemachtigd zijn van deelnemers aan het bevolkingsonderzoek hetbevolkingsonderzoek baarmoederhalskanker betreur ik ten zeerste. In dezebrief wil ik nogmaals benadrukken dat er nog verschillende onderzoekenlopen naar de hack en het datalek dat daarop volgde en dat ik daarom noggeen nadere uitspraken kan doen over de oorzaak en omvang. Uw Kamerwordt wel doorlopend op de hoogte gehouden over deze situatie en demaatregelen die zijn, en mogelijk nog, worden getroffen.Dit voorbeeld, boven op de benoemde technologieën en dreigingen uitvoorgaande alinea’s, laat zien dat de vraag niet is óf er weer een incidentkomt, maar wanneer. Een continue en vooral geïntensiveerde inspanningvanuit de zorgsector om de informatiebeveiliging op orde te hebben, isnodig om op deze dreigingen in te spelen.2. Huidig beleid 2.1 Stelselverantwoordelijkheid Zorgaanbieders zijn in de eerste plaats zelf verantwoordelijk voor huninformatiebeveiliging. Dit is onderdeel van de bedrijfsvoering, en zou netzo vanzelfsprekend moeten zijn als andere onderdelen, zoals veiligheidvan het gebouw en personeel. ICT-uitgaven of investeringen zouden ditbelang moeten reflecteren. Zorgaanbieders bepalen welke maatregelengenomen moeten worden om de risico’s op het gebied van informatiebe-13Dreigingslandschap Vitale Infrastructuur (2025), Nationaal Coördinator Terrorismebestrijdingen Veiligheid (NCTV), https://www.nctv.nl/documenten/2025/07/23/dreigingslandschap-vitale-infrastructuur, (24 juli 2025)Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3533 veiliging te beheersen – al dan niet met hulp van hun koepel of brancheor-ganisatie. De van toepassing zijnde NEN-normen verplichten zorginstel-lingen om deze risico’s in kaart te brengen en om passende maatregelente nemen14. Een belangrijke factor zijn hierbij de IT-leveranciers, die denaleving van de verplichtingen grotendeels moeten faciliteren. Zorgaan-bieders en samenwerkingsverbanden moeten zorgen dat ze de juisteeisen stellen aan hun leveranciers. Ik vraag hier in een brief aan koepelsen zorgbestuurders die in november gestuurd zal worden aandacht voor.Verplichte NEN normen voor de zorgsector:•NEN 7510 – De Nederlandse norm voor informatiebeveiliging in dezorg.•NEN 7512 – Beschrijft hoe zorgverleners veilig gegevens uitwisselen.•NEN 7513 – Beschrijft hoe acties in elektronische zorginformatievoor-zieningen vastgelegd moeten worden (logging)De Inspectie Gezondheidszorg en Jeugd (IGJ) constateert dat de nalevingvan de verplichte NEN-normen te wensen overlaat. In reactie op de motievan Kamerlid Hertzberger15 over het steviger inzetten op de naleving vande NEN7510 norm benadruk ik dat ik als stelselverantwoordelijke regieneem om het zorgveld te ondersteunen. Dit doe ik door me in het huidigebeleid te richten op het stimuleren van bewustwording, passende hulp tebieden, toezicht te versterken en te ondersteunen bij incidenten. Inonderdeel 3 van deze brief zet ik uiteen hoe ik deze ondersteuning wilintensiveren.2.2 Normeren 2.2.1 Cyberbeveiligingswet (Cbw) Vanwege de eerder beschreven geopolitieke ontwikkelingen en detoenemende afhankelijkheden binnen Europa, werkt Europa gezamenlijkaan het versterken van de digitale weerbaarheid in vitale sectoren, zoalsde gezondheidszorg.Om organisaties te helpen hun digitale weerbaarheid planmatig op ordete krijgen en te houden is er de Europese Network and InformationSecurity directive (NIS2-richtlijn). Die richtlijn wordt nu in Nederlandomgezet in de Cyberbeveiligingswet (Cbw).16 De coördinatie hiervan ligtbij het Ministerie van Justitie en Veiligheid (JenV). De vakdepartementen(zoals VWS) zorgen voor de sectorafhankelijke inhoudelijke invulling.Terzijde: er is ook wetgeving in de maak voor fysieke weerbaarheid.Om de lidstaten ook weerbaar te maken tegen fysieke dreigingen – zoalsterrorisme en natuurrampen – is er de Critical Entities Resilience directive(CER). Deze Europese richtlijn wordt, tegelijk met de NIS2-richtlijn,omgezet in de nationale Wet weerbaarheid kritieke entiteiten (Wwke).1714De NEN 7510 geldt voor elke zorgaanbieder die gegevens van personen verwerkt in eenzorginformatiesysteem en een elektronisch uitwisselingssysteem. Dit is bepaald in het Besluitelektronische gegevensverwerking door zorgaanbieders (Begz). Er dient aangetoond tekunnen worden dat gewerkt