Basis op orde in de zorg: navigeren door NIS2 en de Cyberbeveiligingswet

• goede back-up voorzieningen  
• een stabiel WiFi-netwerk
• een goed werkende interne netwerk infrastructuur
• geen verouderde storage infrastructuur

Ook NIS2 en de CBW(Cyberbeveiligingswet) gaan een grote rol spelen bij de basis op orde door de focus op de zorgplicht voor IT-infrastructuur. Welke risico’s loop je als je niet investeert in basis op orde? 

Hoe zit het ook alweer met de NIS2 en de Cyberbeveiligingswet?

De Network and Information Security Directive (NIS2-richtlijn) is eind 2022 vastgesteld door de Europese Unie. De NIS2-richtlijn richt zich op risico’s die netwerk- en informatiesystemen bedreigen, zoals cyberbeveiligingsrisico’s. De komst van de richtlijn moet bijdragen aan meer Europese harmonisatie en een hoger niveau van cybersecurity bij zorgorganisaties. Nederland vertaalt dit naar de Cyberbeveiligingswet en diverse Algemene Maatregelen van Bestuur.  

De NIS2-richtlijn schrijft een viertal verplichtingen voor: 

• Zorgplicht: organisaties zijn verplicht een risicoanalyse en beoordeling te doen en waar nodig passende maatregelen nemen om hun diensten en informatiesystemen zoveel mogelijk te beschermen 

• Meldplicht: Incidenten moeten binnen 24 uur gemeld worden bij de toezichthouder en binnen 72 uur een update met een rapport na 1 maand. 

• Registratieplicht: organisaties die vallen onder de NIS2-richtlijn, moeten zich verplicht melden.  

• Toezicht: Organisaties die vallen onder de richtlijn zullen ook onder toezicht komen te staan, waarbij de naleving van de verplichtingen uit de richtlijn wordt gecontroleerd in de vorm van audits. 

Vooruit met de technologie

Het voelt soms alsof de technologie sneller loopt dan wij kunnen bijbenen. Van quantum-proof ICT-infrastructuur, wifi die met AI wordt geoptimaliseerd tot public cloud ontwikkelingen zoals sovereign cloud – de mogelijkheden zijn eindeloos. Deze innovaties bieden fantastische kansen om onze zorgsystemen te versterken en klaar te maken voor de toekomst. Hierdoor verwachten we dat de invloed van NIS2 en CBW in relatie tot deze ontwikkelingen toeneemt. Je wilt toekomstbestendige investeringen doen en tegelijkertijd werken aan de continuïteit, gebruikersoptimalisatie en toegankelijkheid van jouw IT voor de zorg. De vraag is: hoe kwetsbaar ben je als de IT-infrastructuur basis niet op orde is? 

Er zijn diverse type risicogroepen. bijv. Bij een internationaal erkend model voor risicomanagement genaamd “MAPGOOD” worden bijvoorbeeld Mens – Organisatie – Apparatuur – Programmatuur – Gegevens – Omgeving – Diensten gebruikt. 

Apparatuur-, Programmateur-, en Gegevensrisico’s 

• Verouderde IT-systemen kunnen leiden tot storingen, datalekken en ook minder mogelijkheid tot interoperabiliteit, door het niet kunnen werken met FHIR of openEHR.  

• Bij gebruik van verouderde IT-systemen kunnen ook prestatieproblemen toenemen. 

• Dataverlies door storingen bij verouderde opslagmedia zowel storage als back-up. 

• IT-beveiligingsrisico’s door mogelijke beperkingen vanuit patches en beveiligingsupdates van verouderde apparatuur  

• Extra risicobeperkende maatregelen zijn mogelijk noodzakelijk om verouderde apparatuur te isoleren 

• Toename van incompatibiliteit in relatie tot nieuwe applicaties of uitbreidingen in relatie tot capaciteitsmanagement 

• Schaalbaarheid en onderhoudsproblemen door beperkte reserveonderdelen en mogelijke schaarste rondom kennis en expertise 

Dienstenrisico’s 

• Lagere kwaliteit van de te leveren zorg door storingen en dataverlies en ontbreken van data bij leveren van zorg bijv. relevante patiënten data. 

• Datalekken kunnen leiden tot het misbruik van gevoelige patiëntgegevens, zoals medische dossiers beïnvloeden door foutieve medicatie toe te voegen. 

• Patiëntgegevens die niet gedeeld kunnen worden, kunnen ervoor zorgen dat er fouten in de behandeling ontstaan, of dat niet de juiste zorg wordt gegeven in de keten of tussen afdelingen bij overdracht.  

• Als medische apparatuur niet bediend kan worden door verstoringen, kan dit leiden tot gevaar voor patiënten en/of zorgverleners aangezien er geen passende zorg geleverd kan worden.  

Organisatie en omgevingsrisico’s 

• Storingen in de IT-systemen kunnen leiden tot vertragingen in de behandeling van patiënten of zelfs tot het afbreken van behandelingen, hierdoor kan geen zorg gedeclareerd worden en wordt omzet gemist. 

• Hogere kosten voor onderhoud van verouderde apparatuur kunnen leiden tot financiële problemen voor de zorginstelling. 

• Imagoschade door continuïteitsproblemen wat ervoor zorgt dat minder mensen zorg willen bij jouw organisatie 

Conclusie: omarm basis op orde

Investeren in een solide IT-infrastructuur is geen luxe, het is een noodzaak. Ook de medische en financiële risico’s liegen er niet om. Het helpt ons niet alleen om te voldoen aan regelgeving zoals NIS2 en CBW, maar verzekert ook dat we passende zorg kunnen blijven bieden. Een up-to-date IT-infrastructuur helpt met het kloppende hart van een zorginstelling, dus laten we de digitale zorginfrastructuur de aandacht geven die het verdient.