Naar de inhoud

NIS2 voor medische praktijken in België

DeepIT, gevestigd in Brussel, helpt medische praktijken, tandartspraktijken en wijkgezondheidscentra om na te gaan of NIS2 op hen van toepassing is, en daarna om de gevraagde beveiligingsmaatregelen in te voeren: voor de wet, voor een partnerziekenhuis of voor een verzekeraar. We werken met het kader van het Centrum voor Cybersecurity België (CCB).

Eerlijk gezegd: wij zijn geen certificeringsinstelling en reiken geen label uit. Wij bereiden uw praktijk voor; als een officiële controle gevraagd wordt, gebeurt die door een geaccrediteerde instelling.

Illustratie: NIS2 voor medische praktijken

Valt mijn praktijk onder NIS2?

De Belgische NIS2-wet (wet van 26 april 2024, van toepassing sinds 18 oktober 2024) viseert de zorgsector, maar pas vanaf een bepaalde omvang: minstens 50 voltijdse werknemers, of een jaaromzet én een balanstotaal die allebei boven 10 miljoen euro liggen. De meeste praktijken blijven daaronder. Toch kunnen ze op drie manieren betrokken zijn:

  • uw praktijk hoort bij een groep die die drempels overschrijdt: dan telt u de cijfers van de groep samen;
  • het CCB wijst u aan, ongeacht uw omvang, bijvoorbeeld als een storing bij u de volksgezondheid zou raken;
  • een klant of partner die onder NIS2 valt, zoals een ziekenhuis, legt u maatregelen op via het contract.

Ook buiten het toepassingsgebied

Een praktijk die niet onder de wet valt, past best dezelfde basismaatregelen toe: ze beschermen de patiëntendossiers, en het zijn de maatregelen die ziekenhuizen, labo's en verzekeraars steeds vaker vragen.

Wat NIS2 concreet vraagt

Of de wet u nu viseert of een partner het vraagt, de kern is dezelfde: weten wat u beschermt, de meest gebruikte toegangspoorten sluiten, na een incident weer kunnen opstarten, en het melden.

Illustratie: een incident aanpakken en melden

Weten wat u hebt

Een lijst van de computers, accounts en software van de praktijk, en wie waar toegang toe heeft, zeker tot het patiëntendossier.

Toegang beschermen

Eén account per persoon, een bevestigingscode op de telefoon bovenop het wachtwoord, en toegang die wordt afgesloten op de dag dat iemand de praktijk verlaat.

Computers beschermen

Bescherming op elke pc, bewaakt, en updates die per toestel worden opgevolgd, ook op de pc van het onthaal.

Reageren en melden

Een organisatie die onder NIS2 valt, moet een ernstig incident melden aan het CCB: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag uiterlijk een maand later. Wij helpen u een incident te herkennen, aan te pakken en die melding voor te bereiden (officiële pagina van het CCB).

Let op, dat is een tweede circuit: een lek van patiëntengegevens meldt u ook aan de Gegevensbeschermingsautoriteit, binnen 72 uur (GDPR, artikel 33). De ene melding vervangt de andere niet.

Het team opleiden

De valse mail blijft de eerste toegangspoort. Enkele eenvoudige afspraken voor het onthaal en de zorgverleners zijn meer waard dan nog een extra programma. De wet vraagt ook dat de leiding een opleiding volgt.

Het Belgische kader: CyberFundamentals

Het CCB publiceert een referentiekader, CyberFundamentals, met drie niveaus: Basic, Important en Essential. Voor een organisatie die onder NIS2 valt, is het een erkende manier om aan te tonen dat ze de wet naleeft. Voor een kleine praktijk is het vooral een duidelijke lijst van wat er moet gebeuren, in de juiste volgorde.

De verificatie of certificering van een niveau gebeurt door een geaccrediteerde instelling, niet door ons. Hoe dat verloopt: CyberFundamentals: hoe toont uw kmo aan dat ze in orde is met NIS2?

