Home / Cyberbeveiliging / NIS2 in Nederland / Zorg

NIS2 voor zorgaanbieders in Nederland

Zorg staat in bijlage I van de NIS2-richtlijn. Grote ondernemingen zijn essentiële entiteiten; middelgrote ondernemingen zijn belangrijke entiteiten. In Nederland volgen de regels uit de Cyberbeveiligingswet (Cbw), van toepassing sinds 15 augustus 2026; de autoriteit is het Nationaal Cyber Security Centrum (NCSC) beheert het register; toezicht door de Rijksinspectie Digitale Infrastructuur (RDI) en de sectorale toezichthouders.

→ Spreek met een cybersecurityadviseur

Wie in deze sector eronder valt

• Ziekenhuizen, klinieken en andere zorgaanbieders
• EU-referentielaboratoria
• Onderzoek en ontwikkeling van geneesmiddelen
• Fabrikanten van farmaceutische basisproducten en preparaten
• Fabrikanten van hulpmiddelen die tijdens een noodsituatie op het gebied van volksgezondheid als kritiek worden beschouwd

Zeer kleine praktijken onder de drempel voor middelgrote ondernemingen vallen meestal buiten de wet, tenzij de nationale autoriteit hen aanwijst.

De dreigingen die wij het vaakst zien bij zorgaanbieders

• Ransomware op patiëntendossiers en planning
• Datadiefstal en afpersing met medische gegevens
• Onveilige verbonden medische hulpmiddelen
• Gecompromitteerde accounts bij software- en laboleveranciers

Vijf prioritaire maatregelen

1. 01 MFA op e-mail, externe toegang en het patiëntendossiersysteem
2. 02 Offline, geteste back-ups van klinische systemen
3. 03 Netwerksegmentatie voor medische hulpmiddelen
4. 04 Een register van leveranciers met toegang tot patiëntgegevens
5. 05 Uitvalprocedures, geoefend met de zorgteams

Wat Nederland vereist

• De wet is op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten (Wwke).
• Registratie in het nationale register (Mijn.NCSC.nl) is verplicht sinds 15 augustus 2026: naam, adres, sector, bediende EU-landen, contactgegevens en, waar relevant, IP-reeksen.
• Aanbieders van cloud, datacenters, DNS en managed services registreren zich in het land van hun hoofdkantoor; andere entiteiten registreren zich in elk EU-land waar zij actief zijn.
• De zorgplicht (risicobeheer) en de meldplicht voor significante incidenten gelden vanaf dezelfde datum.
• Niet-naleving kan leiden tot boetes en tot een last onder dwangsom.

Significante incidenten: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. Boetes volgens de richtlijn: tot € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en tot € 7 miljoen of 1,4% voor belangrijke entiteiten (het hoogste bedrag geldt).

Tools en gidsen

Zorg in andere landen

Andere sectoren in Nederland

Veelgestelde vragen

Valt mijn bedrijf in de sector zorg onder NIS2 in Nederland?

Zorg is een sector van bijlage I. Grote ondernemingen zijn essentiële entiteiten; middelgrote ondernemingen zijn belangrijke entiteiten. Kleine ondernemingen vallen er doorgaans buiten, tenzij ze worden aangewezen. Onze NIS2-check geeft u het antwoord in twee minuten.

Wat moeten we eerst doen?

Registreer u als u eronder valt, wijs een verantwoordelijke aan, voer een korte risicobeoordeling uit en regel de basis: MFA, geteste back-ups, patching, een incidentroutine.

Wij zijn leverancier in deze sector. Raakt het ons?

Ja, indirect: uw klanten moeten hun toeleveringsketen beveiligen en zullen u om bewijs vragen. Zie onze gids over de beveiligingsvragenlijst voor leveranciers.

Bronnen

• NCSC — Cyberbeveiligingswet (NIS2)
• RDI — Registratieplicht
• Rijksoverheid — van kracht vanaf 15 augustus 2026

Laatst gecontroleerd: 28 september 2026. Deze pagina bevat algemene informatie en is geen juridisch advies.