wordt volgens de NEN 7510.15Motienummer 32 793, nr. 86316Regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raadvan 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekkingvan Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritiekeentiteiten) | Tweede Kamer der Staten-Generaal17Regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raadvan 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekkingvan Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritiekeentiteiten) | Tweede Kamer der Staten-GeneraalTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3534 Ook bij deze wetgeving zorgt VWS – in samenwerking met JenV – voor deinhoudelijke invulling voor de zorg.PlichtenDe Cbw gaat gelden voor een breed segment aan organisaties binnen dezorg – van zorgaanbieders tot geneesmiddelenfabrikanten en vervaar-digers van medische hulpmiddelen. De wet gaat organisaties verplichtenom risico’s op cyberincidenten in kaart te brengen en passende enevenredige maatregelen hiertegen te treffen.RechtenDe hierboven beschreven verplichtingen gaan pas gelden na implemen-tatie van de NIS2-richtlijn in de Cbw. Maar de rechten uit de NIS2-richtlijnhebben directe werking en gelden daarom al sinds 17 oktober 2024. Ditbetekent dat organisaties die onder de Cbw gaan vallen vanaf die datumal recht hebben op ondersteuning door het sectorale Computer SecurityIncident Response Team (CSIRT). Voor de zorg gaat Z-CERT die rol op zichnemen.ToezichtHet toezicht op de naleving van de Cbw komt te liggen bij de InspectieGezondheidszorg en Jeugd (IGJ). Nu al voldoen aan NEN 7510 en ISO27001 is een stap in de goede richting om straks aan de Cbw te voldoen.Bestuurlijke aansprakelijkheidOnder de Cbw worden bestuurders van de raden van bestuur vanorganisaties die onder de wet vallen verplicht om training in cyberbevei-liging te volgen. Ook kunnen zij persoonlijk aansprakelijk worden gesteldindien zij niet aan deze trainingseisen voldoen.Lagere regelgevingEerder dit jaar stuurde ik uw Kamer de concepttekst van de Cbw.18 Met dieconceptwet stuurde ik ook het concept-Cyberbeveiligingsbesluit (Cbb)mee. Dat is de algemene maatregel van bestuur (AMvB) waarin onder-delen van de wet nader worden uitgewerkt. Op dit moment werk ik verderaan een ministeriële regeling voor de zorg, momenteel in internetconsu-latie, waarin onder andere de zorgplicht en de meldplicht voor significanteincidenten uit de Cbw verder worden uitgewerkt.Inwerkingtreding Cbw naar verwachting Q2 2026Zoals eerder aan uw Kamer medegedeeld door de Minister van JenV kostde implementatie van de NIS2-richtlijn in de Cbw meer tijd dan oorspron-kelijk gepland. Dat komt doordat de complexiteit en de omvang van hettraject om een zorgvuldige aanpak vragen. Naar verwachting treden dewet en de lagere regelgeving voor onder meer de zorg in het tweedekwartaal van 2026 in werking. Uiterlijk in het tweede kwartaal van 2026ontvangt uw Kamer een uitgebreidere brief, met een toelichting over deconcrete inzet op en vervolgstappen richting de implementatie van deCbw.18Wetsvoorstel nr. 36 764, Cyberbeveiligingswet, ingediend 2 juni 2025, Tweede KamerTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3535 2.2.2 NEN-normen Ik zet in op de doorontwikkeling van de verplichte NEN-normen voorinformatiebeveiliging in de zorg: NEN 7510, 7512 en 7513. Daarnaast werkik aan een geactualiseerde NEN 7616-norm, om wanneer dat nodig is zoveilig mogelijk gezondheidsgegevens te mailen of via een chatdienst tedelen.Achterblijvende naleving NEN-normen zorgelijkDe constatering van de IGJ dat de naleving van de NEN-normen voorinformatieveiligheid achter blijft, vind ik zeer zorgelijk.19 Daaromonderneem ik verschillende activiteiten om zorgaanbieders te onder-steunen:•Ik verstrek middelen aan het programma Informatieveilig gedrag in dezorg. In alinea 2.5 over het stimuleren van bewustwording ga ik verderin op de doelen, de resultaten en het belang van dit programma.•Voor kleinere zorginstellingen, voor wie naleving van NEN 7510 eenuitdaging kan zijn, heb ik een quickscan beschikbaar gesteld: eeneenvoudig instrument om te bepalen welke maatregelen (nog)genomen moeten worden voor informatieveiligheid.