Which healthcare organizations are in scope of NIS2?

Annex I of NIS2 includes healthcare providers, EU reference laboratories, entities carrying out research on medicinal products, manufacturers of basic pharmaceutical products, and manufacturers of medical devices considered critical during a public health emergency. Medium and large entities are generally in scope. Smaller providers can be pulled in when they play a critical role in the national health system.

Are hospitals essential or important entities?

Hospitals are listed under Annex I and, when they meet the size thresholds, are typically classified as essential entities. Essential entities are subject to proactive supervision and higher maximum fines, up to 10 million euro or 2 percent of global annual turnover.

How does NIS2 interact with GDPR when patient data is involved?

NIS2 and GDPR can apply to the same incident but serve different goals. NIS2 focuses on continuity and security of services and requires reporting to the CSIRT or competent authority within 24 and 72 hours. GDPR focuses on personal data protection and requires reporting to the data protection authority within 72 hours. A ransomware attack affecting patient records may trigger both regimes in parallel.

Do medical devices in use at a hospital fall under NIS2?

Yes, indirectly. Article 21 requires the hospital to manage the cybersecurity risks of the network and information systems it uses, which includes connected medical devices, imaging equipment, and clinical information systems. Manufacturers of medical devices that are considered critical in a public health emergency are themselves listed under Annex I.

What does board liability look like for a hospital director?

Article 20 holds the management body responsible for approving cybersecurity risk measures and overseeing their implementation. Executives must follow cybersecurity training and are expected to offer training to staff. Member states may impose fines and, in the case of essential entities, temporarily suspend individuals from management functions when serious breaches are linked to oversight failures.

Is ISO 27001 enough for a hospital under NIS2?

ISO 27001 is a strong baseline but not sufficient on its own. Hospitals typically need to extend their ISMS to cover medical device security, clinical continuity scenarios, NIS2 reporting workflows, and supply chain security obligations. ISO 27799 and IEC 80001 provide useful sector-specific guidance on top.

How quickly can a hospital reach NIS2 readiness?

A large hospital or university medical center typically needs between nine and eighteen months from gap assessment to audit-ready state, depending on the maturity of its existing security program. Smaller clinics with external IT providers can often reach readiness faster by leaning on their providers for parts of the control set.

What happens if we underreport a ransomware incident?

Underreporting or late reporting of a significant incident can lead to separate fines under NIS2 in addition to any GDPR penalties. More importantly, it undermines the trust of the national CSIRT and the patient community. The safer path is to report early under Article 23 with initial information and update the notification as the picture becomes clearer.

NIS2 zorg: verplichtingen voor ziekenhuizen en labs

Kern voor de zorg

De zorg staat in bijlage I. De meeste aanbieders binnen scope gelden als essentiële entiteit.
De maximale boete is 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
Eén ransomware-incident kan zowel NIS2 als de AVG in werking zetten, met verschillende termijnen.
Medische hulpmiddelen in klinisch gebruik horen bij het risico-oppervlak van het ziekenhuis onder artikel 21 .
Het bestuursorgaan is persoonlijk verantwoordelijk onder artikel 20, inclusief verplichte training.

Scope: wie is essentieel, wie is belangrijk

Bijlage I van NIS2 dekt de zorgsector onder één kopje, maar de praktijk reikt verder dan ziekenhuizen alleen. De richtlijn raakt de hele keten van zorg, tot en met fabrikanten stroomopwaarts.

Zorgaanbieders, zoals omschreven in richtlijn 2011/24/EU. In de praktijk vooral ziekenhuizen en klinieken met grensoverschrijdende of landelijk belangrijke zorg.
EU-referentielaboratoria aangewezen door de Europese Commissie.
Organisaties die onderzoek en ontwikkeling van geneesmiddelen doen.
Fabrikanten van farmaceutische basisproducten en preparaten.
Fabrikanten van medische hulpmiddelen die kritiek zijn tijdens een noodsituatie op het gebied van volksgezondheid, zoals opgenomen in de lijst van kritieke hulpmiddelen bij zo'n noodsituatie.

Huisartsen, kleine klinieken en paramedische aanbieders vallen er meestal niet rechtstreeks onder, tenzij de lidstaat ze aanwijst. Die grens verschuift zodra een aanbieder nationaal als kritiek geldt, bijvoorbeeld omdat hij de enige is die een specialistische dienst levert. Toets je scope dus altijd aan de nationale omzettingswet, niet alleen aan de richtlijntekst.

