Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Als zorgbestuurder ben je voortaan expliciet verantwoordelijk voor cyberrisicobeheersing. Veel bestuurders richten zich daarom allereerst op de zichtbare verplichtingen. Registreren bij het NCSC. Een training volgen. Het meldproces voor incidenten aanscherpen.
Allemaal belangrijk en nodig. Maar hiermee beantwoord je nog niet deze vraag, die ik veel belangrijker vind:
Kun jij als bestuurder beoordelen of jouw belangrijkste ICT-leveranciers de continuïteit en digitale weerbaarheid van jouw organisatie voldoende borgen?
En kun je je oordeel onderbouwen?
Hier zit bij de meeste kleinere zorgorganisaties een blinde vlek. Want op papier voldoen aan de wet is iets anders dan aantoonbaar in control zijn.
ICT uitbesteed. Risico opgelost?
Kleinere zorgorganisaties hebben vaak geen eigen ICT-specialisten. Voor het ECD, netwerkbeheer, de cloudomgeving, telefonie en personeelsplanning zijn zij afhankelijk van externe leveranciers.
Daar is op zichzelf niets mis mee. Je kunt niet alle kennis zelf in huis hebben.
Maar uitbesteden verandert niets aan jouw bestuurlijke verantwoordelijkheid. Bij zorgorganisaties die onder de Cbw vallen, moet het bestuur maatregelen voor het beheersen van cyberrisico’s goedkeuren en toezicht houden op de uitvoering. Ook de beveiliging van de leveranciersketen valt onder de zorgplicht.
Daar ontstaat een lastige situatie.
De leverancier beheert jouw systemen, adviseert over de beveiliging en vertelt je vervolgens dat alles goed is geregeld. Maar waarop baseer jij als bestuurder dat vertrouwen?
“Wij zijn gecertificeerd” is geen volledig antwoord
Leveranciers verwijzen vaak naar certificeringen, audits en beveiligingsstandaarden. Die informatie is relevant. Maar een certificaat vertelt niet automatisch wat er gebeurt wanneer jouw organisatie door een incident wordt geraakt.
- Wanneer word jij geïnformeerd?
- Welke informatie ontvang je?
- Hoe snel wordt een systeem hersteld?
- Wie helpt je om de gevolgen voor de zorgverlening vast te stellen?
- En welke rechten heb je als de leverancier zijn afspraken niet nakomt?
Een goed contract maakt een leverancier niet automatisch veilig. Het bepaalt wel welke informatie, zekerheid en invloed jouw organisatie heeft wanneer het misgaat.
Vijf vragen voor jouw belangrijkste ICT-contracten
Je hoeft geen ICT-specialist of jurist te zijn om de eerste controle uit te voeren. Pak de contracten van je belangrijkste ICT-leveranciers erbij en stel deze vijf vragen.
Is vastgelegd wanneer de leverancier jouw organisatie informeert? Staat er welke informatie je ontvangt en welke ondersteuning de leverancier biedt? “Zo snel mogelijk” klinkt geruststellend, maar geeft weinig houvast wanneer iedere minuut telt.
Zijn er concrete afspraken over back-ups, hersteltermijnen, uitwijkmogelijkheden en noodprocedures? Worden deze maatregelen ook getest? Zonder afgesproken hersteltijd kan een leverancier technisch gezien zijn best doen, terwijl een kritisch zorgproces dagen stilligt.
Veel ICT-leveranciers werken zelf met hostingbedrijven, softwarepartners en andere onderaannemers. Weet jij welke partijen toegang hebben tot jouw systemen of gegevens? En weet je wat er gebeurt wanneer juist zo’n ketenpartner uitvalt?
Krijg je actuele rapportages, auditinformatie en bewijs dat maatregelen zijn uitgevoerd? Of moet je afgaan op een presentatie en de mededeling dat alles op orde is?
Is duidelijk wie welke maatregel uitvoert, welke risico’s overblijven en wanneer deze opnieuw worden beoordeeld? Zonder eigenaar en controlemoment verandert een belangrijk actiepunt al snel in een goed voornemen.
Begin niet bij alle contracten
De hele contractenmap doorspitten klinkt grondig. Meestal levert het vooral veel werk en weinig overzicht op.
Mijn advies? Begin bij de twee of drie overeenkomsten die het meest bepalend zijn voor de continuïteit van jouw zorg. Denk aan het ECD, netwerkbeheer, de centrale cloudomgeving of een cruciaal planningssysteem.
Kijk daarbij naar drie criteria:
- Procesimpact: valt een belangrijk zorgproces stil als deze leverancier uitvalt?
- Datagevoeligheid: beheert of verwerkt deze leverancier gevoelige gegevens?
- Vervangbaarheid: kun je de dienstverlening bij problemen snel vervangen?
Scoort een leverancier op meerdere punten hoog? Dan verdient dat contract als eerste aandacht. Kun je de vijf vragen uit dit artikel niet concreet beantwoorden? Dan heb je geen nieuw beleidsdocument nodig. Dan moet je eerst weten wat er werkelijk is afgesproken.
Kom je er niet uit of ontbreken tijd en capaciteit? Als onafhankelijke ICT-regisseur voor de zorg ondersteunen wij je graag. Neem contact op en ontdek hoe wij je kunnen helpen.
Datum publicatie: 15 augustus 2026
Door: Lime Yellow, Raymon Busser