•Tot slot heb ik aan het Nederlands Normalisatie Instituut (NEN)middelen verstrekt voor het verzorgen van opleidingen, het ontwikke-len van implementatiehandvatten en het oprichten van een communitywaarin zorgmedewerkers van elkaar kunnen leren. De hulpmiddelenzijn kosteloos ter beschikking gesteld en ontwikkeld voor zowelorganisaties die voor het eerst NEN 7510 implementeren als voororganisaties die NEN 7510 al geïmplementeerd hebben en moetenoverstappen op de nieuwe versie van de norm.2.3 Ondersteuning bij incidenten Z-CERTIk zet ook in op het breder beschikbaar stellen van de diensten vanZ-CERT, het expertisecentrum voor cybersecurity in de zorg. Z-CERT helptzorginstellingen onder andere bij preventie, detectie, respons en herstelvan cyberincidenten. Z-CERT voorziet deelnemers van advies endreigingsinformatie. En bij een cyberaanval kan het een zorginstellingondersteunen bij het beperken van de gevolgen. Verder heeft Z-CERT eenkennisbank waarop kennisproducten gepubliceerd worden over bijvoor-beeld NEN 7510 en het voorkomen en herkennen van malware.Voorbereiding is cruciaalUit de dreigingsbeelden blijkt dat er altijd incidenten zullen zijn, ondankspreventieve maatregelen. Het is daarom belangrijk om daarop voorbereidte zijn. De praktijk heeft laten zien dat het cruciaal is om te oefenen met19Professionele digitale zorg vraagt van ziekenhuizen steeds opnieuw evalueren en verbeteren,Inspectie Gezondheidszorg en Jeugd (IGJ), https://www.igj.nl/site/binaries/site-content/collections/documents/2021/12/21/professionele-digitale-zorg-vraagt-van-ziekenhuizen-steeds-opnieuw-evalueren-en-verbeteren/73298_IGJ_Factsheet_TG.pdf (21 december 2021)Gehandicaptenzorg worstelt met digitale vormen van zorg, Inspectie Gezondheidszorg enJeugd (IGJ), https://www.igj.nl/site/binaries/site-content/collections/documents/2023/06/16/publicatie-gehandicaptenzorg-worstelt-met-digitale-vormen-van-zorg/Gehandicaptenzorg+worstelt+met+digitale+vormen+van+zorg.pdf (16 juni 2023)Zeer grote zorgaanbieders ouderenzorg hebben digitale zorg op orde, informatiebeveiligingmoet beter (IGJ), Zeer grote zorgaanbieders ouderenzorg hebben digitale zorg op orde,informatiebeveiliging moet beter | Inspectie Gezondheidszorg en J https://www.igj.nl/documenten/2025/06/05/digitale-zorg-bij-zeer-grote-zorgaanbieders (5 juni 2025)Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3536 cyberincidenten. En om continuïteitsplannen te testen met simulaties eninstrumenten als red-teaming – een gesimuleerde aanvalstest doorethische hackers. In reactie op de motie van Kamerlid De Korte over deinzet van ethische hackers20 wordt u geïnformeerd dat ik er bij zorginstel-lingen op aandring om voldoende aandacht te besteden aan crisisvoorbe-reiding. Z-CERT biedt op dit moment aanvullend optionele cybersecurity-diensten aan, zoals geavanceerde ethische hacktesten onder de naamZORRO21.Wettelijke taken Z-CERTZ-CERT krijgt onder de Cbw wettelijke taken. Z-CERT wordt het CSIRT vande zorgsector en krijgt als zodanig een aantal wettelijke taken, zoals hetmonitoren op en analyseren van kwetsbaarheden en dreigingen, hetleveren van ondersteuning bij incidenten en het uitgeven van vroegtijdigewaarschuwingen. Organisaties die onder de Cbw gaan vallen hebbenzowel rechten als plichten, waarbij zij een beroep kunnen doen op deondersteuning door Z-CERT.2.4 Toezicht IGJ houdt risico gebaseerd, steekproefsgewijs en op basis van NEN 7510toezicht op informatiebeveiliging in de zorg. Uit inspectiebezoeken invoorgaande jaren blijkt dat de naleving van deze norm in diversezorgsectoren ondermaats is.22 Recent constateerde de IGJ dat nalevingbijvoorbeeld niet op orde is in de huisartsenspoedzorg.23 In 2022constateerde de IGJ dat bij het merendeel van de ziekenhuizen denaleving niet op niveau was, ondanks aandacht voor dit thema enwettelijke verplichting. De IGJ heeft daarom verbeteracties gevraagd enna meerdere rondes waren de meeste ziekenhuizen in het najaar van 2023op niveau. Na de ziekenhuizen worden ook andere zorgsectoren op dezemanier opgevolgd, zoals de gehandicaptenzorg en de ouderenzorg. Hetdoel hiervan is een cyclische verbetering van de naleving van de NEN7510-norm. We zien dat deze op leren gerichte kritische benaderingenerzijds tijd vraagt, maar anderzijds wel resultaten oplevert. De bezochtesectoren laten substantiële verbeteringen zien.Extra aandacht IGJ door Incident bij Clinical