Onlangs, op 15 augustus jl., zijn er twee belangrijke wetten in werking getreden die organisaties beter beschermen tegen cyberaanvallen en verstoringen. Het betreft de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). De nieuwe wetgeving zal in sommige gevallen ook consequenties hebben voor zorgaanbieders. De gevolgen voor specifiek de zorgsector worden hieronder besproken.
De Cbw is het gevolg van de implementatie van de zogenaamde Europese NIS2-richtlijn. Deze richtlijn heeft tot doel om een hoog gemeenschappelijk niveau van cyberveiligheid in de Europese Unie te bereiken. De wet is van toepassing op zorgaanbieders. Afhankelijk van het aantal medewerkers, de jaaromzet en het balanstotaal wordt een zorgaanbieder aangemerkt als essentiële dan wel belangrijke entiteit. Essentiële entiteiten (≥ 250 medewerkers, ≥ €50 miljoen omzet én ≥ €43 miljoen balanstotaal) staan onder proactief toezicht. Voor kleinere organisaties aangemerkt als belangrijke entiteit (≥ 50 medewerkers of ≥ €10 miljoen omzet/balanstotaal) geldt dat zij vallen onder reactief toezicht. De wetgeving is niet alleen van toepassing op de ziekenhuizen, maar mogelijk ook op kleinere organisaties variërend van GGZ-instellingen tot thuiszorgorganisaties.
Zorgaanbieders zijn gehouden passende maatregelen te nemen om de risico’s voor beveiliging van de netwerk- en informatiesystemen die worden gebruik in het kader van de zorgverlening te beheersen. Deze maatregelen omvatten onder andere dat er beleid is inzake risicoanalyse en beveiliging van de informatiesystemen, maar ook dat er beveiligingsaspecten zijn ten aanzien van het personeel. De mate waarin zorgaanbieders maatregelen moeten treffen is afhankelijk van de risico’s waaraan zij worden blootgesteld, de omvang van de zorgaanbieder en de kans dat zich incidenten voordoen en alsmede de ernst ervan.
Daarnaast geldt ook een meldplicht voor significante incidenten. Er is sprake van een incident wanneer een gebeurtenis de integriteit of vertrouwelijkheid van gegevens die beschikbaar zijn via het netwerk- en informatiesysteem van de zorgaanbieder, in gevaar brengt. Een incident is significant indien het grote gevolgen heeft voor de zorgverlening, financiële schade veroorzaakt of anderen merkbaar (im)materieel schaadt.
Het bestuur van de zorgaanbieder moet de maatregelen goedkeuren. Op grond van de Cbw beschikt ieder bestuurslid over kennis en vaardigheden om cyberrisico’s en hun impact op de dienstverlening te beoordelen. Bestuurders kunnen zelfs persoonlijk aansprakelijk worden gesteld (bestuurdersaansprakelijkheid) bij ernstige nalatigheid omtrent de te nemen maatregelen, zeker als door het ontbreken van deugdelijke maatregelen er een cyberincident is ontstaan.
Wet weerbaarheid kritieke entiteiten [2]
Tegelijkertijd loopt ook de implementatie van de Critical Entities Resilience Directive (CER-richtlijn), die is geïmplementeerd in de Wet weerbaarheid kritieke entiteiten (Wwke). Onder deze wet zijn bepaalde aanbieders van essentiële diensten, waaronder de instandhouding van de volksgezondheid, aangewezen als kritieke entiteiten. De wet beoogt deze entiteiten weerbaar te maken tegen verschillende soorten risico’s. Dit gaat om zowel door de natuur als door de mens veroorzaakte risico’s die de verlening van een essentiële dienst kunnen verstoren. Denk aan natuurrampen en noodsituaties op het gebied van volksgezondheid.
Ook voor deze organisaties geldt een zorgplicht; organisaties moeten een risicobeoordeling uitvoeren en passende technische, beveiligings- en organisatorische maatregelen nemen om voor hun weerbaarheid te zorgen. Incidenten die de essentiële dienst (kunnen) verstoren moeten worden gemeld. De Wwke zal naar verwachting voor slechts een beperkt aantal zorgorganisaties gelden.
Gevolgen voor de zorgsector
Nu beide wetten in werking zijn getreden, is het van belang dat zorgaanbieders voldoen aan de nieuwe wettelijke verplichtingen op het gebied van (cyber)veiligheid. Door structureel aandacht te besteden aan de risico’s en kwetsbaarheden binnen uw zorgorganisatie kunnen incidenten zoveel mogelijk worden voorkomen. Ook als u strikt genomen niet onder de reikwijdte van de genoemde wetten valt, is het goed om maatregelen te treffen.
Vragen?
Heeft u vragen over wat deze wetten voor uw organisatie betekenen, neemt u gerust contact op met ons gezondheidsrecht en/of privacy-recht.[1] Regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet) | Tweede Kamer der Staten-Generaal
Heeft u vragen?
Neem contact met ons op
Neem contact met ons op