De grootste cyberrisico's in de zorg

Ransomware bij ziekenhuizen

Ziekenhuizen behoren tot de vaakst geraakte doelwitten van ransomware in Europa. Uitval van het elektronisch patiëntendossier, radiologie of klinische berichtgeving raakt direct de patiëntveiligheid. Bekende incidenten leidden tot omgeleide ambulances, afgezegde operaties en wekenlange storingen. Precies daarom maakt artikel 21 continuïteit tot een verplicht onderwerp.

Beveiliging van medische hulpmiddelen

Infuuspompen, beeldvormende systemen, patiëntmonitoren en laboratoriumanalysers hangen aan het netwerk en draaien vaak op verouderde besturingssystemen. Ze zijn zelden te patchen op het ritme van de rest van de organisatie. NIS2 vraagt niet om ze te vervangen, wel om een vastgelegde aanpak: overzicht, segmentatie, monitoring en aanvullende maatregelen.

Patiëntgegevens in rust en onderweg

Patiëntendossiers, onderzoeksdata en genetische gegevens zijn gewild. Versleuteling, toegangsbeheer en logging zijn de basis. NIS2 versterkt die eisen via artikel 21 en sluit aan op de AVG, al verschillen de aanleiding en de ontvanger van een melding.

Derden en de klinische keten

Ziekenhuizen leunen op leveranciers van het patiëntendossier, PACS-systemen, fabrikanten van hulpmiddelen, schoonmaak en catering, en een lange staart aan onderzoekspartners. Elk daarvan brengt toegang mee. De ketenverplichtingen uit artikel 21 gelden voor de hele set.

NIS2 en de AVG: één incident, twee regimes

Ransomware die patiëntendossiers raakt is het schoolvoorbeeld. Onder artikel 23 van NIS2 stuurt het ziekenhuis binnen 24 uur een vroege waarschuwing naar het CSIRT of de bevoegde autoriteit, binnen 72 uur een formele melding, en binnen een maand een eindrapport. Onder artikel 33 van de AVG meldt het ziekenhuis binnen 72 uur bij de toezichthouder. Onder artikel 34 moeten getroffen patiënten mogelijk ook worden geïnformeerd.

De inhoud van die meldingen verschilt. NIS2 gaat over verstoring van de dienst, gevolgen over de grens en de technische oorzaak. De AVG gaat over categorieën en aantallen persoonsgegevens, betrokkenen en beperking van schade. Eén draaiboek dat beide meldingen uit dezelfde feitenbasis produceert, is het praktische antwoord, en een van de dingen die Burak tijdens een opdracht oplevert.

Praktisch gevolg: ga ervan uit dat elke serieuze ransomware, elk datalek en elke langere uitval onder beide regimes valt, en richt je incidentproces daar vanaf dag één op in. Juridisch, functionaris gegevensbescherming, CISO en communicatie zitten tijdens een crisis in één kamer, niet in drie.

Bestuurdersaansprakelijkheid in de zorg

Raden van bestuur in de zorg keken van oudsher naar patiëntveiligheid, kwaliteit en financiële houdbaarheid. Cybersecurity staat nu op dezelfde risicolijst, met dezelfde verwachting van bestuurlijke betrokkenheid. Artikel 20 vraagt het bestuursorgaan de maatregelen goed te keuren, toezicht te houden op de uitvoering en training te volgen. Leden kunnen persoonlijk worden aangesproken als ernstige tekortkomingen terug te voeren zijn op falend toezicht.

In de praktijk betekent dat elk kwartaal rapportage op bestuursniveau, een vastgelegd trainingsprogramma voor bestuurders, en een helder besluitspoor bij goedkeuring van het beveiligingsbeleid. Hetzelfde geldt voor raden van toezicht van umc's en voor besturen van groepen met meerdere ziekenhuizen.

Een routekaart van 30 dagen, 90 dagen en 12 maanden

Eerste 30 dagen: helderheid

Bevestig de scope per rechtspersoon en registreer bij de nationale bevoegde autoriteit.
Zet een gezamenlijke stuurgroep voor NIS2 en de AVG op met CISO, functionaris gegevensbescherming, juridisch, klinische leiding en een bestuurder als opdrachtgever.
Breng de meest kritieke klinische systemen in kaart: patiëntendossier, radiologie, laboratorium, apotheek en de belangrijkste medische hulpmiddelen.
Leg het bestaande incidentplan naast de termijnen van artikel 23 en zoek de gaten in de besluitvorming.

