Veelgestelde vragen over NIS2 in de zorg
De NIS2-richtlijn roept bij veel organisaties in de zorg vragen op. Wat verandert er precies? Voor wie geldt de wet? En hoe kun je je organisatie goed voorbereiden? Logisch, want NIS2 is meer dan alleen een IT-kwestie. Het raakt aan governance, leveranciersbeleid, risicomanagement en compliance. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, zodat je snel en duidelijk inzicht krijgt in wat er van jouw organisatie wordt verwacht.
Wat is het verschil tussen NIS1 en NIS2?
NIS2 bouwt voort op de eerdere richtlijn NIS, maar stelt strengere eisen op het gebied van governance, ketenverantwoordelijkheid, meldplicht en risicobeheer. Daarnaast is de reikwijdte groter: meer sectoren én meer organisaties vallen onder de richtlijn, waaronder ook IT-dienstverleners voor de zorg.
Geldt NIS2 ook voor mijn organisatie?
Waarschijnlijk wel. Alle middelgrote en grote zorginstellingen vallen onder NIS2, evenals leveranciers die digitale diensten of systemen leveren aan de zorgsector. Ook kleine organisaties kunnen onder NIS2 vallen als ze kritieke functies vervullen. Twijfel je? Laat je situatie juridisch en technisch beoordelen door een specialist.
Wat vraagt NIS2 concreet van mijn organisatie?
De NIS2-richtlijn schrijft voor dat organisaties passende technische en organisatorische maatregelen treffen om cyberrisico’s te beheersen. Om dit concreet te maken, benoemt de richtlijn tien essentiële beveiligingsdomeinen waar je organisatie aan moet voldoen. Deze vormen de basis van je cybersecuritybeleid én zijn belangrijk tijdens audits.
Wat zijn de 10 beveiligingsdomeinen volgens NIS2?
| Beveiligingsdomein | Wat houdt het in? |
| 1. Risicobeheersmaatregelen | Voer een risicoanalyse uit en tref maatregelen om risico’s structureel te beheersen. Denk aan beleid, controles en governance. |
| 2. Incidenthandling | Zorg voor procedures om incidenten snel te detecteren, melden (binnen 24 uur) en effectief op te lossen. |
| 3. Bedrijfscontinuïteit en crisisbeheer | Ontwikkel plannen voor noodsituaties en herstel, inclusief back-ups, communicatiestrategie en testen van scenario’s. |
| 4. Beveiliging van de toeleveringsketen | Beoordeel en beheer risico’s van externe leveranciers, partners en cloudleveranciers. |
| 5. Security by design & default | Implementeer beveiliging standaard in je systemen en processen, vanaf de ontwerpfase, niet pas achteraf. |
| 6. Beveiliging van netwerk- en informatiesystemen | Bescherm je IT-omgeving met onder andere firewalls, netwerksegmentatie, monitoring en patchmanagement. |
| 7. Identiteits- en toegangsbeheer | Beperk toegang tot systemen, pas het ‘least privilege’-principe toe en gebruik sterke authenticatie (bijv. MFA). |
| 8. Opleiding en bewustwording | Train medewerkers en bestuurders regelmatig in cybersecurity, risicoherkenning en veilige omgang met data. |
| 9. Beveiliging van fysieke en digitale infrastructuur | Zorg voor fysieke beveiliging van datacenters, werkplekken en apparatuur, en digitale maatregelen tegen ongeautoriseerde toegang. |
| 10. Gebruik van encryptie en cryptografie | Versleutel gevoelige data, zowel in rust als tijdens verzending, met erkende standaarden en technieken. |
Hoe verhouden NIS2, ISO 27001 en NEN 7510 zich tot elkaar?
ISO 27001 is een internationale norm voor informatiebeveiliging, en NEN 7510 is specifiek voor de Nederlandse zorgsector. NIS2 is Europese wetgeving en verplicht naleving.
Certificeringen zoals ISO of NEN zijn nuttige hulpmiddelen voor structuur en verantwoording, maar geen garantie voor compliance. Een organisatie moet altijd aantonen dat het de risico’s effectief beheerst, en niet alleen certificaten bezit.
Moet mijn organisatie opnieuw gecertificeerd worden (bijvoorbeeld ISO 27001 of NEN 7510)?
Niet per se. Certificeringen helpen om compliance aan te tonen, maar ze vervangen NIS2 niet. De richtlijn kijkt vooral naar de feitelijke maatregelen in de praktijk. ISO 27001 en NEN 7510 vormen wel een goede basis, mits goed geïmplementeerd.
Wat gebeurt er als we niet aan NIS2 voldoen?
De gevolgen zijn niet alleen juridisch (sancties kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet), maar kunnen ook operationeel en reputatiegericht zijn. Een datalek of ransomware-aanval kan grote impact hebben op de continuïteit van zorg. NIS2 verplicht daarnaast tot incidentmelding binnen 24 uur bij ernstige cyberincidenten.
Waar begin ik met de voorbereiding?
Start met een nulmeting op basis van de 10 beveiligingsdomeinen uit NIS2. Betrek bestuur en compliance, actualiseer je risicoanalyse, en stel een plan op voor leveranciersmanagement, audits en bewustwording. Richt je securitybeleid zoveel mogelijk in volgens het security-by-design principe.
Wij begrijpen dat digitale weerbaarheid in de zorg méér is dan een IT-kwestie.
Het is een strategische uitdaging die vraagt om samenwerking tussen IT, security én bestuur.
Sinds 2002 helpen wij zorginstellingen zoals GGZ Oost-Brabant, BrabantZorg en PWN bij het toekomstbestendig maken van hun digitale infrastructuur.
Onze professionals helpen jouw organisatie graag met:
✅ NIS2-audits en risicoanalyses
✅ Governance- en compliance-advies
✅ Begeleiding bij leveranciersselectie en contractbeheer
✅ Security awareness & training van bestuur en teams
Wil je weten waar jullie staan?
Of ben je op zoek naar een specialist om jullie governance of security te versterken? Neem dan contact met ons op.