Zo pakken we het samen aan

  • Het toepassingsgebied: we doen samen de test van het CCB, met de cijfers van uw praktijk of uw groep.
  • De stand van zaken: uw computers, accounts, netwerk en back-ups, naast de verwachte maatregelen gelegd.
  • Een schriftelijk plan: wat ontbreekt, het dringende eerst, wie wat doet.
  • De invoering van de maatregelen, zonder dat de consultaties stilvallen.
  • De opvolging: de maatregelen blijven op lange termijn van kracht, en u kunt antwoorden aan een ziekenhuis, een verzekeraar of het CCB.

Wie is verantwoordelijk?

De wet legt de verantwoordelijkheid bij de leiding: zij keurt de maatregelen goed. Wij doen het technische werk en geven u wat u nodig hebt om op te volgen en te beslissen. Volgen wij uw praktijk al op, dan horen deze maatregelen bij onze cyberbeveiliging.

Wat we niet doen

We certificeren niet, we reiken geen label uit en we vervangen geen juridisch advies: de beslissing om u al dan niet bij het CCB te registreren blijft de uwe, zo nodig met uw raadgever. We beloven niet dat er nooit een incident gebeurt: we verkleinen het risico en bereiden de reactie voor. En we komen niet aan de medische software: daarvoor werken we samen met de leverancier.

Een echt geval (anoniem): wat NIS2 wil voorkomen

In een zorgpraktijk die we opvolgen, begon alles met een valse factuur per mail. Enkele weken later volgde een poging tot fraude. Bij de analyse van de toestellen vonden we spionagesoftware op een server: die werd verwijderd, alle toestellen werden nagekeken en de bewaking bij onze andere klanten werd verscherpt. Precies dat willen de NIS2-maatregelen voorkomen: een banale toegangspoort, opgemerkt omdat iemand de sporen las. Het geval staat op onze pagina cyberbeveiliging.

Veelgestelde vragen

Hoe brengt u een medische praktijk in België in orde met NIS2?

In vier stappen: nagaan of de praktijk eronder valt (gratis test van het CCB), de beveiliging in kaart brengen, de zwakke punten aanpakken in de volgorde die telt, en die maatregelen op lange termijn behouden en kunnen aantonen. De basismaatregelen zijn dezelfde, of de wet u nu viseert of een partner ze vraagt.

Wie kan mij in Brussel helpen?

DeepIT in Brussel begeleidt medische en tandartspraktijken van de stand van zaken tot de opvolging, met de referenties van het CCB. Voor een officiële CyberFundamentals-verificatie is daarnaast een geaccrediteerde instelling nodig, en dat zijn wij niet.

Moet een kleine praktijk zich registreren bij het CCB?

Alleen als ze onder de wet valt, door haar omvang, haar groep of een aanwijzing door het CCB. De gratis test van het CCB maakt het duidelijk. Een praktijk buiten het toepassingsgebied moet zich niet registreren, maar kan wel maatregelen moeten naleven die partners vragen.

Een ziekenhuis vraagt ons onze beveiliging aan te tonen. Wat nu?

Vraag schriftelijk welk niveau verwacht wordt en welk bewijs aanvaard wordt, en breng uw beveiliging in kaart voor u antwoordt. Wat het betekent om leverancier of partner te zijn van een organisatie onder NIS2: ons artikel.

Vervangt NIS2 de GDPR?

Nee. De GDPR beschermt persoonsgegevens, waaronder gezondheidsgegevens; NIS2 gaat over de beveiliging van systemen en de continuïteit van de dienstverlening. Ze vullen elkaar aan, en veel maatregelen dienen beide.

Hoe we beginnen

  • Een gratis audit van uw computers, netwerk, back-ups en beveiliging
  • Samen de NIS2-test van het toepassingsgebied doen
  • Een schriftelijk plan, daarna de invoering en de dagelijkse opvolging
Boek uw gratis audit→Contacteer ons→

De IT van de praktijk, verder dan NIS2

Medische software, beeldvorming, telefonie, de pc's aan het onthaal: zie medische IT, tandartspraktijken en wijkgezondheidscentra. Officiële bronnen: Centrum voor Cybersecurity België en Safeonweb@Work.

Lees ook