Cyberbeveiligingswet (NIS2) en devices in de zorg: wat moet u regelen?

Gepubliceerd op 29 oktober 2026 · Door de redactie van EduStockr · Bronnen gecontroleerd op 27 oktober 2026 · Alle artikelen

In het kort: De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 in werking en de gezondheidszorg is een van de sectoren onder de wet. Zorgaanbieders met 50 of meer fte, of met een jaaromzet én balanstotaal boven 10 miljoen euro, vallen er in beginsel onder; u toetst dat zelf. Wie eronder valt, moet zich registreren, passende maatregelen nemen en significante incidenten melden. Voor laptops, tablets en telefoons betekent de zorgplicht vooral: een actueel overzicht, sterke authenticatie, versleuteling, tijdige updates, afspraken met leveranciers en een plan voor incidenten.

Wat is de Cyberbeveiligingswet en sinds wanneer geldt hij voor de zorg?

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens het NCSC is de wet op 15 augustus 2026 in werking getreden en geldt hij voor ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen. De wettekst staat op wetten.overheid.nl.

Voor de zorg is de wet verder uitgewerkt in de Cyberbeveiligingsregeling voor de zorg (Staatscourant 2026, 28763, gepubliceerd op 14 augustus 2026). Daarin staat onder meer dat voor het begrip zorgaanbieder de definitie uit de Wkkgz wordt gebruikt, en dat organisaties die alleen jeugdhulp of maatschappelijke ondersteuning bieden buiten de reikwijdte vallen.

Dit is algemene informatie, geen juridisch advies. Of en hoe de wet op uw organisatie van toepassing is, bespreekt u met uw jurist, CISO of functionaris gegevensbescherming (FG).

Valt uw zorgorganisatie onder de Cyberbeveiligingswet?

De wet werkt met twee criteria: sector en omvang. De gezondheidszorg staat in bijlage 1 van de wet. Voor de omvang hanteert het NCSC deze grens: 50 of meer fte, of minder dan 50 medewerkers maar met een jaaromzet én balanstotaal boven 10 miljoen euro. Medewerkers en omzet van partner- en verbonden ondernemingen tellen mee, wat bij zorggroepen met meerdere rechtspersonen verschil kan maken.

Organisaties moeten zelf beoordelen of ze onder de wet vallen. Het NCSC verwijst naar de NIS2-zelfevaluatie van de Rijksinspectie Digitale Infrastructuur (RDI). Die geeft ook aan of u een essentiële of een belangrijke entiteit bent. Dat onderscheid bepaalt vooral de vorm van het toezicht.

Toezichthouder in de zorg is de Inspectie Gezondheidszorg en Jeugd (IGJ); dat staat in de Cyberbeveiligingsregeling voor de zorg. Sinds een wijziging van die regeling, op 5 oktober 2026 gepubliceerd in de Staatscourant (2026, 35238), is Z-CERT formeel aangewezen als CSIRT voor de gezondheidszorg. Zorgorganisaties die onder de wet vallen, kunnen daar terecht voor ondersteuning bij incidenten. Significante incidenten meldt u via het NCSC-portaal (MijnNCSC); volgens het NCSC gaat één melding automatisch naar het sectorale CSIRT en de toezichthouder.

Onderwijs staat niet als sector in de bijlagen van de wet; dit artikel gaat over de zorg.

De drie hoofdplichten: registratie, zorgplicht en meldplicht

• Registratie: organisaties onder de wet zijn volgens het NCSC verplicht zich te registreren in het entiteitenregister.
• Zorgplicht: op basis van een risicoanalyse passende en evenredige maatregelen nemen voor de beveiliging van netwerk- en informatiesystemen. Volgens artikel 20 van de NIS2-richtlijn keurt het bestuur die maatregelen goed en houdt het toezicht op de uitvoering.
• Meldplicht: significante incidenten melden. Volgens de meldplichtpagina van het NCSC doet u binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindverslag.

Wat de zorgplicht betekent voor laptops, tablets en telefoons

Het NCSC noemt op de pagina over de zorgplicht tien maatregelen die organisaties ten minste moeten treffen. Welke invulling passend is, bepaalt u op basis van uw risicoanalyse; voor de zorg legt de Cyberbeveiligingsregeling daarbij wel een norm vast (zie onder de tabel). De tabel vertaalt de maatregelen die devices het meest raken naar de praktijk en naar de inkoop.

Voor de zorg is dat concreet gemaakt: volgens artikel 2.1 van de Cyberbeveiligingsregeling voor de zorg voldoen de maatregelen aantoonbaar aan NEN 7510, aan NEN-ISO/IEC 27001 en 27002, of hebben ze aantoonbaar een gelijkwaardig beschermingsniveau. Volgens de toelichting geldt dat voor alle netwerk- en informatiesystemen die u gebruikt, niet alleen voor zorginformatiesystemen. NEN 7510 is voor zorgaanbieders al langer de basis. Zie NEN 7510 en mobiele devices voor de vertaling van die norm naar device-eisen.

