Hoe je een security awareness-cultuur opbouwt in de Nederlandse zorg

Geen enkele Nederlandse sector rapporteert zoveel datalekken als de zorg. Alleen al in 2024 waren er 6.873 gemelde gevallen.

Onlangs resulteerde een ransomware-aanval op Clinical Diagnostics Nederland in maar liefst 300GB(!) gestolen data, waaronder burgerservicenummers en medische testresultaten.

Veel van deze data belandden zelfs op het dark web. Het incident trof ook Bevolkingsonderzoek Nederland en verschillende ziekenhuizen en huisartsen. De cybercriminelen kregen toegang tot data van 850.000 mensen. De gebeurtenis was ernstig genoeg om Kamervragen uit te lokken.

Het is duidelijk dat er genoeg reden is voor de zorgsector om serieus te investeren in een sterke securitycultuur. Een cultuur waarin elke medewerker de potentiële impact van een cyberaanval begrijpt en de rol die ze spelen in het voorkomen ervan. Toch blijft security awareness in veel zorgorganisaties een lage prioriteit of simpelweg een te grote uitdaging.

Elk ziekenhuis, elke GGZ-instelling en elk laboratorium in Nederland is één onoplettende klik verwijderd van dezelfde krantenkoppen. Niet omdat hun systemen zwak zijn, maar omdat hun mensen onvoorbereid zijn.

In dit artikel kijken we naar de staat van security awareness in de zorg, waarom veel initiatieven niet van de grond komen en hoe dat op te lossen.

Om te beginnen, hoe ziet een gezonde security awareness-cultuur eruit?

In de zorg is een sterke security awareness-cultuur essentieel om gevoelige medische data te beschermen, patiëntvertrouwen te behouden en de continuïteit van zorg te waarborgen.

Waarom? Omdat een datalek van je medische data veel schadelijker kan zijn dan je je kunt voorstellen.

Zoals Stefan Behrens, algemeen directeur bij een psychologische zorgorganisatie, het verwoordde: “Medische data behoren tot de meest gevoelige persoonsgegevens, maar ik zou liever mijn tandheelkundige röntgenfoto online vinden dan de aantekeningen van mijn therapeut. Dat niveau van kwetsbaarheid raakt veel dieper.”

De beste manier om menselijke fouten die leiden tot een datalek tegen te gaan, is door een sterke cultuur te creëren. Een gedeelde mindset binnen de hele organisatie die zegt dat security ieders verantwoordelijkheid is, niet alleen die van IT.

Zo ziet dat er in de praktijk uit:

• Security is onderdeel van dagelijks gedrag. Medewerkers denken twee keer na voordat ze op een link klikken, gevoelige data doorsturen of inloggen op een openbaar netwerk. Ze weten wat ze moeten melden en voelen zich veilig om het te melden.
• Fouten worden besproken, niet bestraft. In stressvolle omgevingen zijn fouten onvermijdelijk. Wat telt, is hoe ermee wordt omgegaan. In sterke culturen nemen mensen verantwoordelijkheid en melden ze problemen zelf. Niet omdat ze bang zijn, maar omdat ze geven om de veiligheid.
• Awareness is zichtbaar in vergaderingen en metrics. Teams bespreken regelmatig welke securitythema's meer aandacht nodig hebben, bespreken recente risico's en delen tips. Het is geen afvinkoefening meer. Het is onderdeel van de werkweek.

Uiteindelijk is een gezonde security awareness-cultuur in de zorg er een waarin iedereen, van zorgteams tot administratief personeel, begrijpt dat het beschermen van patiëntdata onderdeel is van het leveren van veilige, hoogwaardige zorg.

Of zoals Behrens van Psyned het verwoordt: “Met alle technische maatregelen die zijn genomen, behoort verkeerd menselijk gedrag tot onze grootste securityrisico's en is de security awareness van onze mensen een kritieke factor.”

Wat zijn de grootste cyberrisico's voor de Nederlandse gezondheidszorg?

Het meest recente Cyber Threat Landscape van Z-CERT schetst een duidelijk beeld van de meest urgente cyberrisico's waarmee de gezondheidszorg vandaag de dag wordt geconfronteerd:

• Ransomware-aanvallen, met name op laboratoria, ziekenhuizen en jeugdzorginstellingen
• Spionage bij onderzoeksfaciliteiten
• Ransomware-aanvallen gericht op leveranciers
• DDoS-aanvallen bij leveranciers
• Phishing met MFA bypass, aangezien veel organisaties blindelings vertrouwen op MFA voor veiligheid
• Malware
• Insider threats
• Financiële fraude
• Datalekken veroorzaakt door misbruik van AI-tools — bijvoorbeeld, medewerkers die gevoelige patiëntgegevens invoeren in ChatGPT

Sommige van deze cyberrisico's kunnen alleen worden beperkt door ervoor te zorgen dat je medewerkers een sterk gevoel van security awareness hebben. Hoeveel technische beveiligingsmaatregelen je ook implementeert, een cyberveilige werkplek begint en eindigt met verantwoordelijk menselijk gedrag.

