De invoering van de nieuwe Cyberbeveiligingswet (Cbw) is uitgesteld tot het tweede kwartaal van 2026. Voor veel zorgorganisaties voelt dat misschien alsof er een last van hun schouders valt. Het geeft je meer tijd om je voor te bereiden, want er is al zoveel regeldruk. Maar laten we eerlijk zijn: cybercriminelen nemen geen pauze. En uitstel van wetgeving mag geen reden zijn om noodzakelijke verbeteringen op het gebied van digitale veiligheid op de lange baan te schuiven.
Cyberdreigingen wachten niet
De zorgsector is een aantrekkelijk doelwit voor cyberaanvallen. Denk aan ransomware-aanvallen op ziekenhuizen, datalekken bij GGZ-instellingen of verstoringen in systemen voor medicatie-uitgifte. De impact is niet alleen financieel, maar raakt direct de patiëntveiligheid. Het feit dat de wet later komt, verandert niets aan de urgentie van deze dreigingen.
Gebruik het uitstel als voorsprong
De nieuwe wet verplicht zorgorganisaties straks om onder meer risicoanalyses te maken, incidenten te melden en andere passende beveiligingsmaatregelen te nemen. Door nu te verbeteren ben je nu beter beveiligd en eerder 'compliant'. Zie het uitstel van de wetgeving daarom als een kans om op eigen tempo te bouwen aan een solide beveiligingsorganisatie.
Kortom: het uitstel van de wet is geen vrijbrief om stil te blijven zitten. De zorgsector heeft een bijzondere verantwoordelijkheid. Het gaat immers niet alleen erom de systemen draaiende te houden, maar ook om de gegevens en veiligheid van patiënten en cliënten te beschermen. Laten we die verantwoordelijkheid serieus nemen, wet of geen wet.
Alleen te overtuigen door wet- en regelgeving?
In het Cyberbeveiligingsbesluit dat bij de Cyberbeveiligingswet hoort, staat dat de NEN 7510-normen voor informatiebeveiliging in de zorg helpt om invulling te geven aan de zorgplicht. Diezelfde NEN 7510-normen zijn al verankerd in wet- en regelgeving:
- de IGJ gebruikt de NEN 7510 al bij toetsingen rondom digitale zorg.
- de Autoriteit Persoonsgegevens beschouwt het voldoen aan de NEN 7510 als ‘passende maatregelen’ voor zorgorganisaties in het kader van de AVG.
- In de Wabvpz (Besluit elektronische gegevensverwerking in de zorg) staat de NEN 7510 als verplichting voor zorgaanbieders om informatie passend te beveiligen.
Ga dus op basis van andere wet- en regelgeving dan de Cbw alsnog aan de slag met de NEN 7510. Je wordt er beter van!