Verouderde devices: een concreet aandachtspunt

Laptops en telefoons die geen beveiligingsupdates meer krijgen, zijn lastig te rijmen met de maatregel ‘netwerk- en informatiesystemen beveiligen’. Voor nieuwe smartphones en tablets die sinds 20 juni 2025 op de EU-markt komen, gelden ecodesign-eisen voor ten minste vijf jaar updates na het einde van de verkoop van een model (zie nieuwe EU-regels voor smartphones en tablets). Voor laptops gelden die eisen niet en hangt de termijn af van besturingssysteem en fabrikant. Breng daarom per model in kaart wanneer de updates stoppen, en plan vervanging ruim daarvoor.

Is een kwijtgeraakte zorgtelefoon een Cbw-melding?

Niet automatisch. De Cyberbeveiligingsregeling voor de zorg noemt criteria voor een significant incident, waaronder een kritisch bedrijfsproces dat langer dan vier uur geheel of gedeeltelijk stilligt, aantasting van de integriteit, vertrouwelijkheid of beschikbaarheid van bedrijfsgevoelige informatie, en aantasting van de vertrouwelijkheid van bijzondere persoonsgegevens of BSN’s door een vermoedelijk kwaadwillende handeling. Ook een incident dat zulke gevolgen kan veroorzaken, valt eronder. Een versleutelde telefoon die in de trein is blijven liggen en op afstand is gewist, is daarom vaak vooral een AVG-vraag: beoordeel of het een datalek is en meld bij risico binnen 72 uur bij de Autoriteit Persoonsgegevens. Stond er onversleuteld bedrijfsgevoelige informatie op het toestel, gaat het om diefstal met kwade opzet of om een besmet toestel dat toegang gaf tot systemen, dan beoordeelt u ook de Cbw-criteria. Leg in uw incidentprocedure vast wie die afweging maakt.

Checklist: Cyberbeveiligingswet en devices

• Hebben we met de zelfevaluatie vastgesteld of we onder de Cbw vallen, en zijn we geregistreerd?
• Is er een actueel overzicht van alle devices, inclusief privétoestellen met toegang tot zorgsystemen?
• Zijn alle devices ingeschreven in een beheeromgeving die beleid kan afdwingen en kan wissen op afstand?
• Gebruiken alle zorgapps en beheeraccounts multifactorauthenticatie of passkeys?
• Weten we per model tot wanneer beveiligingsupdates komen?
• Staan beveiligingsafspraken in de contracten met de leverancier van devices en van beheer?
• Is er een incidentprocedure voor verlies en diefstal, met de afweging AVG en Cbw?
• Zijn er reservetoestellen voor kritische processen, zoals de wijkverpleging?
• Heeft het bestuur de maatregelen goedgekeurd en is dat vastgelegd?

Zo pakken wij dit aan

EduStockr bemiddelt bij de inkoop van devices en verkoopt zelf geen hardware. We volgen onze werkwijze: we vragen naar uw beheeromgeving en de eisen die uw CISO of FG heeft vastgesteld, en nemen die op in de uitvraag aan meerdere gescreende leveranciers. Denk aan registratie voor automatische inschrijving, de updatetermijn per model, dataverwijdering bij reparatie en afvoer, en vervanging bij verlies. U ontvangt de voorstellen naast elkaar met onze vooraf vastgelegde vergoeding, en u koopt rechtstreeks bij de leverancier. Of uw organisatie onder de Cbw valt en of uw maatregelen passend zijn, beoordeelt u zelf; wij geven daar geen oordeel over. Zie ook de pagina zorg en welzijn.

Veelgestelde vragen

Vanaf wanneer geldt de Cyberbeveiligingswet voor de zorg?

Volgens het NCSC is de wet op 15 augustus 2026 in werking getreden. Organisaties die eronder vallen, hebben sindsdien de plichten uit de wet.

Valt een kleine thuiszorgorganisatie onder de Cbw?

Met minder dan 50 fte en een omzet of balanstotaal tot 10 miljoen euro valt een organisatie volgens de omvangsgrens van het NCSC in beginsel buiten de wet. Medewerkers en omzet van verbonden ondernemingen tellen wel mee. Gebruik de zelfevaluatie en laat twijfelgevallen juridisch toetsen.

Wie houdt toezicht op de Cbw in de zorg?

De Inspectie Gezondheidszorg en Jeugd, volgens de Cyberbeveiligingsregeling voor de zorg. De Autoriteit Persoonsgegevens blijft toezicht houden op de AVG.

Moeten we al onze devices vervangen door de Cbw?

Nee, de wet schrijft geen apparatuur voor. Wel moeten uw maatregelen passend zijn. Devices die geen updates meer krijgen of niet centraal te beheren zijn, vragen om een besluit: vervangen, extra afschermen of uitfaseren.

Over dit artikel: geschreven door de redactie van EduStockr, een handelsnaam van J-Mobile B.V., met een eigen vestiging aan Ambachtsweg 8, 5492 NJ Nijnsel. EduStockr bemiddelt bij de inkoop van devices en verkoopt zelf geen hardware. Dit artikel is opgesteld met hulp van AI-hulpmiddelen; de feiten zijn gecontroleerd aan de hand van de genoemde bronnen op 27 oktober 2026. Ziet u een fout of is iets verouderd? Mail info@edustockr.nl.