Dag 30 tot 90: stabiliseren

Publiceer een beveiligingsbeleid dat het bestuursorgaan heeft goedgekeurd.
Geef het bestuursorgaan de verplichte training over cybersecurity.
Doe een tafeloefening met ransomware op het patiëntendossier, waarin je zowel de NIS2- als de AVG-melding doorloopt.
Pak de snelste winst: meervoudige authenticatie op klinische applicaties waar dat kan, uitwijkprocedures voor als het dossier uitvalt, en segmentatie van bekende kwetsbare hulpmiddelen.

Maand 4 tot 12: volhouden

Bouw het programma voor medische hulpmiddelen uit met overzicht, risicoweging en afspraken met leveranciers over patchen en monitoren.
Breng de ketenverplichtingen naar leveranciersbeheer, inclusief contractclausules voor het patiëntendossier, PACS en fabrikanten van hulpmiddelen.
Breng de meldingen onder NIS2 en de AVG samen in één incidentsysteem, met heldere routering naar CSIRT en toezichthouder.
Doe een interne audit tegen artikel 21 en dicht de bevindingen voordat de eerste externe toets komt.

Veelgestelde vragen

Welke zorgorganisaties vallen binnen scope?

Bijlage I dekt zorgaanbieders onder de richtlijn grensoverschrijdende zorg, EU-referentielaboratoria, onderzoekers van geneesmiddelen, fabrikanten van farmaceutische basisproducten, en fabrikanten van medische hulpmiddelen die kritiek zijn tijdens een noodsituatie op het gebied van volksgezondheid. De drempels voor omvang gelden, en lidstaten mogen extra aanbieders als kritiek aanwijzen.

Zijn ziekenhuizen essentiële of belangrijke entiteiten?

Ziekenhuizen die boven de drempels uitkomen, zijn onder bijlage I meestal essentiële entiteit, met hogere maximumboetes en proactief toezicht. Kleinere of specialistische aanbieders kunnen belangrijk zijn, afhankelijk van de nationale omzetting.

Hoe verhoudt NIS2 zich tot de AVG?

Beide kunnen op hetzelfde incident van toepassing zijn. NIS2 gaat over continuïteit en beveiliging van de dienst, de AVG over bescherming van persoonsgegevens. Meldkanalen en termijnen verschillen, dus maak één draaiboek dat beide meldingen uit hetzelfde incidentlogboek haalt.

Vallen medische hulpmiddelen onder NIS2?

Medische hulpmiddelen horen bij het risico-oppervlak van het ziekenhuis onder artikel 21. Daarnaast vallen fabrikanten van hulpmiddelen die kritiek zijn tijdens een noodsituatie op het gebied van volksgezondheid rechtstreeks onder bijlage I.

Hoe ziet bestuurdersaansprakelijkheid eruit?

Besturen moeten de maatregelen goedkeuren, toezicht houden op de uitvoering en training volgen. Lidstaten kunnen persoonlijke boetes opleggen en bij essentiële entiteiten personen tijdelijk uit bestuursfuncties weren wanneer ernstige tekortkomingen terug te voeren zijn op falend toezicht.

Is ISO 27001 genoeg?

ISO 27001 is een sterke basis, maar moet worden uitgebreid met beveiliging van medische hulpmiddelen, klinische continuïteit, de meldstromen van NIS2 en de ketenverplichtingen. ISO 27799 en IEC 80001 leggen daar een zorgspecifieke laag overheen.

Hoe snel kunnen we er klaar voor zijn?

Grote ziekenhuizen hebben doorgaans negen tot achttien maanden nodig, afhankelijk van hun startpunt. Kleinere klinieken die op een externe IT-partij leunen, kunnen sneller schakelen door diens maatregelen te gebruiken en zich te richten op de klinische risico's.

Wat als we een incident te laag inschatten?

Te laat of niet melden kan een eigen NIS2-boete opleveren, bovenop de gevolgen onder de AVG, en het kost vertrouwen bij het nationale CSIRT en bij patiënten. Veiliger is een vroege waarschuwing met de informatie die je op dat moment hebt, en die daarna bijwerken.

NIS2 in de zorg