NIS2 is geen papieren exercitie. Het is een wettelijke verplichting die direct raakt aan hoe je IT-omgeving is ingericht — en voor zorginstellingen komt daar NEN 7510 nog bovenop. Veel organisaties weten dat ze iets moeten doen, maar niet wat. Dat is precies waar ik mee help.
Wat is NIS2 — kort samengevat
NIS2 (Network and Information Security Directive 2) is een Europese richtlijn die organisaties in kritieke sectoren verplicht om hun digitale weerbaarheid op orde te hebben. In Nederland is de richtlijn omgezet in nationale wetgeving.
Voor de zorg betekent dit: risicobeheer, toegangsbeveiliging, incidentmelding en aantoonbare maatregelen. Niet eenmalig, maar structureel en aantoonbaar.
Geldt NIS2 voor jouw organisatie?
Zorginstellingen vallen in de meeste gevallen onder de NIS2-scope. Denk aan:
- Ziekenhuizen, klinieken en diagnostische centra
- Huisartsenpraktijken met digitale patiëntdossiers
- Thuiszorgorganisaties en ggz-instellingen
- Toeleveranciers die kritische IT-diensten leveren aan zorg
Twijfel je of jouw organisatie eronder valt? In de meeste gevallen geldt: als je patiëntdata verwerkt of kritische zorgprocessen ondersteunt met IT, ben je in scope.
Wat moet je concreet regelen?
Risicobeheer
Identificeer je kritische systemen en data. Breng in kaart welke risico's er zijn en welke maatregelen je hebt genomen. Dit moet gedocumenteerd zijn — niet alleen in je hoofd.
Toegangsbeveiliging
Multi-factor authenticatie op alle systemen met toegang tot patiëntdata. Conditionele toegang via Entra ID of vergelijkbaar. Geen gedeelde accounts. Minimaal-privileges principe.
Incidentmelding
Je moet in staat zijn significante incidenten binnen 24 uur te melden bij de bevoegde autoriteit. Dat vereist monitoring, logging en een helder intern escalatiepad.
Leveranciersbeheersing
NIS2 kijkt ook naar je toeleveringsketen. Welke IT-leveranciers hebben toegang tot jouw systemen? Wat zijn hun security-afspraken? Dit moet contractueel zijn vastgelegd.
Continuïteit en herstel
Back-upbeleid, recovery-testen en een continuïteitsplan voor het geval systemen uitvallen. Niet eenmalig ingericht, maar periodiek getest.
NIS2 en NEN 7510 in de zorg
Voor zorginstellingen geldt NEN 7510 als de informatiebeveiligingnorm. NIS2 en NEN 7510 overlappen grotendeels — als je NEN 7510 serieus invult, kom je al een heel eind voor NIS2.
Het verschil: NIS2 legt meer nadruk op aantoonbaarheid en rapportage richting de toezichthouder. NEN 7510 is breder op informatiebeveiliging als geheel. Ik help organisaties beide trajecten gelijktijdig aanpakken — dat is efficiënter dan ze los te behandelen.
Weet je niet waar je begint?
Ik doe een quickscan van je huidige situatie en breng in kaart wat je al hebt, wat ontbreekt, en in welke volgorde je het aanpakt. Geen compliance-theater, maar een aanpak die past bij jouw omvang en middelen.
Gesprek plannen