DiagnosticsDe hack en het datalek bij Clinical Diagnostics zijn voor de IGJ een extraaanleiding om laboratoria in het vizier te krijgen en op te nemen in haarwerkplan. Als uit de lopende onderzoeken naar het incident blijkt dat erspecifieke risico’s waren bij Clinical Diagnostics worden deze ook alsaandachtspunt meegenomen in het toezicht bij andere zorgaanbieders enandere zorgsectoren.Meer financiële middelen naar IGJOmdat ik het zorgelijk vind dat naleving van de verplichte norm achter-blijft, zet ik naast de aanvullende middelen voor het toezicht op de Cbw,vanaf 2024 voor de komende jaren gericht en structureel middelen in omhet toezicht op informatiebeveiliging te intensiveren. Deze middelengebruikt de IGJ onder andere voor het versterken van kennis van20Kamerstuk 27 529, nr. 34121ZORRO – Z-CERT22Zie voetnoot 13.23Huisartsenspoedzorg moet zo snel mogelijk voldoen aan de norm voor informatiebeveiliging(IGJ), https://www.igj.nl/documenten/2025/10/13/huisartsenspoedzorg-moet-zo-snel-mogelijk-voldoen-aan-de-norm-voor-informatiebeveiliging (13 oktober 2025)Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3537 inspecteurs, samenwerken met verwante toezichthouders zoals deRijksinspectie Digitale Infrastructuur (RDI) en onderzoek in het veld naarde stand van zaken op het gebied van informatiebeveiliging, gericht opeen beter inzicht in de risico’s die de IGJ in haar toezicht moet betrekken.Tevens zal de IGJ zich met deze middelen richten op het ontwikkelen vaneen effectieve toezichtstrategie op de kleinere zorgaanbieders. Het doelhiervan is de naleving van de NEN7510 en de informatieveiligheid bijkleine zorgaanbieders te verhogen. Ik ga hier in deze brief verder op in bijonderdeel 3.1.2.5 Bewustwording stimuleren Programma Informatieveilig gedrag in de zorgIk zet in op het stimuleren van bewustwording met de verdere uitbreidingvan het programma Informatieveilig gedrag in de zorg. Met dit projectwerkt VWS aan een gestructureerde methode voor gedragsveranderingop het gebied van informatieveiligheid. De methode is uitgewerkt in eenWegwijzer, met manieren om informatieveilig gedrag in de zorg tebevorderen en is kosteloos beschikbaar.24Naast de Wegwijzer worden binnen het programma diverse hulpmiddelenontwikkeld zoals toolkits met praktische tips over bijvoorbeeld het meldenvan een datalek, veilig omgaan met patiëntgegevens en veilig gebruik vanAI-chatbots. Deze toolkits zijn direct toepasbare en laagdrempelig tegebruiken hulpmiddelen gericht op veelvoorkomende problemen enrisico’s voor informatieveiligheid. Hierdoor zijn ze nuttig en efficiënt voor(kleinere) zorgaanbieders die capaciteit missen om de hele wegwijzer tedoorlopen. De toolkits worden veel gedownload en gebruikt. Verderorganiseert het programma trainingen, webinars en masterclasses overbijvoorbeeld het implementeren van NEN 7510 en veilig omgaan met AI inde zorg. Met een stevige communicatiestrategie heeft het programmaInformatieveilig gedrag in de zorg de afgelopen jaren een groeiendedoelgroep weten te bereiken. Het programma is een effectieve entoekomstbestendige methode gebleken waarin informatiebeveiligingsex-perts van verschillende zorgorganisaties aan elkaar worden verbonden ineen community. Bovendien geven zorgorganisaties met het programmaeen concrete invulling aan verschillende paragrafen uit de NEN 7510.Kickstart Informatiebeveiliging en PrivacySinds juli 2023 loopt ook het programma Kickstart Informatiebeveiligingen Privacy (Kickstart IB&P)25. Met dit programma, uitgevoerd door ICTU,worden zorgorganisaties – van klein tot groot – ondersteund in hetversterken van hun informatiebeveiliging en het waarborgen van privacy.De Kickstart IB&P biedt ondersteuning, afgestemd op de dagelijksepraktijk van zorgaanbieders. Met behulp van een modulaire aanpakkunnen zorgorganisaties aansluiten, passend bij hun eigen ontwikkelfaseen specifieke vraagstukken. De volgende modules zijn ontwikkeld:voorbereiding, risicoanalyse, maatregelen, effectiviteit van de maatre-gelen, bewustwording en informatieveilig gedrag. De modules zijnkosteloos beschikbaar voor de zorg.24https://www.informatieveiliggedragindezorg.nl/wegwijzer.25https://www.samenwerkenaaneoverdracht.nl/kickstart-ibp-voor-organisaties-in-de-langdurige-zorg/Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3538 