Uw ECD is beveiligd. Maar kunt u ook doorwerken als het morgen uitvalt?
Beveiliging verkleint de kans dat het misgaat. Continuïteit bepaalt wat er gebeurt als het tóch misgaat. Voor een zorgorganisatie is dat de vraag die telt. Weet het team van de avonddienst nog bij wie het moet zijn, en welke medicatie die cliënt krijgt?
Uitval heeft vele oorzaken
In oktober 2026 werd een ernstig lek in PHP bekend. Wie het niet meteen kon dichten, kreeg van CERT-EU en het Amerikaanse CISA hetzelfde advies. Scherm de toepassing af van het internet, of haal haar offline. Voor een cliëntdossier betekent dat werken zonder systeem. Wat er toen gebeurde, staat in ons artikel over de houdbaarheid van software.
Een lek is maar één oorzaak. Het kan ook een storing bij de leverancier zijn, een update die misgaat, uitval van internet of stroom, of gijzelsoftware. Het gevolg is steeds hetzelfde. Het dossier is een tijd niet bereikbaar, en de zorg gaat door.
Wat u in de eerste uren nodig heeft
Bij uitval zijn er een paar dingen die een team meteen moet weten:
- welke cliënten vandaag zorg krijgen, en waar: het adres, of de kamer en het bed;
- welke medicatie zij krijgen, en wanneer;
- waarschuwingen, allergieën en wilsverklaringen, zoals een niet-reanimerenverklaring;
- wie u belt: de contactpersoon van de cliënt, en de leverancier.
Na de storing komt de tweede vraag. Hoe komt wat op papier gebeurde terug in het dossier, met het juiste tijdstip? Ook dat hoort in het plan.
Wat de wet en de norm vragen
Valt uw organisatie onder de Cyberbeveiligingswet, dan hoort continuïteit bij de zorgplicht. De Europese richtlijn noemt letterlijk "bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer" (NIS2, art. 21 lid 2, onder c). Het bestuur keurt die maatregelen goed. Voor wie de wet geldt, staat in ons artikel over de Cyberbeveiligingswet.
Ook de NEN 7510 vraagt het. De norm wil dat u de beveiliging tijdens een verstoring regelt (beheersmaatregel 5.29). En dat uw ICT klaar is om door te werken (5.30). Back-ups moeten er zijn, en ze moeten getest worden (8.13).
Een deel ligt bij uw leverancier: de kopie van uw gegevens, het herstel, het overzicht voor noodgevallen. Een deel ligt bij uzelf: wie wat doet, het papier, en het oefenen. Daarom zijn de vragen hieronder in tweeën gesplitst.
Zes vragen voor uw leverancier
- Wat kan ons team nog inzien als uw dienst uitvalt, en wat moeten wij daarvoor vooraf doen?
- Staat de medicatie van vandaag daarin, en hoe beschermt u dat overzicht?
- Hoe vaak gaat er een kopie van onze gegevens naar een plek buiten uw eigen server? En in welk land staat die?
- Wanneer heeft u voor het laatst geoefend om die kopie terug te zetten, en wat was de uitkomst?
- Hoeveel gegevens raken wij hoogstens kwijt, en binnen hoeveel tijd werken wij weer? Zijn dat doelen of gemeten waarden?
- Hoe horen wij dat er een storing is, en wanneer die voorbij is?
Vier vragen voor uw eigen organisatie
- Wie haalt bij het begin van elke dienst het overzicht op, en waar ligt het?
- Liggen er papieren formulieren klaar om medicatie af te tekenen en te rapporteren?
- Wie belt de leverancier, en wie informeert de medewerkers?
- Wanneer hebben wij voor het laatst geoefend, ook het invoeren achteraf van wat op papier stond?
Wilt u uw antwoorden op een rij, met wat u nog moet regelen? Doe dan de continuïteitscheck. Twaalf vragen, en uw antwoorden blijven in uw browser. De vragen zijn leverancier-neutraal: u kunt ze ook aan ons stellen.
Hoe Curanta het doet
- Uw team downloadt elke dag een versleuteld noodoverzicht (pdf), voor de eigen bezoeken of voor een team. Per cliënt staan erin: het adres, de contactpersoon, waarschuwingen, allergieën, wilsverklaringen en de medicatie van die dag, met een vak om het geven af te tekenen. Dat zit in elk plan.
- Het medewerkerportaal werkt ook zonder bereik. Het rooster en de bezoeken van vandaag en morgen staan versleuteld op het toestel, zonder medicatie en zonder BSN. Wat een medewerker dan vastlegt, gaat mee zodra er weer verbinding is.
- Sinds 27 oktober 2026 gaat er elke dag een versleutelde kopie van uw gegevens naar een plek buiten de server, in de EU. Het terugzetten daarvan hebben wij op 28 oktober 2026 geoefend, op een aparte machine: binnen twee minuten stond de databank weer.
- Een volledige export van uw gegevens in JSON, met de bestanden, laat u maken door wie bij u de rol Organisatie-export heeft. Zo heeft u uw gegevens ook zelf.
- In de help van Curanta staat een noodprocedure: wat u vooraf regelt, wat u doet tijdens de storing en wat daarna. U kunt hem overnemen in uw eigen plan.
Wat er bij ons nog niet is
Onze doelen zijn hoogstens één uur aan gegevens kwijt, en binnen vier uur weer in gebruik. Dat zijn doelen; gemeten zijn ze nog niet. Er is geen uitwijklocatie: valt de server uit, dan bouwen wij Curanta opnieuw op uit de kopie. De statuspagina op app.curanta.nl/status draait op dezelfde server. Bewaking dag en nacht van buitenaf garanderen wij bij de oplevering aan uw organisatie; vandaag draait die nog niet. Een externe pentest is nog niet uitgevoerd, en broncode-escrow is in voorbereiding. De stand per onderwerp staat in het Trust Centre, onder Als het toch gebeurt.
Bronnen
- Richtlijn (EU) 2022/2555 (NIS2), art. 21 lid 2, onder c, eur-lex.europa.eu; Cyberbeveiligingswet, BWBR0052872, wetten.overheid.nl
- NEN 7510-2:2024, beheersmaatregelen 5.29, 5.30 en 8.13, nen.nl
- CERT-EU, Security Advisory 2026-018, "Critical Vulnerabilities in PHP", 21 oktober 2026, cert.europa.eu
- CISA, "Critical Vulnerabilities in PHP Require Immediate Patching", 21 oktober 2026, cisa.gov
Ziet u een fout of mist u een bron? Mail info@curanta.nl; wij reageren binnen 1 werkdag en zetten een correctie met datum onder dit artikel.