De Cyberbeveiligingswet: wat het bestuur moet vaststellen.
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Voor veel zorgorganisaties verandert vooral de rol van het bestuur: dat keurt de maatregelen zelf goed en houdt toezicht op de uitvoering. Dit artikel zet op een rij wat de wet vraagt, met de vindplaats erbij.
Voor wie de wet geldt
Een zorgaanbieder valt eronder vanaf 50 fte, of als de jaaromzet én het balanstotaal allebei boven de 10 miljoen euro liggen. Dan is de organisatie een belangrijke entiteit. Boven de drempel voor middelgrote ondernemingen is ze essentieel. De wet regelt de indeling in art. 8 en art. 12; de organisatie stelt zelf vast waar zij onder valt.
Het toezicht in de zorg ligt bij de Inspectie Gezondheidszorg en Jeugd (Cyberbeveiligingsregeling voor de zorg, art. 3.2). Z-CERT is sinds 1 oktober 2026 formeel het CSIRT voor de zorg. Een organisatie die onder de wet valt, registreert zich bij het NCSC.
Wat het bestuur zelf moet doen
"De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur" (Cbw art. 24 lid 1; NIS2 art. 20 lid 1). Het bestuur keurt dus niet alleen een beleidsstuk goed, het houdt ook toezicht op de uitvoering. Daarnaast volgen bestuurders een opleiding, en heeft ieder lid van het bestuur een certificaat waaruit de deelname blijkt (Cbw art. 24 lid 2 tot en met 5).
Leg daarom vast wat het bestuur heeft gezien en goedgekeurd, en wanneer. Een verwijzing naar een document dat later verandert, laat achteraf niet zien wat er is besloten.
De tien onderwerpen van de zorgplicht
Art. 21 lid 2 van de richtlijn noemt tien onderwerpen die de maatregelen in ieder geval omvatten:
- a. beleid voor risicoanalyse en de beveiliging van informatiesystemen
- b. het behandelen van incidenten
- c. bedrijfscontinuïteit, zoals back-ups en noodplannen, en crisisbeheer
- d. de beveiliging van de toeleveringsketen, ook in de relatie met uw directe leveranciers
- e. beveiliging bij het aanschaffen, ontwikkelen en onderhouden van systemen, ook het omgaan met kwetsbaarheden
- f. nagaan of de maatregelen werken
- g. basishygiëne en opleiding op het gebied van cyberbeveiliging
- h. het gebruik van cryptografie en, waar dat past, versleuteling
- i. beveiliging rond personeel, toegang en de middelen die u beheert
- j. waar dat past: inloggen met meer dan één factor, en beveiligde communicatie
Wie al met NEN 7510 werkt, herkent veel van deze onderwerpen. Toch dekt een NEN 7510-certificaat de goedkeuring door het bestuur en de meldplicht niet vanzelf.
Uw leveranciers vallen onder uw zorgplicht
Onderwerp d gaat over de toeleveringsketen. Volgens Z-CERT zijn ransomware en aanvallen via leveranciers de grootste dreigingen voor de zorg (Cybersecuritybeeld Zorg 2025). Voor het bestuur betekent dat: weet welke leveranciers kritiek zijn, en beoordeel ze. Vragen die u uw softwareleverancier kunt stellen:
- Waar staan onze gegevens, en bij welke partijen (subverwerkers)?
- Welke certificaten hebt u, en wanneer was de laatste externe pentest?
- Hoe snel hoort u van ons, en wij van u, bij een incident?
- Wat gebeurt er met onze gegevens als we vertrekken?
Onderwerp e gaat over het onderhoud van systemen. Wat dat in de praktijk betekent, laat het PHP-lek van oktober 2026 zien: software heeft een houdbaarheidsdatum.
Wanneer u een incident meldt
Een incident is meldplichtig als het significant is. Voor de zorg staat in art. 2.2 van de Cyberbeveiligingsregeling voor de zorg wanneer dat zo is, bijvoorbeeld als een kritisch bedrijfsproces langer dan vier uur gedeeltelijk of geheel stil ligt. Ook een incident dat zulke gevolgen kán hebben, telt mee. Melden gaat in drie stappen (NIS2 art. 23):
- Binnen 24 uur: een vroege waarschuwing.
- Binnen 72 uur: de melding van het incident.
- Binnen een maand: een eindrapport.
Wat Curanta hierin doet
Curanta helpt het bestuur de Cbw-cyclus bij te houden. Aan de wet voldoen doet uw organisatie zelf.
- De tien onderwerpen staan op één plek, met stand, bewijs en eigenaar. Het NEN 7510-scherm leest dezelfde registratie.
- Het bestuur stelt de maatregelen vast. Die vaststelling ligt daarna vast, met opdrachten met een eigenaar en een datum.
- Het leveranciersregister houdt per leverancier de beoordeling bij. Curanta staat er zelf al in, ook met wat er bij ons nog niet is: een externe pentest en een NEN 7510-certificaat.
- Incidenten registreert u met de drie meldtermijnen. Melden bij het CSIRT doet uw organisatie zelf.
- De rapportage voor de bestuursvergadering is een pdf, zonder score.
Wat er per onderdeel geregeld is, staat in het Trust Centre.
Bronnen
- Cyberbeveiligingswet, BWBR0052872, art. 8, 12 en 24, geldend vanaf 15 augustus 2026, wetten.overheid.nl
- Richtlijn (EU) 2022/2555 (NIS2), art. 20, 21 en 23, eur-lex.europa.eu
- Cyberbeveiligingsregeling voor de zorg, Staatscourant 2026, 28763, art. 2.2 en 3.2, officielebekendmakingen.nl
- Rijksoverheid, "Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht", 15 augustus 2026, rijksoverheid.nl
- Data voor gezondheid (VWS), "Zorgsector en de Cyberbeveiligingswet", datavoorgezondheid.nl
- Data voor gezondheid, "Wijzigingsregeling Cyberbeveiligingswet gepubliceerd: Z-CERT aangewezen als CSIRT voor de zorg", 5 oktober 2026, datavoorgezondheid.nl
- Z-CERT, Cybersecuritybeeld Zorg 2025, 3 maart 2026
- NCSC, "Cyberbeveiligingswet (NIS2)", ncsc.nl
Ziet u een fout of mist u een bron? Mail info@curanta.nl; wij reageren binnen 1 werkdag en zetten een correctie met datum onder dit artikel.