2.6 Bouwen aan een veilig gezondheidsinformatiestelsel (GIS) In het kader van het gezondheidsinformatiestelsel zijn er verschillendelopende trajecten en initiatieven die bijdragen aan de digitaleweerbaarheid van de zorg.European Health Data SpaceDe European Health Data Space-verordening (EHDS) – die gaat zorgenvoor betere databeschikbaarheid en regulering van de zorg-ICT-markt inNederland en Europa – gaat vereisen dat EPD-systemen aan de kadersrondom cyberveiligheid moeten gaan voldoen conform de Cyberweer-baarheidsverordening26. De EHDS is daarmee een aanjager vanwetgeving waarmee de nationale kaders versterkt worden.Generieke functiesGenerieke functies zijn sets van afspraken, standaarden en voorzieningenom bijvoorbeeld vast te stellen: Wie logt er in? (Identificatie) Ben je wie jezeg dat je bent? (Authenticatie) Is de patiënt akkoord met het delen vanmedische gegevens? (Toestemming).Ook een aantal generieke functies die in het kader van het gezondheidsin-formatiestelsel worden ontwikkeld, dragen bij aan informatieveiligheid.Denk aan het nieuwe stelsel voor identificatie en authenticatie voorzorgprofessionals: dé nieuwe zorgidentiteit, afgekort Dezi27. Hiermeekunnen zorgprofessionals straks kiezen tussen verschillende inlogmid-delen op het hoogste betrouwbaarheidsniveau. Dit betekent beterebescherming van cliëntgegevens. Inloggen via Dezi wordt de uniformestandaard voor het raadplegen en uitwisselen van cliëntgegevens in hethele zorgveld. Verder horen hier ook afspraken over autorisatie bij: wiemag welke gegevens gebruiken? Dit maakt de toegang tot deze gegevensveiliger.Landelijk dekkend netwerk (LDN)Vertrouwen is een van de uitgangspunten van het landelijk dekkendnetwerk (LDN) – waaraan VWS werkt om de huidige versnippering van hetzorginformatielandschap tegen te gaan. Het LDN is een overkoepelendeterm waarover mijn voorganger uw Kamer heeft geïnformeerd28. Om datvertrouwen te borgen worden er technische, organisatorische enjuridische afspraken gemaakt. Die afspraken moeten burgers en zorgver-leners vertrouwen geven in het veilige en verantwoorde gebruik vangezondheidsgegevens. In alle stappen die richting een landelijk dekkendnetwerk worden gezet, geldt daarom onder andere het uitgangspunt vanprivacy en security by design. Dit houdt in dat privacy en gegevensbevei-liging al bij de ontwikkeling van een functionaliteit worden meegenomenin het ontwerp.3. Ambities voor informatiebeveiliging in het zorgveld Gezien het benoemde dreigingsbeeld, de veranderde geopolitieke situatieen de naleving van NEN 7510 die te wensen overlaat, vind ik het noodza-kelijk het cybersecuritybeleid voor de zorgsector te intensiveren.26Verordening (EU) 2024/2847 van het Europees Parlement en de Raad van 23 oktober 2024betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale elementen27https://www.dezi.nl/28Kamerstukken II 2024/25, 27 529, nr. 331Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3539 3.1 Gedragsverandering bij zorgveld 3.1.1 Focus op informatiebeveiliging kleine zorgaanbieder Het netwerk van verbonden systemen, dat er met het landelijk dekkendnetwerk (LDN) moet komen, is zo sterk als de zwakste schakel. Daarbijspeelt mee dat kleinere zorgaanbieders vaker moeite hebben met hetvoldoen aan de NEN normen dan bij de meeste grotere zorgaanbieders.Met name de omvang van de norm en het gebrek aan capaciteit spelenhier een rol. Dit neemt echter niet weg dat de informatieveiligheid ook bijde kleinere zorgaanbieder omhoog moet.De IGJ ontwikkelt nieuwe toezichtsmethoden waarin ook rekening wordtgehouden met belemmerende factoren. Ik zal de IGJ hierin ondersteunenen in 2026 meer focussen op de informatiebeveiliging van de kleinezorgaanbieders. Ik ga onder andere een verkenning doen naar het centraalen uniform beschikbaar maken van hulpmiddelen voor informatiebevei-liging, zodat deze makkelijker vindbaar zijn voor de sector. Daarnaaststimuleer ik samenwerking tussen de verschillende stakeholders zoalskoepels, branches, veiligheidsregio’s en (lokale) samenwerkingsver-banden. Hierbij is het belangrijk dat verschillende zorgsectoren van elkaarleren en dat best practices uitgewisseld worden.Tot slot voer ik een pilot uit met een periodieke monitor die de volwas-senheid van zorginstellingen meet en zo inzicht