Waarom security awareness in de gezondheidszorg uniek is

De gezondheidszorg verschilt op verschillende manieren van andere sectoren. Een cyberaanval verstoort niet alleen de bedrijfsvoering, het kan ook directe invloed hebben op de gezondheid van patiënten. Denk aan uitgestelde operaties, verkeerde medicatie of tijdelijk stopgezette diagnostiek.

Ook op het gebied van vertrouwen staat er veel op het spel. Wanneer medische gegevens lekken, schaadt het zowel de reputatie van een ziekenhuis als het vertrouwen dat patiënten stellen in de veiligheid van hun meest gevoelige informatie vernietigt.

Dan zijn er de kosten. Van herstel tot juridische claims en boetes van toezichthouders, de financiële gevolgen zijn aanzienlijk. In veel gevallen stijgen verzekeringspremies dramatisch na een inbreuk, als dekking überhaupt wordt aangeboden.

Hoe de gezondheidszorg verschilt van andere sectoren

Veel organisaties worstelen met security awareness, maar de gezondheidszorg staat voor haar eigen unieke uitdagingen:

• Continuïteit: waar een bank of fabriek activiteiten kan pauzeren, kunnen ziekenhuizen dat niet — ze draaien 24/7.
• Privacygevoelige data: medische data is zeer intiem en daardoor waardevol, wat het een primair doelwit maakt voor criminelen.
• Werkcultuur: verpleegkundigen en artsen zien zichzelf primair als zorgverleners, niet als “medewerkers die cybersecurityprotocollen moeten volgen.” Deze mindset maakt het moeilijker om awareness te verankeren.
• Hoge werkdruk en stress: tijdens nachtdiensten of crisissituaties zijn mensen eerder geneigd fouten te maken die ze normaal gesproken niet zouden maken.

Waarom security awareness zo'n uitdaging is in de gezondheidszorg

Security awareness is een actueel onderwerp in alle sectoren, maar de gezondheidszorg staat voor haar eigen unieke obstakels.

Klinisch ritme versus kantoorritme

De meeste awarenessprogramma's zijn ontworpen voor bedrijfsomgevingen — mensen die van 9 tot 5 werken, met flexibele werktijden, persoonlijke computers en toegang tot e-learningplatforms.

In de zorg is dat zelden het geval. Personeel werkt nachtdiensten, wisselt van locatie en staat op elk moment voor noodgevallen. Ze hebben vaak geen vaste computer. Het vinden van de tijd en plaats voor reguliere training is lastig.

Training past niet bij de realiteit van de gezondheidszorg

Veel programma's gaan uit van een corporate context. Ze behandelen geen situaties die specifiek zijn voor de zorg, zoals het omgaan met patiëntgegevens, medische vertrouwelijkheid of het bespreken van casussen met collega's. Deze details zijn belangrijk – en ze negeren beperkt de resultaten.

Gebrek aan eigenaarschap

security awareness raakt iedereen, maar de verantwoordelijkheid moet bij één persoon of team liggen. Daar gaat het vaak mis. In veel organisaties wordt de verantwoordelijkheid gedeeld tussen IT, compliance, HR of afdelingshoofden – wat betekent dat niemand er echt eigenaar van is.

Regelgevingsmoeheid

Hoewel sommige kleine zorgverleners intrinsiek gemotiveerd zijn om security awareness te versterken, tonen anderen weerstand. Ze zien standaarden zoals NEN 7510 als bureaucratische rompslomp. awareness-initiatieven dragen bij aan de administratieve last, bovenop andere veiligheidseisen zoals brandveiligheid of agressiemanagement.

Blinde vlekken in de supply chain

In 2024 werd het Nederlandse klantcommunicatiebedrijf AddComm slachtoffer van een ransomware-aanval, die veel van zijn klanten trof, waaronder ABN Amro en Infomedics. Het toonde aan hoe kwetsbaar supply chains zijn en waarom leveranciersbeveiliging deel moet uitmaken van de strategie. Leveranciers moeten aan minimumnormen voldoen.

Intern is er vaak dezelfde blinde vlek: studenten en freelancers met toegang tot gevoelige data worden uitgesloten van awareness-programma's.

Beleid zonder praktijk

Volgens het datalekkenrapport 2024 van de Autoriteit Persoonsgegevens kwamen 40% van de gemelde cyberincidenten niet voort uit een gebrek aan beleid, maar uit beleid dat niet werd geïmplementeerd of gemonitord.

Vaak ziet alles er goed uit tijdens een compliance-audit, maar de awareness verdwijnt zodra de audit voorbij is. Beleid blijft op papier staan. Daarom moet leiderschap awareness zien als meer dan alleen compliance.

Hoe je een security awareness cultuur opbouwt in de zorg

De meeste zorgmedewerkers verdrinken al in protocollen, audits en verplichte e-learning modules. Meer regels of grotere platforms zullen het probleem niet oplossen.