geeft in de stand van deinformatiebeveiliging in de sector. Ik verwacht hierdoor duidelijk te krijgenwelke onderdelen achterblijven, zodat ik mijn beleid daarop kanaanpassen.3.1.2 EU Health Action Plan Cybersecurity Afgelopen januari heeft de Europese Commissie een EU-actieplangepresenteerd om de cyberveiligheid van ziekenhuizen en (kleine)zorginstellingen te verbeteren.29 De zorg heeft hoge prioriteit omdat ingeen andere kritieke sector in de EU zoveel incidenten worden gemeld.De financiële gevolgenNa de publicatie van het actieplan is een Kabinetsbrede reactieopgesteld.30 In mei gaf mijn voorganger antwoord op de vragen over ditBNC-fiche31, 32. In deze antwoorden zegde zij toe terug te komen op definanciële gevolgen van het actieplan.Het NCC-NL (Nederlands Cybersecurity Coördinatiecentrum) liet mijweten dat de financiering van het actieplan uit verschillende financierings-stromen zal komen:•€ 30 miljoen via Digital Europe aan subsidies voor EU-projecten diecybersecurity in de zorg versterken. Deze subsidie kan aangevraagdworden door regionale of nationale clusters van ziekenhuizen enzorgaanbieders bestaande uit kleine, middelgrote of grote organisa-ties.29European Action Plan on the Cybersecurity Hospitals and Health providers (EuropeseCommissie), https://digital-strategy.ec.europa.eu/en/library/european-action-plan-cybersecurity-hospitals-and-healthcare-providers (15 januari 2025)30Kamerstukken II 2024/25, 22 112, nr. 400031De afkorting BNC staat voor Beoordeling Nieuwe Commissievoorstellen. In de BNC-fichesgeeft de regering een eerste oordeel over de voorstellen van de Europese Commissie.32Kamerstukken II 2024/25, 22 112, nr. 4056Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35310 •€ 6 miljoen vanuit het Digital Europe programma voor het Cybersecu-rity Agentschap ENISA via een bijdrageovereenkomst.•Prioritaire inzet van paraatheidsacties en de cyber reserve via de CyberSolidarity Act voor de zorgsector. Dit gaat om € 36 miljoen en is nietuitsluitend beschikbaar ten behoeve van de sector zorg.Tot midden juli 2025 konden stakeholders uit het zorgveld tijdens een doorde Europese Commissie georganiseerde publieke consultatie reageren ophet actieplan. Het doel hiervan was het ophalen van ideeën voor effectieveimplementatie van de voorgestelde acties in het plan. Een cijfermatigoverzicht van de resultaten is door de Europese Commissie gedeeld.33 Opbasis van deze resultaten wordt eind 2025 een bijgewerkt actieplanopgeleverd. Ik zal het Nederlandse zorgveld via de koepels informerenover de voortgang en mogelijkheden van het actieplan.3.2 Inspelen op gewijzigd dreigingsbeeld en technologischeontwikkelingen 3.2.1 Digitale autonomie Gezien de huidige geopolitieke situatie roep ik de sector op om in hunrisicoafwegingen de afhankelijkheid van leveranciers mee te nemen.Afhankelijkheid van leveranciers, binnen en buiten Europa kan risico’s metzich meebrengen. De continuïteit van zorg moet altijd zeker gesteld zijn.Zorgverlening is vaak kritieke dienstverlening, die niet een paar weken kanwachten. Het is dan ook belangrijk om na te denken over eenexit-strategie. Ik ben mij ervan bewust dat zorgaanbieders niet gemak-kelijk kunnen overstappen naar een andere leverancier, maar decomplexiteit kan geen argument zijn hier niet expliciet bij stil te staan.Ketenverantwoordelijkheid al in wetgeving vastgelegdIn onze nationale wettelijke norm voor informatiebeveiliging in de zorg,NEN 7510, is al benoemd dat het verplicht is om een risicobeoordeling34uit te voeren, en digitale afhankelijkheden moeten daar een onderdeel vanzijn.Daarnaast verplicht de Cyberbeveiligingswet (Cbw) organisaties omhun leveranciersketen in kaart te brengen, en om aan de leveranciers indie keten informatiebeveiligingsnormen te stellen.Geen dwingend kader voor inzet specifieke technologieDe Cbw, en NEN 7510, 7512 en 7513 zijn (dwingende) wet- en regelgeving,maar voor de inzet van specifieke technologie kan en wil ik geendwingend kader aan de sector voorschrijven. Aangezien de zorgaanbiederin de eerste plaats zelf verantwoordelijk is voor zijn informatieveiligheid,zal die ook zelf de afwegingen moeten maken, passend bij de eigencontext.Bijzondere aandacht in het kader van digitale autonomie verdient derisicoanalyse bij de inzet van cloud-toepassingen, omdat die vaak zorgtvoor een grotere afhankelijkheid van leveranciers.33Factual summary report: Targeted consultation on the Action Plan on the cybersecurity ofhospitals and healthcare providers, (Europese Commissie), https://digital-strategy.ec.europa.eu/en/library/factual-summary-report-targeted-consultation-action-plan-cybersecurity-hospitals-and-healthcare, 12 september 202534NEN 7510:2024, Informatiebeveiliging in de zorg, artikel 6.1.2.Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35311 3.2.2 De cloud Mijn collega’s van Economische Zaken (EZ) en Binnenlandse Zaken enKoningsrelaties (BZK) hebben recent in een Kamerbrief een reactiegegeven op de initiatiefnota «Wolken aan de Horizon» van TweedeKamerleden Six Dijkstra en Kathmann.35 De risico’s van toenemendeafhankelijkheid van clouddiensten worden herkend. In de brief istoegezegd het cloudbeleid te herzien en daarbij ook de uitkomsten vanonderzoeken van de Auditdienst Rijk (ADR) en de Algemene Rekenkamer(AR) mee te nemen. De Rijksoverheid is van plan om het Rijkscloudbeleidaan te passen aan de recente geopolitieke ontwikkelingen. Het onderwerp«de cloud» is ook meegenomen in de Nederlandse Digitaliseringsstra-tegie.36 Ook in Europees verband wordt er nagedacht over een Europeesantwoord op de afhankelijkheid van niet Europese aanbieders vancloudtoepassingen.Ook voor de zorgsector herken ik naast de voordelen en kansen, derisico’s van cloudgebruik. Het is essentieel dat zorgaanbieders de voor- ennadelen van cloudoplossingen afwegen en de juiste maatregelen nemen.Waar cloudtoepassingen in worden gezet of al ingezet zijn, adviseer ik omdaarvoor het Implementatiekader risicoafweging cloudgebruik37 voor deRijksoverheid te gebruiken. Dit kader is zo generiek dat dit ook voor dezorgsector bruikbaar is. Ik zal de komende maanden met de sectorbespreken of dit instrument voldoende bruikbaar is voor de zorg en zonodig een zorg specifiek afwegingskader ontwikkelen.3.2.3 Postquantumcryptografie Cryptografie is een veelgebruikte wiskundige versleuteling van data diealleen ontsleuteld kan worden door iemand de sleutel heeft. Deze maniervan beveiliging zorgt ervoor dat bij een hack de data onleesbaar is.Op dit moment wordt wereldwijd gewerkt aan de ontwikkeling vanquantumcomputers, die op een volledig andere manier tot hun reken-kracht komen dan de computers die we nu kennen. Ondanks dat nog nietzeker is wanneer de eerste quantumcomputers in de praktijk gebruiktkunnen worden, moet de zorgsector zich voorbereiden op postquantum-cryptografie.Voorsorteren op toekomstige risico’sZodra quantumcomputers hun enorme rekenkracht kunnen inzetten, zijnbestaande versleutelingstechnieken te kraken. Daarom is het belangrijkoog te hebben voor:•Het risico’s van «nu stelen, straks ontsleutelen». Dit houdt in dataanvallers data nu al kunnen stelen en bewaren, om die later teontsleutelen als quantumcomputers de huidige encryptie kunnenkraken. Dit risico maakt het belangrijk om nu al vast te stellen welkeinformatie over een aantal jaar nog vertrouwelijk moet zijn en welkeaanvullende maatregelen nu nodig zijn om die informatie te bescher-men.•De aanwezigheid van medische apparatuur met een lange levensduur,die gebruikmaakt van encryptie die tijdens de levensduur misschienontcijferbaar wordt. Bij de aankoop van zulke apparatuur moet35Kamerstukken II 2024/25, 36 574, nr. 336https://www.digitaleoverheid.nl/nederlandse-digitaliseringsstrategie-nds/37Implementatiekader risicoafweging cloudgebruik, versie 1.1, (CIO Rijk – InterdepartementaleCommissie Bedrijfsvoering Rijksdienst), https://open.overheid.nl/documenten/ronl-734f947ec6465e4f75a56bed82fe64a1135f71a8/pdf (5 januari 2023)Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35312 rekening worden gehouden met de mogelijkheid om de encryptie opdie apparatuur te zijner tijd aan te passen.Om goed en op tijd met de risico’s van quantumcomputers om te gaan,zijn er al hulpmiddelen beschikbaar vanuit de Rijksoverheid.38 Omdat het(voorlopig) om generieke problematiek gaat, zijn er geen zorg specifiekehulpmiddelen nodig.3.2.4 End-to-end encryptie Mijn voorganger heeft uw Kamer toegezegd terug te komen op hetonderwerp end-to-end-encryptie (E2E-encryptie) – waarbij alleen dezender en de ontvanger van een bericht dat bericht kunnen inzien.Uit onderzoek39 blijkt dat dit om technische, organisatorische en financiëleredenen voor zorgaanbieders niet makkelijk te implementeren is. De eisenvan de NEN-normen voor de zorgsector op grond van de Wet elektro-nische gegevensuitwisseling in de zorg (Wegiz) zijn hier van toepassing.Om aan de eisen van de NEN normen te voldoen is E2E-encryptienoodzakelijk. De noodzakelijke vertrouwelijkheid van gezondheidsge-gevens en continuïteit van zorg maken dat hier geen concessies aangedaan kunnen worden. Dit is ook in lijn met de richtlijnen van deAutoriteit Persoonsgegevens.Bij de ontwikkeling van het landelijk dekkend netwerk werk ik daarom aande implementatie van E2E-encryptie. In combinatie met generieke functieswordt technisch afgedwongen dat data alleen versleuteld verstuurdkunnen worden en dat middels certificaten er zekerheid is over deafzender én ontvanger.In het traject om tot een geactualiseerde NEN 7516-norm voor veiligmailen en chatten te komen is dit ook het geldende kader.Daar waar de eis van E2E-encryptie wijzigingen vraagt in de IT van dezorgaanbieders, dring ik erop aan dat zij die zo spoedig mogelijk imple-menteren en hier een plan van aanpak voor opstellen. Zorginstellingenmoeten deze eisen ook stellen aan hun leveranciers.3.2.5 Privacy Enhancing Technologies en Multi Party Computation (MPC) Privacy Enhancing Technologies (PET) zijn verschillende technieken ininformatiesystemen om de bescherming van persoonsgegevens teondersteunen. Multi Party Computation (MPC), Polymorfe encryptie (PEP),Zero-knowledge proofs en pseudonimiseren zijn hier voorbeelden van.Daar waar nuttig, doelmatig en mogelijk pas ik deze technieken toe bij hetontwerp van het gezondheidsinformatiestelsel. Ik roep zorginstellingen opom bij gegevensverwerkingen te beoordelen wat de toegevoegde waardevan deze technieken is in een specifieke situatie. In reactie op de motievan Kamerlid De Korte over de opslag en benadering van BSN-gegevensen gevoelige informatie40 informeer ik u dan ook dat dit niet aan mij is,maar aan het zorgveld. Het is belangrijk om mee te wegen dat een aantalPET’s nog geen erkende (open) industriestandaard zijn.38Digitale Overheid, Quantumveilige cryptografie, https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/quantumveilige-cryptografie/39Rapportage onderzoek naar de gevolgen van een verplichting tot E2E-beveiliging (PwC inopdracht van VWS) https://www.tweedekamer.nl/downloads/document?id=2023D40039.(30 juni 2023)40Kamerstuk 24 170, nr. 374Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35313 3.2.6 OpenKAT Binnen mijn ministerie is de afgelopen jaren een opensource-toolontwikkeld die kwetsbaarheden in IT-systemen scant, analyseert enmonitort: OpenKAT. Omdat de broncode openbaar is, kan de tool ook doorandere (overheids-)organisaties worden gebruikt. Z-CERT was nauwbetrokken bij de ontwikkeling van de tool.Ik ben nu bezig om OpenKAT vanaf eind 2025 op zo’n manier los te latendat het product duurzaam en structureel kan worden voorgezet, in eenuitbreidend gebruikersveld. Door de opensource-licentie kunnen allehuidige en nieuwe gebruikers OpenKAT blijven gebruiken.Tot slotVoor burgers en zorgverleners is het cruciaal dat de juiste medischegegevens op tijd en volledig beschikbaar zijn, zodat burgers optimale zorgkunnen krijgen. Een goede beveiliging en zorgvuldig gebruik van data isvoorwaardelijk voor het vertrouwen van burgers en zorgverleners in dezetechnologieën. Burgers zijn daardoor eerder geneigd hun gegevensbeschikbaar te stellen aan hun eigen zorgverleners en bijvoorbeeld voorwetenschappelijk onderzoek.In deze brief heb ik uiteengezet wat ik doe om de informatiebeveiliging opeen niveau te brengen waarop de zorgsector voldoende weerbaar is tegende huidige dreigingen. Ik kan dat niet alleen, maar doe dit samen met dezorgsector.Zorgaanbieders moeten nu de handschoen oppakken – ze moeten ervoorzorgen dat ze voldoen aan de wettelijke kaders en actief sturen opinformatieveilig gedrag van medewerkers. De veranderende omgevingvraagt om intensivering. Verder is het essentieel dat zij afspraken makenmet hun leveranciers en dat die leveranciers voldoen aan de aan hengestelde normen.De Minister van Volksgezondheid, Welzijn en Sport,J.A. BruijnTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 35314