Wat wel werkt, is awareness behandelen als een levend product – iets dat regelmatig wordt geleverd, continu wordt gemeten en constant wordt aangepast aan praktijksituaties in de zorg.

Wekelijkse, mobiele en rolgebaseerde training

Zorgpersoneel heeft geen tijd voor lange klassikale sessies of generieke e-learning. training moet kort, praktisch en relevant zijn – 3-5 minuten per sessie – en afgestemd op hun rol. Artsen en verpleegkundigen hebben andere scenario's nodig dan de gemiddelde accountant of marketeer.

Bied training aan waar het past: op mobiel, tijdens een pauze, of direct in Microsoft Teams. Leren moet naadloos opgaan in dagelijkse routines.

→ Meer over Guardey's Security Awareness Training programma voor de zorg

Gedragsgerichte KPI's

Er zijn hier twee doelen. Ten eerste, de awareness binnen je organisatie monitoren. Ten tweede, kunnen aantonen dat je voldoet aan de NEN 7510-vereisten. Belangrijke metrics zijn:

• Rapportagepercentage: hoeveel medewerkers melden actief phishing of verdachte incidenten?
• Tijd tot rapportage: hoe snel handelen ze nadat ze iets ongewoons opmerken?
• Phish-naar-rapportage ratio: hoeveel gesimuleerde aanvallen worden correct herkend en gerapporteerd?

Deze metrics laten zien of je een echte veiligheidscultuur opbouwt.

Eenvoudige rapportage en directe feedback

Rapporteren moet net zo eenvoudig zijn als het klikken op een knop. Met een ingebouwde rapportageknop in Outlook of Teams kunnen medewerkers verdachte e-mails direct doorsturen. Onmiddellijke feedback is cruciaal, niet weken later in een rapport. Maak rapporteren positief: een succesmoment, geen berisping.

Just-in-time coaching

Wachten op halfjaarlijkse evaluaties werkt niet in een 24/7-omgeving. Wanneer iemand op een phishing-e-mail klikt — of deze correct rapporteert — moet snel feedback volgen. Korte, persoonlijke tips houden mensen alert, vooral tegen geavanceerde aanvallen zoals AiTM of credential theft.

Betrek het hele ecosysteem

Awareness mag niet stoppen bij vaste medewerkers. Vrijwilligers, stagiairs, onderaannemers en leveranciers hebben vaak dezelfde systeemtoegang. Criminelen maken geen onderscheid — en dat zou jouw programma ook niet moeten doen.

Governance die werkt

Awareness mag geen IT-hobby zijn, maar een top-down prioriteit. Wijs een executive owner aan, definieer duidelijke RACI-verantwoordelijkheden en bespreek de voortgang maandelijks. Zo blijft awareness levend en onderdeel van de leiderschapsagenda.

Als we iets hebben geleerd door de jaren heen, dan is het dat elk Security Awareness Program dat niet volledig wordt gesteund door het management binnen enkele maanden faalt.

Koppel aan business continuity

Een awareness programma heeft pas echt waarde als het zich bewijst tijdens een crisis. Voer scenario's uit waarin awareness een sleutelrol speelt: wat gebeurt er als een leverancier wordt getroffen door ransomware, een DDoS je labsystemen platlegt, of je EPD urenlang offline is?

Als awareness niet zichtbaar is in crisisrespons, dan was het nooit echt ingebed.

Conclusie: Van compliance-taak naar cultuurverandering

De gezondheidszorg staat bovenaan de lijst wat betreft datalekken en cyberaanvallen, met gevolgen die veel verder gaan dan boetes of slechte publiciteit. Patiëntveiligheid, continuïteit van zorg en publiek vertrouwen staan op het spel.

Security awareness kan geen jaarlijkse afvinklijst zijn. Het vereist een cultuur waarin medewerkers hun rol begrijpen, fouten kunnen maken en ervan leren, en waarin leiderschap cybersecurity met dezelfde ernst behandelt als patiëntenzorg of financiële gezondheid.

De sleutel ligt in kleine, praktische stappen: korte en relevante training, eenvoudige rapportage, directe feedback en het inbedden van awareness in crisismanagement. Zo evolueert awareness van een verplichting naar een natuurlijk onderdeel van professionele zorg.

Wat je vandaag kunt doen

1. Implementeer een security awareness programma – vind een programma dat zorgspecifieke training content biedt, zoals Guardey.
2. Meet gedrag, geen kennis – begin met het bijhouden van KPI's zoals de rapportagefrequentie en de tijd om te rapporteren.
3. Maak rapporteren eenvoudig en lonend – voeg een rapportageknop toe en geef onmiddellijk feedback.
4. Betrek iedereen met toegang – stagiairs, vrijwilligers en leveranciers maken ook deel uit van jouw keten.
5. Wijs executive ownership toe – zonder steun van het leiderschap blijft awareness een nevenproject.

→ Lees meer over Guardey's Security Awareness Program voor de gezondheidszorg